RGPD.exe — Apprendre le RGPD en jouant le DPO d'une start-up des années 90

Lisez-moi.txt

Le RGPD, vu depuis le bureau du DPO

Le RGPD s'apprend souvent en lisant des articles de loi. Résultat : tout le monde a entendu parler des cookies et des 72 heures, mais peu de gens savent quoi faire le jour où un client demande « toutes ses données ». RGPD.exe met le joueur à la place du DPO, face aux situations que vivent vraiment les entreprises.

Boîte de réception — 1 nouveau message

De : Margaux — Fondatrice & CEO de Tartine
Objet : Perso ou pas perso ?

Bienvenue chez Tartine ! Premier jour, premier tri : notre disque dur déborde de fichiers. Dis-moi ce qui est une donnée personnelle… et ce qui n'en est pas une.

Chaque mission commence comme ça : un e-mail d'un collègue, un problème bien réel.

Mémoire vive : 640 Ko… OK

Four à pain : préchauffé… OK

Chargement du module RGPD.exe…

Vérification des cookies (les vrais)… OK

C:\TARTINE> _

Un vrai poste de DPO

Pas de cours magistral : des e-mails, un chat interne, des documents à caviarder, des panneaux à régler. On fait le travail d'un DPO, sur un ordinateur des années 90 plein d'humour.

Chaque erreur est expliquée

Octet, la disquette bavarde, explique pourquoi après chaque réponse. Moins d'erreurs, plus d'étoiles : 0 erreur = 3 étoiles. On apprend en se trompant, sans risque.

Des cas réels, vérifiés

Arrêt Breyer, recommandation cookies, lignes directrices du CEPD, Data Privacy Framework, sanctions de la CNIL : le contenu est vérifié sur les sources officielles et chaque fiche cite son article.

Propriétés système — RGPD.exe

Dossiers: 6
Missions: 30
Mini-jeux: 6
Fiches du classeur: 30
Étoiles à gagner: 90
Durée moyenne: 2 h 30

Essaie tout de suite

Mission 1.1 : perso ou pas perso ?

La toute première mission du jeu, ici même. Range chaque fichier dans la bonne boîte : Octet t'explique chaque réponse, et les erreurs coûtent des étoiles.

Dossier 1 · Mission 1.1 — Perso ou pas perso ?

Range chaque fichier dans la bonne boîte.

Triés :

Carnet d'adresses

L'équipe de Tartine compte sur toi

Douze salariés, des croissants livrés en 15 minutes… et beaucoup de données personnelles. Chaque collègue t'écrit avec ses problèmes, et ses questions sont celles qu'on entend dans toutes les entreprises.

Margaux

Fondatrice & CEO de Tartine

Elle t'embauche, t'envoie le quiz d'intégration… et t'appelle au secours quand la CNIL sonne à l'accueil.

Karim

CTO, chef des devs

Bases légales, traceurs, habilitations, transferts hors UE : ses questions sont techniques, ses deadlines aussi.

Inès

Responsable marketing

Formulaire « gourmand », bandeau cookies à 94 % d'acceptation, réseau social maison : elle a toujours une idée.

Paul

Service client

Sa boîte déborde de demandes d'accès, d'effacement et de clients qui racontent un peu trop leur vie.

Lucie

Ressources humaines

Durées de conservation des dossiers du personnel et ronde « bureau propre » à l'heure du déjeuner.

M. Leroy

Contrôleur de la CNIL

Il arrive à la fin, avec une carte officielle et un grand sourire. Il veut voir « le DPO ».

Octet

Ton assistant disquette

Il cligne des yeux, il sourit quand tu as juste, il fait la moue quand tu te trompes. Et il explique toujours pourquoi.

Dans le jeu

Six façons de jouer le DPO

Chaque mission est un mini-jeu, pensé pour la notion qu'il enseigne. On ne coche pas des cases au hasard : on inspecte, on trie, on répond, on règle, on noircit. Cliquez sur une capture pour l'agrandir.

Trier.exe

Trier

Une pile de fiches à ranger dans la bonne boîte : donnée personnelle ou pas, sensible ou ordinaire, responsable de traitement ou sous-traitant, AIPD obligatoire ou non.

