ICS CDPP

Description

Les personnes titulaires de la certification ICS Certified Data Protection Practitioner de l’Irish Computer Society possèdent une compréhension pratique du cadre irlandais de protection des données, du Règlement général sur la protection des données (RGPD), des droits des personnes concernées et des responsabilités des organisations qui traitent des données à caractère personnel.

 

Chapitre d’examen 1 : Cadre irlandais de protection des données

Section 1 du programme : Justification de la protection des données et contexte législatif

• 1.1. Comprendre l’objectif des législations relatives à la vie privée et à la protection des données
• 1.2. Expliquer pourquoi les personnes doivent être protégées lorsque leurs données à caractère personnel sont collectées, utilisées, conservées et communiquées
• 1.3. Comprendre l’évolution de la législation relative à la protection des données en Irlande et en Europe
• 1.4. Reconnaître la relation entre la législation irlandaise relative à la protection des données et le droit de l’Union européenne
• 1.5. Comprendre le rôle de la protection des données dans la recherche d’un équilibre entre les droits individuels et les intérêts légitimes des organisations et de la société

Section 2 du programme : Règlement général sur la protection des données (RGPD)

• 2.1. Expliquer le statut juridique et l’applicabilité directe du RGPD
• 2.2. Comprendre comment le RGPD s’applique dans l’ensemble de l’Espace économique européen
• 2.3. Distinguer un règlement de l’Union européenne d’une directive de l’Union européenne
• 2.4. Reconnaître les domaines dans lesquels le RGPD permet aux États membres d’introduire des règles nationales complémentaires
• 2.5. Comprendre le champ d’application territorial du RGPD
• 2.6. Reconnaître les situations dans lesquelles un traitement peut ne pas relever du champ d’application du RGPD, notamment lorsqu’il est effectué dans le cadre d’activités strictement personnelles ou domestiques

Section 3 du programme : Principaux termes relatifs à la protection des données

• 3.1. Définir les données à caractère personnel et reconnaître les informations se rapportant à une personne physique identifiée ou identifiable
• 3.2. Distinguer une personne concernée, un responsable du traitement, un sous-traitant, un destinataire et un tiers
• 3.3. Identifier les catégories particulières de données à caractère personnel visées à l’article 9 du RGPD
• 3.4. Comprendre les règles distinctes applicables aux données à caractère personnel relatives aux condamnations pénales et aux infractions
• 3.5. Distinguer les données anonymisées des données pseudonymisées
• 3.6. Comprendre dans quelles conditions des dossiers papier structurés font partie, ou sont destinés à faire partie, d’un fichier
• 3.7. Reconnaître la signification des termes traitement, profilage et prise de décision automatisée

 

Chapitre d’examen 2 : Gouvernance des droits des personnes concernées

Section 4 du programme : Demande d’accès de la personne concernée

• 4.1. Reconnaître les demandes d’accès valables formulées par écrit ou oralement
• 4.2. Comprendre qu’une personne qui formule une demande n’est pas tenue de faire expressément référence au RGPD
• 4.3. Appliquer des mesures raisonnables et proportionnées de vérification de l’identité
• 4.4. Comprendre les informations et les données à caractère personnel qui doivent être fournies en réponse à une demande d’accès
• 4.5. Identifier les informations qui ne doivent normalement pas être communiquées dans une réponse à une demande d’accès
• 4.6. Appliquer le délai de réponse d’un mois et comprendre dans quelles circonstances une prolongation peut être autorisée
• 4.7. Reconnaître les circonstances dans lesquelles des données à caractère personnel peuvent être temporairement retenues pendant la résolution d’une question relative à l’identité ou d’un autre problème légitime
• 4.8. Comprendre le droit de la personne concernée d’introduire une réclamation auprès de la Commission de protection des données en cas de réponse inadéquate

Section 5 du programme : Principes et concepts relatifs à la protection des données

