FAQ : existe-t-il un label ou une certification RGPD ?

Certification RGPD, DPD - DPO

 

Avant le 25 mai 2018, il existait un certain nombre de labels et référentiels CNIL officiels traitant de la protection des données :

certification CNIL
  • référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
  • référentiel pour la délivrance de labels en matière de procédures de gouvernance tendant à assurer la protection des données ;
  • référentiel pour la délivrance de labels en matière de services de coffre-fort numérique ;
  • référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel.

À l'entrée en vigueur de la loi RGPD, la CNIL a cessé de délivrer les labels liés directement à la RGPD qui resteront valables jusqu'à leur date d'échéance normale. Une société ou un auditeur peut donc faire valoir ces anciens labels, ce qui démontrera un certain niveau de compétence en matière de protection des données, mais jusqu'à l'entrée en vigueur de la nouvelle certification CNIL sur la protection des données, il serait abusif de le présenter et l'utiliser en tant que garantie de conformité RGPD.

Que va-t-il se passer en 2019 ?

La CNIL a redéfini deux référentiels qui entreront en vigueur courant 2019 pour certifier les niveaux de compétence RGPD :

  • un concerne la certification des personnes physiques (DPD / DPO)
  • un autre est un agrément des organismes certificateurs.

Délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO)

Dans cette délibération parue au journal officiel, les éléments suivants ont été retenu pour pouvoir délivrer une certifcation DPD/DPO

Catégorie 1. Conditions préalables à remplir par le candidat à la certification

Exigence 1.1. Pour pouvoir accéder à la phase d'évaluation, le candidat remplit l'une des conditions préalables suivantes :

  • justifier d'une expérience professionnelle d'au moins 2 ans dans des projets, activités ou tâches en lien avec les missions du DPO s'agissant de la protection des données personnelles ; ou
  • justifier d'une expérience professionnelle d'au moins 2 ans ainsi que d'une formation d'au moins 35 heures en matière de protection des données personnelles reçue par un organisme de formation.

Catégorie 2. Compétences et savoir-faire

  • Exigence 2.1. Le candidat connaît et comprend les principes de licéité du traitement, de limitation des finalités, de minimisation des données, d'exactitude des données, de conservation limitée des données, d'intégrité, de confidentialité et de responsabilité.
  • Exigence 2.2. Le candidat sait identifier la base juridique d'un traitement.
  • Exigence 2.3. Le candidat sait déterminer les mesures appropriées et le contenu de l'information à fournir aux personnes concernées.
  • Exigence 2.4. Le candidat sait établir des procédures pour recevoir et gérer les demandes d'exercice des droits des personnes concernées.
  • Exigence 2.5. Le candidat connaît le cadre juridique relatif à la sous-traitance en matière de traitement de données personnelles.
  • Exigence 2.6. Le candidat sait identifier l'existence de transferts de données hors Union européenne et sait déterminer les instruments juridiques de transfert susceptibles d'être utilisés.
  • Exigence 2.7. Le candidat sait élaborer et mettre en œuvre une politique ou des règles internes en matière de protection des données.
  • Exigence 2.8. Le candidat sait organiser et participer à des audits en matière de protection des données.
  • Exigence 2.9. Le candidat connaît le contenu du registre d'activités de traitement, du registre des catégories d'activités de traitement et de la documentation des violations de données ainsi que de la documentation nécessaire pour prouver la conformité à la réglementation en matière de protection des données.
  • Exigence 2.10. Le candidat sait identifier des mesures de protection des données dès la conception et par défaut adaptées aux risques et à la nature des opérations de traitement.
  • Exigence 2.11. Le candidat sait participer à l'identification des mesures de sécurité adaptées aux risques et à la nature des opérations de traitement.
  • Exigence 2.12. Le candidat sait identifier les violations de données personnelles nécessitant une notification à l'autorité de contrôle et celles nécessitant une communication aux personnes concernées.
  • Exigence 2.13. Le candidat sait déterminer s'il est nécessaire ou non d'effectuer une analyse d'impact relative à la protection des données (AIPD) et sait en vérifier l'exécution.
  • Exigence 2.14. Le candidat sait dispenser des conseils en matière d'analyse d'impact relative à la protection des données (en particulier sur la méthodologie, l'éventuelle sous-traitance, les mesures techniques et organisationnelles à adopter).
  • Exigence 2.15. Le candidat sait gérer les relations avec les autorités de contrôle, en répondant à leurs sollicitations et en facilitant leur action (instruction des plaintes et contrôles en particulier).
  • Exigence 2.16. Le candidat sait élaborer, mettre en œuvre et est en capacité de dispenser des programmes de formation et de sensibilisation du personnel et des instances dirigeantes en matière de protection des données.
  • Exigence 2.17. Le candidat sait assurer la traçabilité de ses activités, notamment à l'aide d'outils de suivi ou de bilan annuel.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

* Cette case à cocher est obligatoire

*

J'accepte