Le jeu de données de trop : guide pratique de confidentialité & protection des données

Utilisez ces définitions pour décider si le RGPD s’applique et quelles obligations de gouvernance sont déclenchées.

• Données personnelles : toute information liée à une personne identifiée ou identifiable (IP, device ID, localisation précise).
• Pas des données personnelles : information portant uniquement sur une personne morale (ex. immatriculation), sauf si elle identifie une personne physique.
• Données sensibles : origine raciale/ethnique, opinions politiques, religion, syndicat, génétique/biométrie, santé, vie sexuelle ou orientation sexuelle.
• Identifiants directs vs quasi‑identifiants : direct identifie seul (nom, email) ; quasi identifie par combinaison (DOB + ZIP + genre).
• Pseudonymisation : remplacement d’identifiants par un code ; reste une donnée personnelle RGPD.
• Anonymisation : données non identifiables via des moyens raisonnablement susceptibles d’être utilisés (seuil WP29/EDPB).
• Activités principales du DPO : opérations au cœur de la mission du responsable/sous‑traitant, pas les fonctions support.
• Surveillance régulière et systématique : suivi continu et récurrent des personnes.
• Facteurs de grande échelle : nombre de personnes, volume/variété, durée et portée géographique.

• Identité : nom, ID compte, numéros d’identité, signatures.
• Contact : email, téléphone, adresse postale, tickets support.
• Tracking : cookies, device IDs, ad IDs, empreintes, IDs analytics.
• Localisation : GPS précis, ville/région via IP, balises Wi‑Fi/Bluetooth.
• Financier : coordonnées bancaires, tokens carte, factures, paie, scoring.
• Santé‑adjacent : métriques bien‑être, symptômes, rappels médication (peuvent devenir sensibles une fois liées à la santé).
• Emploi/Éducation : poste, notes de performance, notes académiques, ID étudiant.
• Enfants/Famille : âge, données tuteur, composition du foyer.
• Sécurité/Audit : logs d’accès, MFA, actions admin, logs IP.

• Modèle d’accountability RGPD : le responsable prouve la base légale, documente, minimise, et gère les droits ; le sous‑traitant sécurise et suit les instructions.
• Patchwork U.S. sectoriel : obligations liées au secteur/type de données, avec la FTC qui applique la privacy via les pratiques déloyales ou trompeuses.
• Tension PIPL Chine : droits consommateurs forts et transferts stricts, mais accès étatique large pour sécurité, sans base « intérêt légitime » à la RGPD.

• DPO obligatoire (Art 37) : autorités publiques, ou activités principales de monitoring régulier/systématique à grande échelle, ou traitements massifs de données sensibles/pénales.
• Indépendance du DPO (Art 38) : report au top management, aucune instruction sur ses missions, protection contre sanctions, moyens et accès aux données.
• Missions du DPO (Art 39) : informer/communiquer, surveiller la conformité, former, conseiller sur DPIA, coopérer avec l’autorité, point de contact.
• Conflits d’intérêts : le DPO ne peut décider des finalités/moyens (ex. marketing, RH, IT/CIO) ; un DPO volontaire déclenche les mêmes devoirs.
• DPIA (Art 35) : évaluer nécessité/proportionnalité et risques des traitements à haut risque, définir les mesures avant lancement.
• Notification de violation (Art 33) : informer l’autorité sous 72 h après prise de connaissance ; informer les personnes si risque élevé (Art 34).
• Privacy by design/default (Art 25) : minimiser, paramètres les moins intrusifs, garanties intégrées aux systèmes.
• Mesures de sécurité (Art 32) : chiffrement, contrôle d’accès, résilience, sauvegardes, tests réguliers adaptés au risque.
• Principes : exactitude, minimisation, limitation des finalités, limitation de conservation, intégrité/confidentialité, accountability.
• Amende max (Art 83) : jusqu’à 20 M€ ou 4 % du CA mondial annuel, le plus élevé.

• FTC : principal régulateur privacy via la Section 5 (pratiques déloyales ou trompeuses), surtout si les promesses sécurité sont rompues.
• GLBA : les institutions financières doivent notifier et offrir l’opt‑out avant tout partage d’informations non publiques avec des tiers non affiliés (avec exceptions prestataires).
• HIPAA : s’applique aux covered entities et business associates ; beaucoup d’apps fitness/wellness restent hors périmètre.
• COPPA : consentement parental vérifiable requis avant collecte de données d’enfants < 13 ans.
• CCPA/CPRA : s’applique aux entreprises à but lucratif opérant en CA avec > 25 M$ de CA annuel (ou autres seuils légaux).
• SPI CPRA : droit de limiter l’usage/divulgation des données sensibles (géoloc précise, santé, numéros d’ID, etc.).

• k‑anonymat : chaque enregistrement est indistinguable d’au moins k‑1 autres via les quasi‑identifiants.
• Quasi‑identifiants vs identifiants directs : direct identifie seul (email) ; quasi identifie par combinaison (ZIP + DOB + genre).
• Attaque de liaison Massachusetts GIC : des données santé anonymisées ont été ré‑identifiées via recoupement avec les listes électorales.
• Généralisation : réduire la précision (tranches d’âge au lieu de DOB) pour augmenter k.
• Ajout de bruit : perturber les valeurs pour réduire le risque de recoupement.
• Objectif de la privacy différentielle : limiter l’influence d’un individu sur les résultats.
• La pseudonymisation reste personnelle ; l’anonymisation doit passer le test « moyens raisonnablement susceptibles d’être utilisés » (WP29/EDPB).

