Qu'est-ce qu'une donnée à caractère personnel ? CEJMA

Petite vérification

Avant de commencer, vérifions si vous savez répondre à ces 2 questions :

1. Que risque un utilisateur qui accède frauduleusement à un système informatique qui ne lui appartient pas ?
2. pourquoi est-il risqué de partager son identifiant avec un camarade, même pour lui rendre service ?

📌 Réponse attendue

Vous devez être connecté pour voir le contenu.

Email : Mot de passe :

---

TP pour réfléchir et résoudre des problèmes

Votre défi pour aujourd'hui consiste à recenser, pour une petite organisation fictive, toutes les données personnelles qu'elle manipule au quotidien

info

L'association étudiée dans ce TP, « Club ÉtoileSport », est fictive, construite pour l'exercice.

Pour aller plus loin

Le manuel Cybersécurité BTS SIO 1re année (Delagrave) consacre tout son chapitre 1 (« Identifier les risques liés aux données à caractère personnel », p. 5) à un cas très proche de celui d'aujourd'hui, avec le logiciel PIA (Privacy Impact Assessment) de la CNIL, un outil gratuit qui aide à cartographier ce type de risque : cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil.

Étape 1 — Repérer ce qui est une donnée à caractère personnel

Voici 6 activités réalisées par le Club ÉtoileSport, une petite association sportive :

1. L'inscription d'un adhérent : nom, prénom, date de naissance, adresse email, numéro de licence.
2. L'envoi d'une newsletter mensuelle à la liste des adhérents ayant donné leur accord.
3. La publication, sur les réseaux sociaux du club, de photos prises pendant les entraînements, où des adhérents sont reconnaissables.
4. L'achat en gros de 40 ballons de football auprès d'un fournisseur sportif.
5. La collecte, à l'inscription, d'un certificat médical attestant l'absence de contre-indication à la pratique sportive.
6. L'affichage, dans le hall du club, du nombre total d'adhérents inscrits cette année (un seul chiffre global, sans aucun nom).

Pour chacune des 6 activités, indiquez si elle implique une donnée à caractère personnel, et pourquoi.

📌 Réponse attendue

Vous devez être connecté pour voir le contenu.

Email : Mot de passe :

Étape 2 — Construire un mini-registre des traitements

Pour chacune des activités de l'étape 1 qui implique bien une donnée à caractère personnel, complétez un mini-registre avec 3 colonnes : le traitement, les données collectées, la finalité (la raison précise de la collecte).

📌 Réponse attendue

Vous devez être connecté pour voir le contenu.

Email : Mot de passe :

Étape 3 — Repérer une catégorie particulière de données

Parmi les 4 traitements du mini-registre de l'étape 2, l'un d'eux porte sur une catégorie de données considérée comme particulièrement sensible par le RGPD, qui nécessite une protection renforcée. Lequel, et pourquoi ?

📌 Réponse attendue

Vous devez être connecté pour voir le contenu.

Email : Mot de passe :

Étape 4 — Réagir à un cas pratique

Un responsable du Club ÉtoileSport souhaite publier, sur la page Facebook publique du club, une photo de groupe prise après un entraînement, où plusieurs adhérents mineurs sont bien reconnaissables.

Que lui recommandez-vous ?

Bonne pratique - Toujours obtenir un accord avant de publier une photo identifiable

Une photo où une personne est reconnaissable est une donnée à caractère personnel : sa publication nécessite l'accord de la personne concernée (ou de ses représentants légaux si elle est mineure). Cet accord doit être demandé avant la publication, jamais après.

📌 Une solution

Vous devez être connecté pour voir le contenu.

Email : Mot de passe :

Étape 5 — Cartographier un risque (pour aller plus loin)

Les professionnels de la protection des données évaluent un risque sur deux critères : sa vraisemblance (probabilité qu'il se produise, de 1 « négligeable » à 4 « maximale ») et sa gravité (impact s'il se produit, de 1 à 4). C'est exactement la méthode utilisée par l'outil PIA de la CNIL mentionné plus haut.

Au Club ÉtoileSport, le dossier qui contient les certificats médicaux des adhérents (vu à l'étape 1 et 3) est stocké sur l'ordinateur de l'accueil, dans un dossier non protégé par mot de passe, accessible à tous les bénévoles de passage.

1. Estimez la vraisemblance de ce risque (1 à 4), en justifiant.
2. Estimez la gravité de ce risque (1 à 4), en justifiant.
3. Proposez une mesure concrète pour réduire ce risque.

📌 Réponse attendue

Vous devez être connecté pour voir le contenu.

Email : Mot de passe :

---

Restitution orale

Un étudiant vient présenter au tableau son mini-registre des traitements du Club ÉtoileSport.

• Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
• Qui passe : un(e) étudiant(e) désigné(e) par l'enseignant
• Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
• Ce qui est attendu :
  1. présenter le mini-registre des traitements construit à l'étape 2 ;
  2. expliquer pourquoi le certificat médical est une donnée sensible (étape 3) ;
  3. répondre aux questions de la classe.

astuce

Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.

---

Notions théoriques

Vous venez de construire un véritable registre des traitements, un outil que toute organisation doit tenir à jour.

Qu'est-ce qu'une donnée à caractère personnel ?

Une donnée à caractère personnel (DCP) est toute information qui permet d'identifier, directement ou indirectement, une personne physique.

Type d'identification	Exemples
Directe	Nom, prénom, photo, numéro de sécurité sociale
Indirecte	Adresse IP, numéro de licence, combinaison « date de naissance + ville »

info

Une information n'est pas une donnée personnelle en elle-même : c'est le fait qu'elle soit reliée à une personne identifiée ou identifiable qui en fait une donnée personnelle. Un chiffre global sans aucun nom associé, comme à l'étape 1 du TP, n'en est pas une.

