AgentPublic/cnil huggingface dataset:
EM22. La procédure d'audit permet d'assurer que la documentation examinée par l'auditeur est consultée dans les locaux de l'audité ou est anonymisée si elle est consultée hors des locaux de l'audité. Ce principe est inscrit dans la clause de confidentialité établie entre le prestataire et le commanditaire de l'audit.
EM23. La procédure d'audit permet d'assurer que la documentation examinée par l'auditeur est adéquate pour réaliser l'audit et que le commanditaire de l'audit en est informé si ce n'est pas le cas. Pour qu'elle soit adéquate, elle comprend notamment les critères et les conclusions des éventuels audits préalablement réalisés, ainsi que les politiques internes relatives à la protection des données à caractère personnel, dans le champ de l'audit.
EM24. La procédure d'audit permet d'assurer que les instruments de recueil d'informations qui seront employés par l'équipe d'audit (questionnaires, guides d'entretien, logiciel d'analyse...) sont pertinents au regard des vérifications prévues et qu'ils sont éprouvés (des tests préliminaires ont été réalisés, des utilisations antérieures ont démontré leur justesse...).
EM25. La procédure d'audit permet d'assurer que les échantillonnages réalisés (personnes interrogées, vérifications effectuées, données contrôlées...) sont suffisamment représentatifs.
EM26. La procédure d'audit permet d'assurer que le plan d'audit, la manière dont les actions d'audit seront menées et les circuits de communication sont validés avec les responsables des activités du champ de l'audit et leurs questions traitées.
EM27. La procédure d'audit permet d'assurer que le responsable de l'équipe d'audit élabore un plan d'audit validé par le commanditaire de l'audit. Ce plan d'audit contient notamment les objectifs de l'audit, les critères d'audit, les documents de référence, le champ d'audit, les dates, lieux, horaires et durée d'audit sur site, les rôles et responsabilités ainsi que la mise à disposition des ressources appropriées et, éventuellement, les objections de l'audité. Les critères d'audit tiennent compte des audits préalablement réalisés et des politiques internes relatives à la protection des données à caractère personnel. 
1.7. Exigences relatives à la réalisation des audits 
EM28. La procédure d'audit permet d'assurer que l'accès et l'utilisation de données à caractère personnel nécessitant une habilitation particulière sont réservés aux personnes dûment habilitées à le faire, et ce dans le respect de la loi et de la réglementation. Ce principe est inscrit dans le contrat établi entre le prestataire et le commanditaire de l'audit.
EM29. La procédure d'audit permet de vérifier que seules les personnes disposant d'une habilitation particulière ont effectivement accès aux données et peuvent les utiliser.
EM30. La procédure d'audit permet d'assurer que l'audité, et, si nécessaire, le commanditaire de l'audit, est informé de l'avancement et de toute difficulté rencontrée de manière régulière.
EM31. La procédure d'audit permet d'assurer que les preuves d'audit sont constituées à partir d'une vérification juridique et technique des informations recueillies et consignées.
EM32. La procédure d'audit permet d'assurer que les données à caractère personnel collectées en tant que preuve sont soit anonymisées, soit uniquement consultables au sein des locaux de l'audité, tout en étant conservées de manière à assurer leur confidentialité. Ce principe est inscrit dans la clause de confidentialité établie entre le prestataire et le commanditaire de l'audit.
EM33. La procédure d'audit permet d'assurer que les constats d'audit sont élaborés en évaluant la conformité des preuves d'audit par rapport aux critères d'audit.
EM34. La procédure d'audit permet d'assurer que l'équipe d'audit prépare les conclusions d'audit sur la base des constats d'audit.
EM35. La procédure d'audit permet d'assurer que les preuves, les constats et les conclusions d'audit sont présentés à l'audité afin de vérifier sa compréhension et de faire reconnaître les preuves comme exactes et que toute divergence d'opinion subsistant à l'issue de la discussion est consignée. 
1.8. Exigences relatives à la finalisation des audits
EM36. La procédure d'audit permet d'assurer que le rapport d'audit fournit un enregistrement complet, concis, précis et clair de l'audit (contenant au minimum : date du rapport d'audit, objectifs de l'audit, champ d'audit, commanditaire de l'audit, équipe d'audit, dates et lieux des activités d'audit sur site, critères d'audit, constats d'audit et conclusions d'audit), est émis dans les délais convenus à moins qu'une nouvelle date d'émission ne soit fixée, est approuvé selon la procédure retenue et est diffusé aux destinataires identifiés par le commanditaire de l'audit.