• 0‑4 h : isoler les hôtes infectés, stopper la latéralisation, préserver les preuves (logs, mémoire, snapshots disque) et la chaîne de custody.
• 4‑24 h : délimiter le périmètre, identifier les catégories de données, alerter incident lead/DPO/juridique, engager la forensique, valider les backups.
• 24‑72 h : évaluer le risque pour les personnes, préparer la notification à l’autorité sous 72 h (Art 33), préparer l’information des personnes si risque élevé.
• 72+ h : coordonner forces de l’ordre/assureur, éradiquer le malware, rotation des secrets, restauration des services, post‑mortem.

• Q1. Une adresse IP est‑elle une donnée personnelle RGPD ?
• Q2. Un numéro d’immatriculation d’entreprise est‑il toujours une donnée personnelle ?
• Q3. Citez deux exemples de données sensibles.
• Q4. Donnez les trois déclencheurs Art 37 rendant un DPO obligatoire.
• Q5. Que signifie l’indépendance du DPO (Art 38) ?
• Q6. Citez deux missions du DPO (Art 39).
• Q7. Donnez un exemple de conflit d’intérêts pour un DPO.
• Q8. Un DPO volontaire déclenche‑t‑il les obligations Art 37‑39 ?
• Q9. Quel est le but d’une DPIA (Art 35) ?
• Q10. À quoi s’applique la règle des 72 h RGPD ?
• Q11. Quel article couvre la privacy by design/default ?
• Q12. Quel article couvre les mesures de sécurité ?
• Q13. Citez deux principes RGPD (ex. exactitude, minimisation).
• Q14. Quelle est l’amende administrative maximale RGPD ?
• Q15. Quelle différence entre anonymisation et pseudonymisation ?
• Q16. Quel est le seuil WP29/EDPB pour l’anonymisation ?
• Q17. Définissez le k‑anonymat en une phrase.
• Q18. Qu’est‑ce qu’un quasi‑identifiant ?
• Q19. Que démontre l’attaque Massachusetts GIC ?
• Q20. Citez deux techniques d’anonymisation autres que k‑anonymat.
• Q21. Quel est l’objectif de la privacy différentielle ?
• Q22. Comment est structuré le modèle U.S. de privacy ?
• Q23. Quelle norme la FTC utilise‑t‑elle pour appliquer la privacy ?
• Q24. L’opt‑out GLBA s’applique au partage avec qui ?
• Q25. HIPAA s’applique à quelles entités ?
• Q26. Que requiert la COPPA pour les enfants < 13 ans ?
• Q27. Citez le seuil de CA CCPA/CPRA.
• Q28. Quel droit CPRA concerne les données sensibles ?
• Q29. Résumez la tension PIPL Chine en une ligne.
• Q30. En cas de ransomware, citez trois actions immédiates.

• A1. Oui, une IP est une donnée personnelle si elle permet d’identifier directement ou indirectement.
• A2. Non ; en général non, sauf si elle identifie une personne physique (ex. auto‑entrepreneur).
• A3. Exemples : santé, biométrie, opinions politiques, religion, orientation sexuelle.
• A4. Autorité publique ; monitoring régulier/systématique à grande échelle ; traitement massif de données sensibles/pénales.
• A5. Reporting au top management, indépendance fonctionnelle, absence d’instructions, protection contre sanctions.
• A6. Informer/conseiller, surveiller la conformité, former, conseiller sur DPIA, coopérer avec l’autorité, point de contact.
• A7. Rôles décidant des finalités/moyens (ex. marketing, RH, IT/CIO).
• A8. Oui ; un DPO volontaire doit respecter Art 37‑39.
• A9. Évaluer nécessité/proportionnalité et risques d’un traitement à haut risque, définir les mesures avant lancement.
• A10. Notification à l’autorité sous 72 h après connaissance d’une violation de données personnelles.
• A11. Article 25.
• A12. Article 32.
• A13. Exactitude, minimisation, limitation des finalités, limitation de conservation, intégrité/confidentialité, accountability.
• A14. Jusqu’à 20 M€ ou 4 % du CA mondial annuel, le plus élevé.
• A15. L’anonymisation est irréversible ; la pseudonymisation remplace les identifiants mais reste personnelle.
• A16. Les données ne doivent pas être identifiables via des moyens raisonnablement susceptibles d’être utilisés (WP29/EDPB).
• A17. Chaque enregistrement partage les mêmes quasi‑identifiants avec au moins k‑1 autres.
• A18. Un attribut qui identifie une personne seulement par combinaison (ex. ZIP + DOB + genre).
• A19. Que des recoupements externes peuvent ré‑identifier des données soi‑disant anonymes.
• A20. Généralisation et ajout de bruit (aussi suppression, agrégation, permutation).
• A21. Limiter l’impact d’un individu sur les résultats.
• A22. Patchwork sectoriel de lois fédérales/étatiques par type de données/industrie.
• A23. Section 5 : pratiques déloyales ou trompeuses.
• A24. Tiers non affiliés (avec exceptions).
• A25. Covered entities et business associates.
• A26. Consentement parental vérifiable avant collecte.
• A27. Entreprises à but lucratif opérant en CA avec > 25 M$ de CA annuel.
• A28. Droit de limiter l’usage/divulgation des données sensibles.
• A29. Droits consommateurs forts mais accès étatique large, sans base « intérêt légitime » façon RGPD.
• A30. Isoler les systèmes, préserver les preuves, notifier/rapporter selon les obligations.