Repérer.exe

Repérer

Un formulaire, un bandeau cookies, une politique de confidentialité ou un bureau à inspecter. Attention : toucher ce qui est correct compte aussi comme une erreur.

Tartine Chat.exe

Tartine Chat

Un collègue, un client ou la CNIL pose une question dans la messagerie interne. Une mauvaise réponse est barrée, expliquée, et on réessaie.

Plan d'action.exe

Plan d'action

Remettre les étapes dans l'ordre et écarter les fausses bonnes idées. Pendant la fuite de données, un compte à rebours de 72 heures défile.

Réglages.exe

Réglages

Un panneau à régler ligne par ligne : durées de conservation, bandeau cookies, droits d'accès, paramètres par défaut. On vérifie, les lignes fausses sont expliquées.

Marqueur noir.exe

Marqueur noir

Noircir ce qui identifie quelqu'un dans un document. Le piège : dans une demande d'accès, les données du demandeur, elles, doivent rester.

Deuxième essai

Mission 3.1 : le bandeau qui piège

L'agence growth d'Inès jure que son bandeau est « 100 % RGPD ». Touche chaque piège. Attention : certains éléments sont très bien comme ils sont, et les toucher compte comme une erreur.

https://tartine.fr

Explorateur de missions

6 dossiers, du premier tri au contrôle de la CNIL

Chaque dossier compte 5 missions et se termine par un défi ★. Un dossier s'ouvre quand le précédent est terminé : la progression suit celle d'une vraie prise de poste.

Missions — RGPD.exe

Dossier 1 Premiers pas

Données personnelles, données sensibles et qui fait quoi

Premier jour chez Tartine : Margaux te demande de trier le disque dur. Qu'est-ce qu'une donnée personnelle, une donnée sensible ? Qui est responsable de traitement, qui est sous-traitant ? Puis tu caviardes un témoignage client pour le blog et tu passes le quiz d'intégration à la machine à café.
- 1.1 Perso ou pas perso ? Trier
- 1.2 Données sensibles Trier
- 1.3 Qui est qui ? Trier
- 1.4 Le témoignage anonyme Marqueur noir
- Le quiz d'intégration Tartine Chat
Dossier 2 Les grands principes

Minimisation, bases légales, finalités et durées de conservation

Le formulaire d'inscription d'Inès demande… tout. Tu appliques la minimisation, tu associes chaque traitement à l'une des six bases légales, tu fixes les durées de conservation et tu tries les « idées du lundi ». Défi : la politique de confidentialité écrite par le stagiaire.
- 2.1 Le formulaire gourmand Repérer
- 2.2 Sur quelle base ? Trier
- 2.3 Le grand ménage Réglages
- 2.4 Les idées du lundi Tartine Chat
- La politique du stagiaire Repérer
Dossier 3 Cookies & consentement

Bandeaux, traceurs et consentement valable

L'agence growth a livré un bandeau à 94 % d'acceptation. Trop beau pour être légal. Tu débusques les dark patterns, tu tries les traceurs exemptés, tu règles le bandeau idéal, puis tu juges des cas réels, amendes de la CNIL à l'appui.
- 3.1 Le bandeau qui piège Repérer
- 3.2 Exempté ou pas ? Trier
- 3.3 Le bandeau idéal Réglages
- 3.4 Parlons consentement Tartine Chat
- Valable ou pas valable ? Trier
Dossier 4 Les droits des personnes

Accès, effacement, opposition… et les délais pour répondre

La boîte du support déborde. Tu reconnais chaque droit, même mal formulé, tu guides Paul dans sa première demande d'accès, tu noircis les données des tiers et tu effaces un compte partout, sous-traitants compris.
- 4.1 La boîte du support Trier
- 4.2 La demande d'accès Tartine Chat
- 4.3 Les données des autres Marqueur noir
- 4.4 Supprimez-moi ! Plan d'action
- La semaine des demandes Tartine Chat
Dossier 5 Sécurité & fuites