• 5.1. Expliquer les principes de licéité, de loyauté et de transparence
• 5.2. Comprendre la limitation des finalités et les restrictions applicables à l’utilisation de données à caractère personnel à des fins incompatibles
• 5.3. Appliquer le principe de minimisation des données
• 5.4. Expliquer l’obligation incombant au responsable du traitement de garantir que les données à caractère personnel sont exactes et, si nécessaire, tenues à jour
• 5.5. Appliquer le principe de limitation de la conservation lors de la définition des durées de conservation
• 5.6. Comprendre les exigences relatives à l’intégrité, à la confidentialité et à la sécurité
• 5.7. Expliquer le principe de responsabilité et l’obligation de démontrer la conformité
• 5.8. Appliquer les principes relatifs à la protection des données aux dossiers électroniques et aux dossiers papier structurés

Section 6 du programme : Bases juridiques du traitement des données

• 6.1. Identifier les bases juridiques prévues à l’article 6 du RGPD
• 6.2. Comprendre dans quelles circonstances le traitement est nécessaire à l’exécution d’un contrat ou à l’exécution de mesures précontractuelles
• 6.3. Expliquer dans quelles circonstances le traitement est nécessaire au respect d’une obligation légale
• 6.4. Comprendre le traitement effectué dans l’intérêt public ou relevant de l’exercice de l’autorité publique
• 6.5. Appliquer les tests de nécessité et de mise en balance associés aux intérêts légitimes
• 6.6. Comprendre les limites applicables aux autorités publiques qui invoquent des intérêts légitimes dans l’exécution de leurs missions
• 6.7. Identifier les conditions susceptibles d’autoriser le traitement de catégories particulières de données à caractère personnel
• 6.8. Reconnaître les traitements nécessaires au respect d’obligations relevant du droit du travail, à la constatation, à l’exercice ou à la défense de droits en justice, à la sauvegarde des intérêts vitaux ou pour des motifs d’intérêt public important

Section 7 du programme : Consentement

• 7.1. Expliquer la définition du consentement selon le RGPD
• 7.2. Comprendre les exigences selon lesquelles le consentement doit être libre, spécifique, éclairé et univoque
• 7.3. Reconnaître la nécessité d’un acte positif clair
• 7.4. Comprendre pourquoi le consentement peut ne pas être valable en présence d’un déséquilibre des pouvoirs
• 7.5. Expliquer pourquoi le consentement peut ne pas constituer une base appropriée dans certaines situations professionnelles
• 7.6. Comprendre l’obligation du responsable du traitement de démontrer qu’un consentement valable a été obtenu
• 7.7. Expliquer le droit de la personne concernée de retirer son consentement aussi facilement qu’elle l’a donné
• 7.8. Distinguer le consentement des autres bases juridiques du traitement

Section 8 du programme : Droits des personnes concernées

• 8.1. Identifier les principaux droits accordés aux personnes par le RGPD
• 8.2. Comprendre les droits de rectification, d’effacement et de limitation du traitement
• 8.3. Expliquer le droit d’opposition au traitement, notamment au traitement à des fins de prospection directe
• 8.4. Identifier les situations dans lesquelles le droit à la portabilité des données s’applique
• 8.5. Comprendre les conditions applicables aux décisions fondées exclusivement sur un traitement automatisé, y compris le profilage
• 8.6. Expliquer le droit d’obtenir des informations utiles concernant la logique sous-jacente à une décision automatisée
• 8.7. Reconnaître les situations dans lesquelles une personne peut demander une intervention humaine ou contester une décision automatisée
• 8.8. Comprendre le droit d’obtenir réparation d’un dommage matériel ou moral

 

