Enseignement moral et civique · Terminale · La Laïcité et la Cohésion Sociale · 3e Trimestre

La Protection des Données Personnelles (RGPD)

Les élèves étudient le Règlement Général sur la Protection des Données (RGPD), ses principes et son impact sur la vie privée des citoyens.

• Programmes Officiels
• MEN: Lycee - Droits numériques
• MEN: Lycee - Vie privée

À propos de ce thème

Le Règlement Général sur la Protection des Données (RGPD), entré en application le 25 mai 2018, constitue le cadre juridique européen de référence en matière de protection des données personnelles. En France, il complète et modernise la loi Informatique et Libertés de 1978. La CNIL (Commission Nationale de l'Informatique et des Libertés) veille à son application sur le territoire national. Le RGPD repose sur des principes clés : consentement éclairé, minimisation des données, droit d'accès, droit de rectification, droit à l'effacement et portabilité des données.

Pour les entreprises, le RGPD impose la désignation d'un délégué à la protection des données (DPO), la tenue d'un registre des traitements et la notification des violations de données sous 72 heures. Les sanctions peuvent atteindre 4 % du chiffre d'affaires mondial annuel, comme l'ont illustré les amendes infligées à Google (150 millions d'euros par la CNIL en 2022) et Meta.

Les études de cas sur des sanctions réelles et les exercices de mise en conformité fictive permettent aux élèves de saisir les implications concrètes d'un texte juridique qui affecte leur quotidien numérique.

Questions clés

1. Expliquez les principes clés du Règlement Général sur la Protection des Données (RGPD).
2. Analysez l'impact du RGPD sur les entreprises et les utilisateurs d'internet.
3. Évaluez l'efficacité du RGPD pour garantir la protection de la vie privée en ligne.

Objectifs d'apprentissage

• Identifier les principes fondamentaux du RGPD tels que le consentement, la minimisation des données et les droits des personnes.
• Analyser les obligations spécifiques imposées aux entreprises par le RGPD, notamment la nomination d'un DPO et la notification des violations.
• Comparer l'impact du RGPD sur les pratiques de collecte et d'utilisation des données par les entreprises technologiques et les utilisateurs individuels.
• Évaluer l'efficacité des sanctions de la CNIL comme moyen de dissuasion pour assurer la conformité au RGPD.
• Synthétiser les enjeux de la protection des données personnelles dans le contexte de la vie privée à l'ère numérique.

Avant de commencer

Les Fondements de la Vie Privée et du Droit à l'Image

Pourquoi : Les élèves doivent avoir une compréhension initiale de ce qu'est la vie privée pour saisir les enjeux de la protection des données personnelles.

Internet et les Réseaux Sociaux : Usages et Enjeux

Pourquoi : Une connaissance des usages courants d'internet et des réseaux sociaux permet de mieux appréhender l'impact concret du RGPD sur le quotidien numérique des individus.

Vocabulaire clé

Données personnelles	Toute information se rapportant à une personne physique identifiée ou identifiable. Cela inclut le nom, l'adresse, l'adresse IP, ou toute autre donnée permettant d'identifier une personne.
Consentement	Manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, d'un commun accord, que des données à caractère personnel la concernant soient traitées.
Délégué à la protection des données (DPO)	Personne désignée par une organisation pour informer, conseiller et contrôler le respect du RGPD au sein de l'entreprise. Il est le point de contact avec l'autorité de contrôle.
Violation de données	Manquement de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, la modification, la divulgation ou l'accès non autorisé à des données personnelles.
Droit à l'effacement	Principe permettant à une personne de demander la suppression de ses données personnelles lorsque celles-ci ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées.

Attention à ces idées reçues

Idée reçue courante

Le RGPD interdit toute collecte de données personnelles.

Ce qu'il faut enseigner à la place

Le RGPD n'interdit pas la collecte de données : il l'encadre. Six bases légales permettent le traitement de données personnelles (consentement, exécution d'un contrat, obligation légale, intérêt vital, mission de service public, intérêt légitime). L'étude de cas d'entreprises sanctionnées aide les élèves à comprendre que c'est l'absence de base légale ou de transparence qui pose problème.

Idée reçue courante

Accepter les cookies revient à donner un consentement éclairé au sens du RGPD.

Ce qu'il faut enseigner à la place

Le consentement éclairé au sens du RGPD exige une information claire, spécifique et un acte positif non ambigu. Les bandeaux de cookies qui utilisent des dark patterns (bouton "Tout accepter" mis en évidence, refus complexe) ne respectent pas ces exigences. La CNIL a sanctionné plusieurs entreprises pour ces pratiques.

Idée reçue courante

Le droit à l'oubli permet de faire supprimer n'importe quelle information en ligne.