Bonnes pratiques, droits d'accès et violation en 72 h

Ronde « bureau propre » pendant la pause déjeuner, habilitations au moindre privilège… puis vendredi, 23 h 04 : la base clients est en vente sur un forum. Tu as 72 heures pour contenir, évaluer, notifier la CNIL et prévenir les clients.
- 5.1 Bonnes ou mauvaises pratiques ? Trier
- 5.2 La ronde du midi Repérer
- 5.3 Qui voit quoi ? Réglages
- 5.4 Vendredi, 23 h 04 Plan d'action
- Violation ou pas ? Tartine Chat
Dossier 6 Contrôle CNIL

Registre, AIPD, transferts hors UE et sanctions

Registre des traitements, analyse d'impact, transferts hors de l'Union, protection des données dès la conception. Et pour finir, M. Leroy, contrôleur de la CNIL, attend à l'accueil : à toi de lui montrer que Tartine est en règle.
- 6.1 Le registre des traitements Réglages
- 6.2 AIPD ou pas AIPD ? Trier
- 6.3 Les données prennent l'avion Tartine Chat
- 6.4 Tartine Social Réglages
- Le contrôle de la CNIL Tartine Chat

Classeur RGPD

30 fiches pour garder les bons réflexes

Chaque mission réussie ajoute une fiche au Classeur RGPD : la définition, le bon réflexe et l'article de référence. À la fin, le joueur repart avec un mémo complet, à rouvrir le jour où la question se pose pour de vrai.

Premiers pas

Donnée personnelle

Demande-toi : peut-on retrouver la personne, même en croisant avec d'autres infos ?

Art. 4.1 RGPD

Données sensibles

Ne collecte une donnée sensible que si c'est indispensable, et avec une exception de l'article 9.

Art. 9 RGPD

Responsable & sous-traitant

Pour chaque prestataire : un contrat de sous-traitance qui fixe ses obligations.

Art. 4, 24 et 28 RGPD

Anonymiser ≠ pseudonymiser

Pense aux identifiants indirects (adresse, numéro de commande, détails trop précis) et aux tiers cités.

Considérant 26, art. 4.5 RGPD

Le RGPD en bref

Aucune déclaration préalable : c'est à l'organisme de prouver sa conformité (principe de responsabilité).

Art. 2, 3, 5.2 et 39 RGPD

Les grands principes

Minimisation des données

Pour chaque champ, demande : à quoi sert-il, précisément ? Sans réponse claire, on le supprime.

Art. 5.1.c RGPD

Les six bases légales

Le consentement n'est pas la solution miracle : s'il est retiré, le traitement doit s'arrêter.

Art. 6 RGPD

Durée de conservation

Consulte les référentiels de la CNIL et programme des purges automatiques.

Art. 5.1.e RGPD

Limitation des finalités

Nouvelle idée de réutilisation ? Vérifie qu'elle est compatible avec la finalité d'origine, sinon il faut une nouvelle base légale.

Art. 5.1.a, b et d RGPD

Transparence

Fais relire ta politique par quelqu'un qui ne connaît pas le RGPD : s'il ne comprend pas, réécris-la.

Art. 12 et 13 RGPD

Cookies & consentement

Le bandeau cookies

Test simple : combien de clics pour tout refuser ? Autant que pour tout accepter.

Art. 82 loi Informatique et Libertés ; recommandation CNIL 2020

Traceurs exemptés

Un traceur exempté doit quand même être mentionné dans ta politique cookies.

Art. 82 loi Informatique et Libertés ; lignes directrices CNIL 2020

Refuser aussi facilement

Fermer le bandeau avec la croix peut valoir refus… à condition de l'indiquer clairement.

Lignes directrices et recommandation CNIL (2020)

Le consentement

Pas de consentement valable ? Alors aucune donnée collectée sur cette base ne peut être utilisée.

Art. 4.11, 7 et 8 RGPD ; art. 45 loi I&L ; art. L34-5 CPCE

Les amendes cookies

Les cookies sont depuis des années l'un des grands axes de contrôle de la CNIL. Teste ton bandeau régulièrement.