Chapitre d’examen 3 : Responsabilité en matière de protection des données

Section 9 du programme : Transparence en matière de protection des données

• 9.1. Expliquer l’objectif d’une notice d’information relative à la vie privée
• 9.2. Identifier les informations qui doivent être fournies lorsque des données à caractère personnel sont collectées directement auprès d’une personne
• 9.3. Comprendre les obligations de transparence applicables lorsque des données à caractère personnel sont obtenues auprès d’une autre source
• 9.4. Appliquer les délais prévus pour fournir les informations de transparence visées à l’article 14
• 9.5. Comprendre l’obligation de fournir les informations avant la première communication de données à caractère personnel obtenues indirectement
• 9.6. Reconnaître l’importance d’informations relatives à la vie privée qui soient claires, accessibles et formulées dans un langage simple
• 9.7. Comprendre les informations qui doivent figurer dans le registre des activités de traitement d’un responsable du traitement
• 9.8. Expliquer le cadre de responsabilité du RGPD et la suppression de l’ancienne obligation générale de notification des traitements

Section 10 du programme : Violations de données à caractère personnel

• 10.1. Reconnaître les situations dans lesquelles un incident de sécurité constitue une violation de données à caractère personnel
• 10.2. Distinguer les violations de la confidentialité, de l’intégrité et de la disponibilité
• 10.3. Évaluer si une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes
• 10.4. Comprendre dans quelles circonstances la Commission de protection des données doit être notifiée
• 10.5. Appliquer l’obligation de notifier l’autorité de contrôle dans les meilleurs délais et, si possible, dans un délai de 72 heures
• 10.6. Comprendre dans quelles circonstances une violation doit également être communiquée aux personnes concernées
• 10.7. Expliquer l’obligation du responsable du traitement de documenter les violations de données à caractère personnel
• 10.8. Comprendre l’obligation du sous-traitant de notifier le responsable du traitement dans les meilleurs délais
• 10.9. Appliquer les responsabilités relatives à la notification des violations dans le cadre d’une responsabilité conjointe du traitement

Section 11 du programme : Principaux acteurs et leurs rôles

• 11.1. Distinguer les responsabilités des responsables du traitement de celles des sous-traitants
• 11.2. Comprendre comment les responsables conjoints du traitement déterminent leurs responsabilités respectives au moyen d’un accord transparent
• 11.3. Expliquer l’obligation des responsables du traitement de choisir des sous-traitants présentant des garanties suffisantes
• 11.4. Comprendre l’objectif et le contenu obligatoire d’un accord relatif au traitement des données
• 11.5. Reconnaître les obligations du sous-traitant en matière de confidentialité, de sécurité et d’assistance
• 11.6. Expliquer le rôle, l’indépendance et les missions légales du délégué à la protection des données
• 11.7. Identifier les situations dans lesquelles un responsable du traitement ou un sous-traitant doit désigner un délégué à la protection des données
• 11.8. Comprendre les exigences applicables lorsqu’une organisation désigne volontairement un délégué officiel à la protection des données
• 11.9. Distinguer le rôle de conseil et de contrôle du délégué à la protection des données de la responsabilité opérationnelle du responsable du traitement en matière de conformité

 

Chapitre d’examen 4 : Contrôle réglementaire

Section 12 du programme : Autorité de contrôle

• 12.1. Comprendre le rôle de la Commission de protection des données en tant qu’autorité de contrôle irlandaise
• 12.2. Identifier les pouvoirs d’enquête, les pouvoirs correctifs, les pouvoirs consultatifs et les pouvoirs d’autorisation d’une autorité de contrôle
• 12.3. Expliquer la responsabilité de l’autorité de contrôle consistant à sensibiliser le public aux droits et aux risques relatifs à la protection des données et à favoriser leur compréhension
• 12.4. Comprendre le pouvoir de l’autorité de contrôle d’exiger des informations de la part des organisations
• 12.5. Reconnaître le pouvoir de l’autorité de contrôle d’émettre des avertissements et des rappels à l’ordre, d’imposer des limitations du traitement et d’infliger des amendes administratives
• 12.6. Distinguer la réglementation relative à la protection des données des responsabilités des autres organismes nationaux de réglementation