Les données sensibles : une catégorie à part

Le RGPD distingue, parmi les données à caractère personnel, une catégorie de données sensibles, dont le traitement est en principe interdit, sauf exceptions encadrées (consentement explicite, obligation légale...). Elles concernent notamment :

• la santé (comme le certificat médical de l'étape 3 du TP) ;
• l'origine raciale ou ethnique ;
• les opinions politiques, religieuses ou philosophiques ;
• l'appartenance syndicale ;
• l'orientation sexuelle.

attention

Une organisation qui collecte une donnée sensible doit justifier précisément pourquoi, et la protéger avec un niveau de sécurité renforcé par rapport à une donnée personnelle ordinaire.

Le registre des traitements : une obligation légale

Toute organisation qui traite des données personnelles doit tenir à jour un registre des traitements : un document qui recense, pour chaque traitement, les données collectées, la finalité, la durée de conservation, et les personnes ayant accès à ces données.

astuce

Vous avez déjà construit un mini-registre à l'étape 2 du TP, avec 3 des colonnes attendues d'un vrai registre des traitements (traitement, données collectées, finalité). Un registre complet ajoute généralement la durée de conservation et les destinataires des données, vus la semaine dernière.

Le lien avec ce qui a déjà été vu

Ce vocabulaire prolonge directement celui dans la séance précédente : le responsable de traitement (ici, le Club ÉtoileSport) décide pourquoi et comment ces données sont collectées, pour une finalité précise à chaque fois, exactement comme dans une politique de confidentialité.

---

Test de mémorisation/compréhension

Qu'est-ce qu'une donnée à caractère personnel ?

Uniquement un nom de famille, aucune autre information ne pouvant être concernée (ce qui n'est pourtant pas ce que montre le TP)

Uniquement une information stockée dans une base de données informatique

Toute information permettant d'identifier, directement ou indirectement, une personne physique

Toute information publiée sur un site Internet, quelle qu'elle soit

Uniquement un mot de passe ou un identifiant de connexion

D'après le TP, pourquoi une photo où un adhérent est reconnaissable est-elle une donnée à caractère personnel ?

Parce que toute image, même sans personne visible, est automatiquement une donnée personnelle

Parce que la loi interdit totalement la prise de photos dans une association sportive

Parce qu'une photo contient toujours, techniquement, le mot de passe de son auteur

Ce n'est en réalité pas le cas : seul un nom écrit peut constituer une donnée personnelle

Parce qu'une photo identifiable permet, comme un nom, d'identifier une personne précise

D'après l'étape 1 du TP, pourquoi l'achat de 40 ballons auprès d'un fournisseur n'implique-t-il aucune donnée à caractère personnel ?

Parce que cette activité ne concerne aucune personne physique identifiée, seulement des objets

Parce qu'un achat en gros n'est jamais enregistré nulle part, par principe

Parce que les fournisseurs professionnels ne sont jamais concernés par le RGPD, en toute circonstance

Parce qu'un ballon de football ne peut techniquement pas être relié à une base de données

Ce n'est en réalité pas exact : cet achat implique bien une donnée à caractère personnel

Qu'appelle-t-on une « donnée sensible », au sens du RGPD ?

Toute donnée stockée sur un serveur situé en dehors de l'Union européenne

Toute donnée dont la taille en octets dépasse un seuil fixé par la loi

Toute donnée appartenant à un adhérent mineur, sans aucune autre condition

Une catégorie particulière de données personnelles (santé, origine, religion, opinions politiques...) nécessitant une protection renforcée

Une donnée qui n'a en réalité aucun statut particulier dans le RGPD, par rapport aux autres (ce qui n'est pourtant pas ce que montre le TP)

D'après le TP, pourquoi le certificat médical collecté à l'inscription est-il une donnée particulièrement sensible ?

Parce qu'il est systématiquement plus volumineux, en taille de fichier, que les autres documents collectés (ce qui n'est pourtant pas ce que montre le TP)

Parce qu'il révèle une information de santé, une catégorie de données nécessitant une protection renforcée par le RGPD

Parce qu'il doit obligatoirement être imprimé sur papier, et jamais stocké sous forme numérique

Parce qu'il est signé par un médecin, ce qui le rend automatiquement confidentiel aux yeux de la loi

Il ne s'agit en réalité pas d'une donnée particulièrement sensible, au sens du RGPD

À quoi sert un registre des traitements, que toute organisation doit tenir à jour ?

À enregistrer uniquement les mots de passe des employés de l'organisation

À stocker une copie de sauvegarde de l'intégralité du site Internet de l'organisation

À lister uniquement les fournisseurs professionnels de l'organisation, sans lien avec les données personnelles (ce qui n'est pourtant pas ce que montre le TP)

Un registre des traitements n'a en réalité aucune existence légale ni utilité pratique

À recenser, pour chaque traitement, les données collectées, la finalité et les autres informations utiles sur leur usage

D'après le TP, que recommande-t-on avant de publier une photo de groupe où des adhérents mineurs sont reconnaissables ?

Recueillir au préalable l'accord des représentants légaux de chaque adhérent mineur reconnaissable, avant toute publication

Publier directement la photo, car une association sportive est dispensée de toute formalité

Attendre une plainte éventuelle d'un adhérent avant d'agir, plutôt que de demander un accord au préalable (ce qui n'est pourtant pas ce que montre le TP)

Publier la photo uniquement le week-end, moment où la loi serait moins stricte sur ce sujet

Demander l'accord oral d'un seul adhérent présent sur la photo, au nom de l'ensemble du groupe