Art. 82 loi Informatique et Libertés ; art. 4.11 et 7 RGPD

Les droits des personnes

Les droits des personnes

Forme ton équipe support à reconnaître une demande de droit, même mal formulée.

Art. 12 à 22 RGPD

Le droit d'accès

Ne demande une pièce d'identité qu'en cas de doute raisonnable sur l'identité.

Art. 12 et 15 RGPD

Accès et données des tiers

Caviarder, oui ; tout refuser « parce qu'il y a des tiers », non.

Art. 15.4 RGPD

Le droit à l'effacement

Effacer, c'est partout : base, outils des sous-traitants… et pas juste « désactiver ».

Art. 17 et 19 RGPD

Décision automatisée

Un algorithme peut proposer ; pour les décisions importantes, prévois un humain qui peut trancher.

Art. 21 et 22 RGPD

Sécurité & fuites

Obligation de sécurité

Le Guide de la sécurité des données personnelles de la CNIL est une excellente check-list.

Art. 32 RGPD

Sécurité du poste de travail

Réflexe en partant : Windows + L (ou Ctrl + Cmd + Q sur Mac) pour verrouiller.

Art. 32 RGPD · Guide sécurité CNIL

Moindre privilège

Fais une revue des habilitations au moins une fois par an : tu seras surpris·e des comptes oubliés.

Art. 5.1.f, 25 et 32 RGPD

Violation : la règle des 72 h

La notification se fait en ligne sur cnil.fr. Prépare ta procédure avant l'incident, pas pendant !

Art. 33 et 34 RGPD

Registre des violations

Note aussi pourquoi tu n'as pas notifié : c'est ta preuve en cas de contrôle.

Art. 4.12, 33.2 et 33.5 RGPD

Contrôle CNIL

Le registre des traitements

La dérogation « moins de 250 salariés » ne couvre pas les traitements réguliers (une réforme européenne est en cours). Tiens-le à jour à chaque projet.

Art. 30 RGPD

L'analyse d'impact (AIPD)

Dans le doute, fais-la : c'est aussi ta meilleure preuve de conformité. L'outil PIA de la CNIL est gratuit.

Art. 35 RGPD

Transferts hors UE

Demande à chaque prestataire où sont ses serveurs… et d'où ses équipes accèdent aux données.

Art. 44 à 49 RGPD

Protection dès la conception

Le réglage le plus protecteur par défaut : l'utilisateur ouvre ce qu'il veut, quand il veut.

Art. 25 RGPD

Contrôles & sanctions

Ta meilleure défense : des preuves. Registre, AIPD, preuves de consentement, contrats, durées appliquées.

Art. 58, 83 RGPD ; art. 20 loi Informatique et Libertés

Dans le jeu

Un classeur qui se remplit en jouant

Le classeur s'ouvre depuis le bureau, comme un vrai logiciel. Une fiche verrouillée montre ce qu'il reste à apprendre ; une fiche gagnée se relit d'un clic, à tout moment.

Certificat de DPO.doc

Au bout des 30 missions, un certificat

Imprimable

« Tartine est en règle »

Quand les 30 missions sont réussies, Tartine OS 98 délivre un certificat de DPO au pseudo et à l'avatar du joueur, avec ses étoiles dossier par dossier (jusqu'à 90) et le tampon « Conforme ». M. Leroy repart avec un croissant. Payé, bien sûr.

Les étoiles récompensent la précision : 0 erreur = 3 étoiles, 1 ou 2 = 2 étoiles.
Chaque mission se rejoue pour améliorer son score : la meilleure note est gardée.

La mission 1.1 sur téléphone : une carte à glisser vers la bonne boîte

Le bandeau cookies de la mission 3.1 sur téléphone

Ordinateur, tablette, téléphone

Un ordinateur de 1998… qui tient dans la poche

Sur téléphone, les fenêtres passent en plein écran, Octet s'affiche en bas de l'écran et les cartes se trient d'un glissement de doigt. Sur ordinateur, tout se joue aussi au clavier.

Rien à installer : le jeu tourne dans le navigateur, même sur un poste verrouillé.
Réglages d'accessibilité : effet d'écran cathodique désactivable, animations réduites, musique et bruitages coupables.
Police de lecture Atkinson Hyperlegible, pensée pour la lisibilité.