Section 13 du programme : Responsabilités organisationnelles

• 13.1. Expliquer la responsabilité du responsable du traitement en matière de conformité au RGPD
• 13.2. Comprendre l’obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées
• 13.3. Appliquer la protection des données dès la conception et par défaut
• 13.4. Élaborer et appliquer des calendriers de conservation appropriés
• 13.5. Comprendre l’importance de politiques, de procédures et de registres documentés
• 13.6. Expliquer l’obligation de tenir un registre des activités de traitement lorsque cela est applicable
• 13.7. Comprendre la nécessité de procéder à une diligence raisonnable appropriée concernant les sous-traitants et d’assurer un contrôle contractuel
• 13.8. Appliquer les exigences de confidentialité et de contrôle des accès aux membres du personnel et aux autres personnes autorisées
• 13.9. Comprendre les responsabilités organisationnelles relatives à la prospection directe et aux oppositions formulées par les personnes concernées

Section 14 du programme : Réglementation et application de la législation

• 14.1. Comprendre comment le RGPD est appliqué par les autorités de contrôle et les juridictions nationales
• 14.2. Expliquer le droit des personnes d’introduire une réclamation auprès de la Commission de protection des données
• 14.3. Comprendre la distinction entre les mesures réglementaires d’exécution et les actions civiles visant à obtenir réparation
• 14.4. Reconnaître les circonstances dans lesquelles des mesures correctives et des amendes administratives peuvent être imposées
• 14.5. Expliquer les facteurs pris en compte pour déterminer le montant approprié d’une amende administrative
• 14.6. Comprendre le traitement des données effectué à des fins journalistiques, universitaires, artistiques ou littéraires en droit irlandais
• 14.7. Expliquer dans quelles circonstances certaines dispositions du RGPD peuvent être limitées afin de protéger la liberté d’expression et d’information
• 14.8. Reconnaître les infractions pertinentes et les sanctions prononcées par les juridictions en vertu de la législation irlandaise relative à la protection des données

 

Chapitre d’examen 5 : Gestion des risques liés à la protection des données

Section 15 du programme : Risques

• 15.1. Identifier les risques résultant de la collecte, de l’utilisation, de la conservation, de la communication et de la suppression de données à caractère personnel
• 15.2. Évaluer la probabilité et la gravité des risques pour les droits et libertés des personnes
• 15.3. Comprendre la distinction entre les risques pour les personnes et les risques commerciaux ou les risques d’atteinte à la réputation d’une organisation
• 15.4. Identifier les risques associés aux catégories particulières de données, aux données financières et aux autres informations sensibles
• 15.5. Appliquer la minimisation des données, les contrôles d’accès, la pseudonymisation et le chiffrement en tant que mesures de réduction des risques
• 15.6. Comprendre l’importance de la confidentialité, de l’intégrité, de la disponibilité et de la résilience
• 15.7. Expliquer la nécessité de rétablir rapidement l’accès aux données à caractère personnel à la suite d’un incident physique ou technique
• 15.8. Comprendre l’importance de tester, d’analyser et d’évaluer régulièrement les mesures de sécurité

Section 16 du programme : Analyse d’impact relative à la protection des données (AIPD)

• 16.1. Expliquer l’objectif d’une analyse d’impact relative à la protection des données
• 16.2. Identifier les activités de traitement susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes
• 16.3. Comprendre dans quelles circonstances une AIPD doit être réalisée
• 16.4. Expliquer pourquoi une AIPD doit être achevée avant le début du traitement concerné
• 16.5. Identifier et évaluer les risques pendant la conception et le développement d’une activité de traitement
• 16.6. Comprendre la responsabilité du responsable du traitement concernant la réalisation de l’AIPD
• 16.7. Expliquer la responsabilité du délégué à la protection des données de fournir des conseils, sur demande, et de contrôler la réalisation de l’AIPD
• 16.8. Comprendre dans quelles circonstances une consultation préalable de la Commission de protection des données peut être requise