Ce qu'il faut enseigner à la place

Le droit à l'effacement (article 17 du RGPD) comporte des exceptions importantes : liberté d'expression et d'information, obligation légale, archivage dans l'intérêt public, recherche scientifique ou historique. L'exercice de rédaction d'une demande d'accès aide les élèves à distinguer les cas où ce droit s'applique de ceux où il est limité.

Idées d'apprentissage actif

Étude de cas: Les sanctions CNIL

Par groupes, les élèves analysent une décision de sanction réelle de la CNIL (Google, Amazon, Clearview AI). Ils identifient l'infraction, les principes du RGPD violés, le montant de la sanction et son effet dissuasif. Chaque groupe présente son cas en trois minutes à la classe.

40 min·Petits groupes

Jeu de simulation: Mise en conformité RGPD d'une entreprise fictive

Les binômes reçoivent le profil d'une PME fictive (type de données collectées, nombre de salariés, activité). Ils rédigent un plan de mise en conformité en s'appuyant sur une fiche-outil listant les obligations du RGPD. Le résultat est comparé à un corrigé-type.

35 min·Binômes

Exercice pratique : Rédiger une demande d'accès à ses données

Chaque élève rédige un courrier-type de demande d'accès à ses données personnelles auprès d'un service en ligne qu'il utilise, en respectant les exigences formelles du RGPD. Le professeur fournit un modèle et les élèves l'adaptent à leur situation personnelle.

25 min·Individuel

Quiz interactif : Vrai ou faux sur le RGPD

Le professeur projette des affirmations sur le RGPD et les élèves votent vrai ou faux (main levée ou outil numérique). Chaque réponse est suivie d'une explication juridique précise. Les affirmations couvrent les idées reçues les plus courantes (consentement, cookies, droit à l'oubli).

20 min·Classe entière

Liens avec le monde réel

• Les juristes spécialisés en droit du numérique travaillent dans des cabinets d'avocats ou des entreprises pour conseiller sur la mise en conformité RGPD, comme l'a fait la CNIL lors de ses contrôles auprès de plateformes comme TikTok ou Facebook.
• Les responsables de la sécurité des systèmes d'information (RSSI) dans les grandes entreprises, telles que Orange ou Carrefour, doivent implémenter des mesures techniques et organisationnelles pour prévenir les violations de données et notifier les autorités en cas d'incident.
• Les développeurs d'applications mobiles, comme ceux de Deezer ou de jeux vidéo, doivent intégrer dès la conception les principes de 'privacy by design' et 'privacy by default' pour respecter le RGPD.

Idées d'évaluation

Question de discussion

Présentez aux élèves un scénario fictif : une entreprise collecte des données de localisation sans consentement explicite. Demandez-leur : Quels principes du RGPD cette entreprise enfreint-elle ? Quelles seraient les conséquences potentielles pour l'entreprise et pour les utilisateurs ?

Vérification rapide

Distribuez une courte liste de termes liés au RGPD (ex: DPO, consentement, minimisation). Demandez aux élèves de définir chaque terme en une phrase et d'expliquer pourquoi il est important pour la protection de la vie privée.

Billet de sortie

Sur un post-it, demandez aux élèves d'écrire une action concrète qu'ils peuvent réaliser pour mieux protéger leurs données personnelles en ligne, en lien avec les principes du RGPD étudiés.

Questions fréquentes

Quels sont les principes fondamentaux du RGPD ?

Le RGPD repose sur sept principes : licéité, loyauté et transparence du traitement ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; responsabilité du responsable de traitement. Chaque principe vise à protéger les droits des personnes tout en permettant une utilisation légitime des données.

Quelles sanctions la CNIL peut-elle infliger en cas de violation du RGPD ?

La CNIL peut prononcer des rappels à l'ordre, des injonctions de mise en conformité, des limitations ou interdictions de traitement, et des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En 2022, les amendes cumulées prononcées par la CNIL ont dépassé 100 millions d'euros.

Comment exercer son droit d'accès aux données personnelles ?

Toute personne peut demander à un organisme si des données la concernant sont traitées, et obtenir une copie de ces données. La demande peut être faite par courrier ou par voie électronique. L'organisme dispose d'un mois pour répondre. En cas de refus ou d'absence de réponse, une réclamation peut être déposée auprès de la CNIL.

Pourquoi étudier le RGPD avec des méthodes actives en Terminale ?

Le RGPD touche directement les pratiques numériques des lycéens. Les études de cas de sanctions réelles rendent le droit concret. La simulation de mise en conformité développe la capacité à appliquer un texte juridique à une situation pratique. La rédaction d'une demande d'accès transforme un droit théorique en compétence exercée.