MAINSYSTEMS 
1. Fondements et Contexte Réglementaire
Dans cette vidéo, nous consoliderons une compétence : organiser la réponse à une demande d'accès ou à un incident de données. Utilisez le cas pour tester votre réaction dans une situation similaire. La réponse sera expliquée par étapes afin de comprendre chaque choix et d'identifier quand des informations supplémentaires sont nécessaires. Un dossier peut contenir des données sur l'auteur du signalement, les personnes mises en cause et des tiers. La protection des données doit accompagner tout le cycle, du formulaire à l'archivage. Ce cours traite des décisions opérationnelles. Les bases juridiques et restrictions de droits exigent l'analyse du traitement concret. La loi du 16 mai 2023 encadre le canal de signalement. Les plans de risques, codes, calendriers et outils de contrôle proposés sont de bonnes pratiques d'organisation, sauf obligation distincte applicable. Les exigences de la fonction publique ou des marchés publics ne doivent pas être généralisées à toutes les entreprises privées.
Une demande d'accès aux données personnelles ne donne pas un droit illimité au dossier entier ou à l'identité du lanceur d'alerte. Conciliez droits du demandeur, confidentialité et droits des tiers, avec un fondement légal pour les restrictions. Une divulgation indue exige l'analyse d'une possible violation de données, de ses risques et des obligations de notification du RGPD.
Appliquez la règle suivante : L'article 23 soumet les traitements au droit de la protection des données. Appliquez l'article 5, paragraphe 1, point e), du RGPD : conserver les données identifiantes uniquement le temps nécessaire aux finalités, sous réserve des exceptions licites. La loi sur les signalements ne fixe pas de durée universelle de cinq ans pour tous les canaux. Selon l'article 23, paragraphe 2, les données personnelles manifestement sans pertinence ne doivent pas être collectées ou doivent être supprimées sans retard injustifié. Documentez durée, finalité, événement initial et réexamen, copies comprises, ainsi que les obligations légales ou d'archives publiques applicables.
2. Application Pratique et Réglementation Nationale
Pour une demande, vérifiez identité, périmètre et délai, localisez les données et préparez une réponse motivée. Pour un incident, limitez l'exposition, préservez les traces et informez la fonction responsable. Selon l'article 33 du RGPD, le responsable notifie l'autorité sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés. Motivez les retards. L'information des personnes relève de l'article 34, du risque élevé et des exceptions prévues. Documentez la violation et l'évaluation. Avant de poursuivre, transformez cette procédure en une séquence que vous pourriez expliquer à un collègue. Identifiez la première vérification, l'action qui dépend de son résultat et la trace permettant de reconstituer la décision. Suivez la séquence à l'écran et repérez où une erreur modifierait le résultat.
Une pièce part au mauvais destinataire. L'équipe limite l'accès si possible, demande une suppression sécurisée, documente l'événement et analyse le risque. La demande d'effacement ne clôt pas automatiquement l'incident et ne dispense pas d'examiner les notifications nécessaires. Lisez maintenant le cas attentivement. Séparez ce qui est présenté comme un fait de ce qui reste à confirmer. N'ajoutez ni intentions ni événements absents du récit. Cette distinction permet de choisir une réponse proportionnée aux informations disponibles.
3. Étude de Cas et Points de Vigilance
L'exercice est le suivant : Demander au mauvais destinataire d'effacer le message suffit-il à remplir toutes les obligations ? Choisissez une réponse et justifiez-la en une phrase. Pendant la pause, comparez votre choix aux critères étudiés. Réfléchissez aussi à l'élément que vous conserveriez pour expliquer votre décision ultérieurement.
Non. C'est une mesure de limitation. Évaluez les données exposées, les destinataires, les conséquences possibles et les notifications légalement nécessaires. Consignez décision et motifs.
Voici une erreur à éviter : assimiler le droit d'accès à la remise intégrale du signalement ou traiter tous les incidents de la même façon.
Appliquez maintenant la règle nationale à une seconde décision. Le système supprime tous les dossiers cinq ans après réception, quels que soient le pays et les procédures en cours. Est-ce adapté ?
Non. Identifiez règle locale, événement initial et limites ou prolongations. Un calendrier uniforme peut supprimer trop tôt ou conserver trop longtemps. Documentez la décision par catégorie, incluez les copies et désignez la personne qui réexamine une suspension d'effacement, sans tout garder indéfiniment.
Retenez ces trois points. Premièrement : Concilier droits et confidentialité. Deuxièmement : Limiter et évaluer les incidents. Troisièmement : Motiver réponses et notifications.
Pour appliquer cet apprentissage, reprenez la procédure de votre organisation ou imaginez comment la construire. Identifiez une différence avec le cas résolu. Écrivez la modification proposée et les informations nécessaires pour la justifier. Vous pouvez réaliser cette courte tâche sur la fiche accompagnant la vidéo.
Le résultat attendu de cette unité est de savoir organiser la réponse à une demande d'accès ou à un incident de données. Consultez de nouveau la réponse expliquée en cas de doute et conservez la synthèse pour une décision future.
Sur la fiche de travail, reliez votre proposition à la règle nationale de cette vidéo. Indiquez le document ou champ à modifier et la personne qui doit valider. S'il s'agit d'une bonne pratique, expliquez le risque à réduire. S'il existe une obligation légale, notez sa source et son champ d'application.