Section 17 du programme : Violations, amendes et sanctions

• 17.1. Distinguer les niveaux inférieur et supérieur des amendes administratives prévues par le RGPD
• 17.2. Identifier les violations susceptibles de relever de chacun des niveaux d’amende
• 17.3. Comprendre que le montant maximal d’une amende peut reposer sur un montant fixe ou sur un pourcentage du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
• 17.4. Expliquer pourquoi une amende administrative doit être effective, proportionnée et dissuasive
• 17.5. Comprendre la responsabilité potentielle des responsables du traitement et des sous-traitants en cas de violation du RGPD
• 17.6. Reconnaître les situations dans lesquelles un sous-traitant peut être responsable lorsqu’il agit en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci
• 17.7. Comprendre la possibilité d’obtenir une réparation civile pour un dommage matériel ou moral
• 17.8. Reconnaître les infractions pénales et les sanctions prévues par la législation irlandaise relative à la protection des données

Section 18 du programme : Transferts de données à l’étranger

• 18.1. Comprendre dans quelles circonstances les règles du RGPD relatives aux transferts internationaux s’appliquent
• 18.2. Distinguer les transferts au sein de l’EEE des transferts vers des pays tiers ou des organisations internationales
• 18.3. Expliquer les effets d’une décision d’adéquation
• 18.4. Comprendre l’utilisation des clauses contractuelles types et d’autres garanties appropriées
• 18.5. Reconnaître les rôles des responsables du traitement et des sous-traitants dans les transferts internationaux de données
• 18.6. Identifier les dérogations limitées prévues à l’article 49 du RGPD
• 18.7. Appliquer les dérogations relatives aux contrats, aux droits en justice, aux motifs importants d’intérêt public et aux intérêts vitaux
• 18.8. Comprendre la nécessité d’évaluer les circonstances et les risques associés à un projet de transfert international

 

Résultats professionnels

Les personnes titulaires de la certification ICS Certified Data Protection Practitioner sont en mesure de :

• Expliquer le cadre juridique irlandais et européen régissant le traitement des données à caractère personnel
• Reconnaître les données à caractère personnel, les catégories particulières de données à caractère personnel et les principaux rôles définis par le RGPD
• Appliquer les principes relatifs à la protection des données et identifier une base juridique appropriée pour le traitement
• Répondre de manière appropriée aux demandes d’accès et aux autres demandes d’exercice des droits des personnes concernées
• Préparer et tenir à jour des notices d’information relatives à la vie privée, des calendriers de conservation, des registres des activités de traitement et des accords relatifs au traitement des données
• Comprendre les responsabilités des responsables du traitement, des sous-traitants, des responsables conjoints du traitement et des délégués à la protection des données
• Identifier et évaluer les violations de données à caractère personnel et appliquer les exigences de notification correspondantes
• Soutenir la conformité d’une organisation au moyen de politiques, de mesures de sécurité et de documents de responsabilité appropriés
• Reconnaître les situations dans lesquelles une analyse d’impact relative à la protection des données est requise et contribuer à l’évaluation des traitements à haut risque
• Comprendre les pouvoirs de la Commission de protection des données et les conséquences potentielles d’une non-conformité
• Identifier les garanties appropriées et les dérogations applicables aux transferts de données à caractère personnel à l’étranger
• Appliquer les exigences irlandaises relatives à la protection des données à des situations pratiques concernant l’emploi, la prospection directe, les soins de santé, le recrutement et les informations relatives aux clients

De manière générale, une personne titulaire de la certification ICS Certified Data Protection Practitioner possède les connaissances nécessaires pour soutenir la mise en conformité pratique au RGPD, identifier et gérer les risques liés à la protection des données, répondre aux demandes d’exercice des droits des personnes et contribuer au traitement responsable des données à caractère personnel au sein d’une organisation.