Formation_RGPD.doc — Formateurs, écoles, entreprises

La sensibilisation RGPD que vos équipes finissent vraiment

Suivi mission par mission : qui avance, qui bloque, et sur quel dossier (cookies, droits des personnes, violations…).
Tous les métiers : marketing, RH, support, développeurs, managers. Chaque dossier part des situations de leur quotidien.
~2 h 30 de jeu, en sessions de 20 minutes : la progression est sauvegardée.
Contenu vérifié sur cnil.fr, les lignes directrices du CEPD, EUR-Lex et Légifrance, avec l'article de référence sur chaque fiche.
Zéro installation, zéro donnée superflue : un pseudo facultatif suffit. Minimisation oblige.

L'utiliser avec mes équipes Découvrir le suivi

Aide de Tartine OS 98

Tout savoir sur RGPD.exe

Faut-il des connaissances juridiques pour jouer à RGPD.exe ?

Non. Le jeu part de zéro : « une adresse e-mail, c'est une donnée personnelle ? ». Chaque notion arrive dans une mission courte, avec un cas concret de Tartine, et Octet explique chaque réponse, bonne ou mauvaise. Il s'adresse à tous les métiers : marketing, RH, support client, développeurs, managers.

Le contenu est-il fiable et à jour ?

Les missions ont été écrites à partir du RGPD, de la loi Informatique et Libertés et des recommandations de la CNIL, puis vérifiées sur cnil.fr, les lignes directrices du CEPD, EUR-Lex et Légifrance : durées de conservation, recommandation cookies, exemples de violations, listes d'AIPD, Data Privacy Framework, sanctions de la CNIL. Les projets de réforme européenne sont présentés comme des propositions. Le jeu vulgarise : pour un cas réel, on se réfère à cnil.fr ou à son DPO.

Combien de temps faut-il pour finir RGPD.exe ?

Comptez environ 2 h 30 pour les 30 missions. Une mission dure quelques minutes et la progression est sauvegardée : on peut jouer par sessions de 20 minutes, pendant une pause ou en début de formation.

Peut-on l'utiliser pour sensibiliser des salariés ou des apprenants ?

Oui, c'est fait pour. La sensibilisation du personnel fait partie des missions du DPO (article 39 du RGPD). Un formateur assigne le jeu à sa classe en un clic et suit la progression de chaque apprenant, mission par mission : qui avance, qui bloque, et sur quel dossier.

Le jeu collecte-t-il des données sur les joueurs ?

Le moins possible, évidemment. À l'ouverture de session, on choisit un avatar et un pseudo facultatif, qui restent sur l'appareil. Quand on joue avec un compte Reverb Games (dans une classe, par exemple), seule la progression est enregistrée pour être suivie par le formateur.

Peut-on jouer sur téléphone ?

Oui. Sur téléphone, les fenêtres passent en plein écran, les explications d'Octet s'affichent en bas de l'écran, les cartes se trient d'un glissement de doigt et chaque bouton est assez grand pour le pouce. Au clavier, on répond avec 1 à 9, on trie avec ← →, on valide avec Entrée.

Le jeu est-il en français ?

Oui, en français et en anglais : on choisit la langue à l'ouverture de session, ou à tout moment dans les Réglages.

Arrêter Tartine OS 98

Que voulez-vous faire ?

Margaux t'attend dans ta boîte de réception. Le disque dur déborde, Octet est prêt, et M. Leroy n'a pas encore sonné.

▶ Jouer L'utiliser avec ma classe

Raccourcis.lnk — Autres jeux Reverb Games

République en Kit Agora Hangeul Express Mémoire Vive Intox Neon Query Zéro Faille Maison Flex Biais & Bâtons Git Quest Premier Réflexe Hameçon Kana Shinkansen Rideau de Fer Coup de Pinceau Cellule 404 Bon à tirer Bas de Laine Consignation Fourche Levée Marche en Avant Dos Droit Point de Rassemblement Mise au point Électron Libre