Qui a le droit de voir vos données personnelles ? CEJMA
Découvrir la CNIL et le RGPD à travers un cas concret.
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à analyser une vraie politique de confidentialité, avant même d'en connaître le vocabulaire juridique
Étape 1 — Choisir un service et trouver sa politique de confidentialité
Choisissez un service en ligne parmi les 15 suivants :
- Instagram (réseau social)
- TikTok (réseau social)
- Snapchat (réseau social)
- Discord (messagerie et communautés)
- Spotify (streaming musical)
- Netflix (streaming vidéo)
- Steam (jeux vidéo)
- Amazon (vente en ligne)
- Uber Eats (livraison de repas)
- SNCF Connect (réservation de billets de train)
- PayPal (paiement en ligne)
- WhatsApp (messagerie)
- LinkedIn (réseau professionnel)
- Twitch (streaming en direct)
- Canva (création graphique en ligne)
Sur le site du service choisi, trouvez la page intitulée "Politique de confidentialité", "Vie privée", "Protection des données" ou "Mentions légales" (généralement accessible tout en bas de la page d'accueil, dans le pied de page).
À la fin de cette séance, un étudiant (ou un binôme) sera tiré au sort pour venir présenter au tableau le résultat de sa recherche : voir les modalités de cette restitution orale en fin de séance. Travaillez donc votre analyse comme si c'était vous qui alliez passer.
📌 Réponse attendue
Étape 2 — Repérer 4 informations précises dans ce texte
Dans la politique de confidentialité choisie, retrouvez :
- qui collecte vos données (le nom de l'organisation) ;
- quelles données sont collectées (nom, email, localisation, historique de navigation...) ;
- pourquoi ces données sont collectées (la ou les finalités annoncées) ;
- combien de temps ces données sont conservées.
📌 Réponse attendue
Étape 3 — Trouver comment exercer ses droits
Toujours dans ce même texte, retrouvez comment un utilisateur peut demander à voir, corriger ou supprimer ses propres données (une adresse email dédiée, un formulaire de contact, le nom d'un « délégué à la protection des données »...).
📌 Réponse attendue
Étape 4 — Se mettre à la place du responsable
À partir de ce que vous avez trouvé, rédigez un court paragraphe (5 à 6 lignes) qui répond à la question : si vous étiez responsable de ce service, que devriez-vous garantir pour être en règle vis-à-vis des utilisateurs ?
Quand vous résumez une information trouvée dans une politique de confidentialité, notez le nom du service et la date à laquelle vous l'avez consultée : ces pages changent régulièrement.
📌 Une solution
Notions théoriques
Le texte que vous venez d'analyser n'est pas rédigé au hasard : il répond à des obligations légales précises. Donnons maintenant un nom à ce que vous avez déjà repéré par vous-même.
La CNIL, l'autorité qui veille sur vos données en France
La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité administrative française chargée de veiller au respect de la vie privée et des données personnelles.
La CNIL peut contrôler une organisation, exiger des corrections, et prononcer des amendes pouvant atteindre plusieurs millions d'euros en cas de manquement grave.
Le RGPD, le texte qui encadre toute cette matière
Le RGPD (Règlement Général sur la Protection des Données) est un texte européen, applicable depuis 2018, qui encadre la façon dont toute organisation (entreprise, association, administration) peut collecter et utiliser des données personnelles. Il s'applique à toute organisation qui traite les données de personnes situées en Europe, même si cette organisation est installée ailleurs dans le monde.
Une donnée à caractère personnel est toute information qui permet d'identifier, directement ou indirectement, une personne : un nom, un email, une adresse IP, une photo, une localisation...
Le vocabulaire que vous avez déjà rencontré dans le TP
| Terme | Ce qu'il désigne | Ce que vous avez trouvé dans le TP |
|---|---|---|
| Responsable de traitement | L'organisation qui décide pourquoi et comment les données sont utilisées | Le nom du service choisi à l'étape 1 |
| Finalité | La raison précise de la collecte | La réponse trouvée à l'étape 2 |
| Durée de conservation | Le temps pendant lequel les données sont gardées | La réponse trouvée à l'étape 2 |
| Droits de la personne concernée | Ce qu'un utilisateur peut exiger sur ses propres données | Le contact trouvé à l'étape 3 |
Vous retrouverez ce même vocabulaire tout au long de l'année : il ne s'agit pas de mots à apprendre par cœur aujourd'hui, mais de repères que vous reconnaîtrez de plus en plus facilement en pratique.
Les droits reconnus à toute personne sur ses données
Le RGPD reconnaît plusieurs droits à toute personne concernée par une collecte de données, dont les plus courants sont :
- le droit d'accès : savoir quelles données sont détenues à son sujet ;
- le droit de rectification : faire corriger une information inexacte ;
- le droit à l'effacement (souvent appelé « droit à l'oubli ») : demander la suppression de ses données ;
- le droit d'opposition : s'opposer à l'utilisation de ses données pour une finalité précise (par exemple, la prospection commerciale).
Ces droits ne sont pas illimités : une organisation peut parfois les refuser pour un motif légitime (une obligation légale de conservation, par exemple). Mais elle doit toujours répondre à la demande, et justifier un refus éventuel.
Pourquoi la durée de conservation est un piège si fréquent
L'un des 2 motifs de sanction retenus contre l'organisation étudiée était précisément une conservation excessive des données des anciens clients. C'est l'un des manquements les plus fréquents au RGPD : garder une donnée « au cas où », sans limite de temps précise, alors que la finalité initiale ayant justifié sa collecte a disparu depuis longtemps.
Une bonne politique de confidentialité doit toujours annoncer une durée de conservation précise, liée à la finalité du traitement, jamais une conservation indéfinie « par sécurité ».
Test de mémorisation/compréhension
Restitution orale
Un étudiant (ou un binôme) vient présenter son analyse de politique de confidentialité devant la classe.
- Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
- Qui passe : un étudiant désigné par le professeur
- Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
- Ce qui est attendu :
- présenter le service choisi, et les 4 informations trouvées à l'étape 2 ;
- indiquer comment un utilisateur peut exercer ses droits sur ce service ;
- répondre aux questions de la classe.
Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.