TP – Trois situations d'entreprise

BTS SIO SISR 2e année – Bloc 3 – S04 – en binôme ; partie D individuelle

Note

But. Appliquer le cadre juridique à trois situations qui ressemblent à celles de l'étude de cas de l'épreuve E7 : un prestataire qui traite des données, une violation de données, un administrateur qui dépasse ses droits.

Durée : 3 h 10. Prérequis : cours S04 lu. Aucune machine : tout se fait sur les textes et les situations.

Warning

Les situations sont fictives. Les références juridiques sont à relire à la source (Légifrance, site de la CNIL) : cite l'article tel que tu le lis, et écris « à vérifier » quand tu doutes.

Note

Comment ce TP fonctionne. Tu anticipes d'abord (« J'anticipe »), puis tu raisonnes avec les textes. Une bonne réponse a la forme : faits du dossier → règle → conséquence → action.

Binôme : ____________ / ____________

Partie A – Un prestataire pour la paie (≈ 50 min)

La situation

Le Cabinet Delorme (comptables, 18 salariés) veut confier la paie de ses clients à un éditeur en ligne, PayVéga (société fictive) : saisie des salariés, bulletins, déclarations. Le contrat standard de PayVéga tient en deux pages. Extraits :

« 4. PayVéga conserve les données tant que le compte est actif et deux ans après sa fermeture. » « 6. PayVéga peut recourir à tout prestataire de son choix pour l'hébergement et l'assistance, y compris hors de l'Union européenne. » « 9. En cas d'incident, PayVéga informe le client dans un délai raisonnable. » « 11. La responsabilité de PayVéga est plafonnée au montant des sommes payées sur les 3 derniers mois. »

Le cabinet traite des numéros de sécurité sociale, des salaires et des coordonnées bancaires de salariés de ses clients.

A1 – Qualifier

J'anticipe. Dans cette relation, le Cabinet Delorme et PayVéga sont-ils responsable de traitement ou sous-traitant ? ______________________

Question	Réponse	Justification
Qui est responsable de traitement pour la paie des salariés des clients ?
Quel est le rôle de PayVéga ?
Les données sont-elles sensibles au sens du RGPD ? Sont-elles à risque ?

A2 – Auditer le contrat

Relève, pour chaque clause, ce qui ne convient pas et ce qu'il faut demander :

Clause	Problème (règle, article)	Ce qu'on demande
4 (conservation)
6 (autres prestataires, hors UE)
9 (incident)
11 (responsabilité)
Clauses absentes (cite-en trois)

A3 – Décision

Le cabinet doit-il signer ? Écris une recommandation de cinq lignes à l'associé gérant : conditions pour signer, point qu'il faut absolument obtenir, alternative si PayVéga refuse.

Partie B – Une fuite de données (≈ 55 min)

La situation

Lundi, 9 h. Le Cabinet Delorme constate qu'un ordinateur portable d'une collaboratrice a été volé dans sa voiture vendredi soir. Elle l'a signalé à l'accueil le lundi à 8 h 30. Le disque n'est pas chiffré. Un tableur y est enregistré : 1 200 clients (nom, adresse, numéro de téléphone, courriel) et, pour 150 d'entre eux, le numéro de sécurité sociale. Il n'existe pas de sauvegarde récente ; aucun registre des violations.

B1 – Qualifier

J'anticipe. S'agit-il d'une violation de données personnelles ? Quel(s) critère(s) est-il atteint ? ______________________

Question	Réponse	Justification
Est-ce une violation de données ? Atteinte à quel critère (D, I, C) ?
À quelle date et heure la prise de connaissance a-t-elle lieu ? Jusqu'à quand court le délai de 72 h ?
Quel est le niveau de risque pour les personnes (faible, probable, élevé) ? Pourquoi ?

B2 – Décider les obligations

Obligation	Oui / Non	Délai	Justification
Consigner dans un registre des violations
Notifier la CNIL
Informer les personnes concernées
Porter plainte pour le vol (non imposé par le RGPD : conseillé)

B3 – Rédiger la notification

Prépare le contenu de la notification à la CNIL : complète les cinq rubriques.

Rubrique	Contenu
Nature de la violation
Catégories et nombre approximatif de personnes et d'enregistrements
Conséquences probables
Mesures prises ou envisagées
Contact

B4 – Pour que cela ne se reproduise pas

Je comprends. Propose trois mesures techniques ou organisationnelles qui auraient réduit le risque, et dis lequel des trois critères (D, I, C) chacune protège :

Mesure	Critère	Effet sur le risque

Partie C – L'administrateur curieux (≈ 40 min)

La situation

Karim est administrateur système d'une PME. Un vendredi soir, par curiosité, il utilise son compte d'administration pour :

ouvrir le dossier RH\Évaluations du serveur de fichiers et lire l'évaluation de son responsable ;
lire la boîte de messagerie de la directrice des ressources humaines, dont il a le mot de passe d'administration ;
copier une liste de salaires sur sa clé USB personnelle « pour la regarder chez lui » ;
effacer, dans les journaux, la trace de ses accès.

La charte de l'entreprise interdit ces usages et rappelle le devoir de confidentialité de l'administrateur.

C1 – Qualifier les faits

J'anticipe. Karim avait-il les droits techniques pour tout cela ? Avait-il le droit juridique ? ______________________

Fait	Infraction ou manquement possible	Article ou règle (relu à la source)
1. Ouvrir le dossier RH
2. Lire la messagerie
3. Copier la liste
4. Effacer les journaux

C2 – Responsabilités

Question	Réponse
Karim peut-il se défendre en disant qu'il a « les droits administrateur » ?
L'employeur peut-il être concerné ? Comment ?
Quels sanctions sont possibles (disciplinaires, civiles, pénales) ?

C3 – Ce que l'entreprise aurait dû avoir

Je comprends. Propose trois mesures qui limitent ce risque d'abus (organisation, technique, contrat) : ______________________

Partie D – Synthèse écrite (≈ 20 min, individuel)

Rédige, pour une des trois situations au choix, une réponse d'étude de cas de dix lignes sur le modèle :

Faits (en citant la situation) ;
Règle applicable (article ou principe) ;
Conséquence pour l'organisation ;
Action recommandée, justification et limite.

Retour en entreprise (si ta situation le permet)

Observer : ton entreprise a-t-elle un registre des traitements ? Un registre des violations ? Un délégué à la protection des données ?
Documenter : relis un contrat avec un prestataire de ton entreprise et relève trois clauses qui touchent aux données.

Rendu

Compte rendu PDF, nommé RENDU-B3A2-S04-NOM.pdf, contenant les tableaux des parties A à C et la synthèse de la partie D.

Bilan de la séance

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B3.1 – Protéger les données à caractère personnel
B3.2 – Préserver l'identité numérique de l'organisation

Note

Je sais faire, sans aide :

Qualifier responsable de traitement et sous-traitant ;
Repérer ce qu'un contrat de sous-traitance doit contenir ;
Appliquer la règle des 72 heures et le registre des violations ;
Distinguer un droit technique d'un droit juridique.

Ce que je dois reprendre : ______________________