RGPD, Data Protection Officer

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Réglementation générale en matière de protection des données

   Une entreprise basée à Singapour exploite un site e-commerce en français qui livre régulièrement des clients résidant en France et en Belgique. Cette entreprise est-elle soumise au RGPD ?

   1. Non, car son siège social est hors de l'Union européenne et elle n'a pas d'établissement en UE
   2. Oui, en raison de l'offre de biens ou services à des personnes situées dans l'UE
   3. Uniquement si son chiffre d'affaires en UE dépasse 10 millions d'euros annuels
   4. Uniquement pour les transactions effectuées par carte bancaire émise par une banque européenne

2. Mesures techniques et organisationnelles pour la sécurité

   Une équipe marketing souhaite collecter, lors d'une inscription à un programme de fidélité, le nom, l'adresse e-mail, la date de naissance, l'adresse postale, le numéro de téléphone, la profession, le revenu et les loisirs des clients. Quel principe du RGPD est principalement mis en cause si certains de ces champs ne sont pas justifiés par les finalités déclarées du programme ?

   1. Le principe de licéité (art. 5.1.a)
   2. Le principe de minimisation (art. 5.1.c)
   3. Le principe d'exactitude (art. 5.1.d)
   4. Le principe d'intégrité et de confidentialité (art. 5.1.f)

3. Responsabilité

   Le principe de responsabilité (accountability) consacré par l'article 5.2 du RGPD impose au responsable du traitement de pouvoir démontrer le respect des principes énoncés à l'article 5.1. Parmi les pratiques suivantes, laquelle est la moins efficace pour démontrer l'accountability ?

   1. Tenir un registre des activités de traitement détaillé et à jour (art. 30)
   2. S'appuyer sur des engagements verbaux et un climat de confiance interne, sans formalisation écrite
   3. Documenter les analyses d'impact (AIPD) et les analyses de bases de licéité
   4. Mettre en place des procédures écrites de gestion des droits et de notification de violation

4. Réglementation générale en matière de protection des données

   Parmi les traitements suivants, lequel est exclu du champ d'application matériel du RGPD selon l'article 2 ?

   1. Le traitement de données à caractère personnel par une PME française pour sa gestion clients
   2. Le traitement effectué par une autorité publique dans l'exercice de ses missions de service public
   3. Le traitement de données par une association à but non lucratif pour gérer ses adhérents
   4. Le traitement effectué par une personne physique exclusivement dans le cadre d'activités strictement personnelles ou domestiques

5. Mesures techniques et organisationnelles pour la sécurité

   Une organisation conserve des sauvegardes complètes de ses bases clients pendant 3 ans pour des raisons techniques de restauration. Comment cette pratique est-elle encadrée par le RGPD ?

   1. Toute conservation au-delà des durées d'utilisation active du traitement principal est strictement interdite par le principe de limitation de l'art. 5.1.e
   2. Les sauvegardes sont exclues du champ d'application du RGPD car elles répondent à une finalité technique de continuité d'activité uniquement
   3. Les durées doivent être proportionnées à la finalité de continuité technique et documentées et effacées lors de la prochaine restauration ou rotation
   4. Les sauvegardes peuvent être conservées indéfiniment dès lors qu'elles sont chiffrées avec un algorithme robuste et stockées hors ligne

6. Responsabilité

   Une personne adresse à un responsable du traitement une demande d'accès en vertu de l'article 15 du RGPD. Dans quel délai et selon quelles modalités le responsable doit-il répondre ?

   1. Dans un délai de 72 heures à compter de la réception de la demande, à l'instar de la notification d'une violation de données
   2. Dans un délai d'un mois prorogeable de deux mois maximum en cas de complexité ou de nombre élevé de demandes
   3. Dans un délai de 30 jours strictement, sans aucune possibilité de prorogation, indépendamment de la complexité de la demande
   4. Sans délai imposé par le RGPD tant que la réponse du responsable du traitement intervient avant la fin de l'année civile en cours

7. Réglementation générale en matière de protection des données

   Une société américaine sans établissement en UE traite les données de ses propres salariés américains, dont certains effectuent des missions ponctuelles de quelques jours en Espagne. Le RGPD s'applique-t-il à ce traitement RH ?

   1. Non, car le traitement RH ne vise pas à offrir des biens ou services à des personnes en UE ni au suivi du comportement
   2. Oui, dès qu'un salarié pose le pied sur le territoire de l'UE, l'ensemble du traitement RH bascule sous le RGPD
   3. Oui, mais uniquement pour les données collectées physiquement pendant la présence du salarié sur le territoire européen
   4. Le RGPD s'applique uniquement si l'entreprise dispose d'un représentant désigné en UE au sens de l'article 27

8. Mesures techniques et organisationnelles pour la sécurité

   Selon l'article 4.5 du RGPD, qu'est-ce que la pseudonymisation et quel est son régime juridique ?

   1. Une technique de transformation qui rend les données totalement anonymes et les fait sortir définitivement du champ d'application du RGPD
   2. Un simple changement de nom de variable ou de colonne dans une base de données, sans autre mesure technique associée
   3. Un traitement empêchant l'attribution sans informations supplémentaires conservées séparément et soumises à des mesures techniques
   4. Une mesure obligatoire et systématique pour tous les traitements automatisés impliquant des données à caractère personnel

9. Responsabilité

   L'article 22 du RGPD encadre le droit de la personne concernée à ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. Dans quels cas cette protection s'applique-t-elle ?

   1. À toute décision automatisée, quelle qu'en soit la nature, les conséquences ou le degré d'intervention humaine
   2. À toute décision impliquant un algorithme, même lorsqu'un opérateur humain valide manuellement le résultat avant exécution
   3. Aux décisions exclusivement automatisées (y compris profilage) produisant des effets juridiques
   4. Uniquement aux décisions prises par des autorités publiques dans l'exercice de leurs missions de service public

10. Réglementation générale en matière de protection des données

    Selon l'article 4.1 du RGPD, lequel des éléments suivants ne constitue PAS, en lui-même et hors contexte, une donnée à caractère personnel ?

    1. Une adresse IP statique attribuée à un abonné particulier d'un fournisseur d'accès Internet
    2. Un numéro de plaque d'immatriculation de véhicule rattaché au fichier des immatriculations (SIV)
    3. Le chiffre d'affaires annuel agrégé d'une entreprise commerciale, sans référence à une personne physique
    4. Une photographie de visage d'un employé stockée dans une base RH avec son nom et son matricule

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.