EM37. La procédure d'audit permet d'assurer que les documents relatifs à l'audit (documentation fournie, plan d'audit, preuves d'audit, rapport d'audit...) sont conservés de manière à préserver leur confidentialité ou détruits de manière définitive et sécurisée s'ils ne sont plus utiles à l'issue de l'audit. 
2. Référentiel d'évaluation du contenu des audits de conformité de traitements
2.1. Exigences relatives aux bases de connaissances utilisées 
EC01. La procédure d'audit s'appuie sur une base de connaissances en conformité avec les réglementations françaises et communautaires. Les recommandations d'interprétation au niveau français et européen peuvent également être prises en compte.
EC02. La procédure d'audit s'appuie sur une base de connaissances reflétant l'état de l'art en matière de sécurité des systèmes d'information et dispose d'une méthode permettant de la mettre à jour régulièrement.
2.2. Exigences relatives à l'organisme audité 
EC03. La procédure d'audit dispose d'une méthode permettant d'identifier la structure organisationnelle de l'organisme audité, les systèmes d'information, les flux d'information concernés et les normes juridiques spécifiques dans le champ de l'audit.
EC04. La procédure d'audit permet d'apprécier l'existence et l'efficacité de l'organisation et de la documentation pour gérer les traitements de données à caractère personnel dans le champ de l'audit.
EC05. La procédure d'audit permet d'apprécier, dans le cas où l'audité dispose d'un correspondant Informatique et libertés (CIL), les moyens qui lui sont accordés pour réaliser sa mission et le bilan de celle-ci. 
2.3. Exigences relatives à l'identification des traitements 
EC06. La procédure d'audit décrit un processus méthodologique d'énumération de tous les traitements identifiés à l'intérieur du champ de l'audit.
EC07. La procédure d'audit contient un processus de détection des traitements éventuellement non identifiés par le responsable de traitement au sein du champ de l'audit.
EC08. La procédure d'audit permet d'identifier les recours éventuels à des prestataires extérieurs.
EC09. La procédure d'audit permet d'identifier et de catégoriser l'ensemble des données à caractère personnel utilisées dans les traitements inclus dans le champ de l'audit.
EC10. La procédure d'audit permet de caractériser la responsabilité de l'organisme audité au regard des traitements au sein du champ de l'audit, en déterminant notamment si l'organisme est responsable de traitement ou sous-traitant au sens de la loi Informatique et libertés.
EC11. La procédure d'audit permet de déterminer la loi nationale de protection des données applicable à chaque traitement se trouvant dans le champ de l'audit.
EC12. La procédure d'audit contient une approche méthodologique pour réaliser un bilan des formalités préalables ou des éléments portés dans le registre du CIL, le cas échéant permettant de vérifier leur exhaustivité et leur exactitude. 
2.4. Exigences relatives à l'appréciation de la licéité des traitements 
EC13. La procédure d'audit permet d'obtenir une description exacte des finalités des traitements inclus dans le champ de l'audit.
EC14. La procédure d'audit permet d'apprécier le fondement légal de chaque traitement inclus dans le champ de l'audit.
EC15. La procédure d'audit comprend une démarche particulière pour déterminer si les données à caractère personnel des traitements inclus dans le champ de l'audit sont pertinentes, adéquates et non excessive au regard des finalités identifiées.
EC16. La procédure d'audit permet d'évaluer si les données à caractère personnel utilisées sont toutes nécessaires au regard de la finalité recherchée et si certaines d'entres elles pourraient être partiellement ou totalement anonymisées tout en permettant d'atteindre la finalité désirée.
EC17. La procédure d'audit permet d'évaluer la qualité de la méthode de recueil des données à caractère personnel auprès de personnes concernées, notamment pour apprécier son caractère loyal et licite.
EC18. La procédure d'audit permet de s'assurer que les traitements confiés à des prestataires font l'objet d'un contrat de prestation de service.
EC19. La procédure d'audit permet de s'assurer que les contrats de prestation de services contiennent des dispositions relatives aux mesures de sécurité et des instructions claires données par le responsable de traitement à son prestataire.
EC20. La procédure d'audit dispose d'une méthode d'identification des flux de données hors de l'Union européenne.
EC21. La procédure d'audit permet de vérifier l'existence et la conformité des instruments juridiques permettant d'encadrer les transferts hors de l'Union européenne. 
2.5. Exigences relatives à l'étude des personnes accédant aux données 
EC22. La procédure d'audit dispose d'une méthode permettant de recenser et de catégoriser l'ensemble des personnes qui, en raison de leurs fonctions, sont chargées de traiter les données à caractère personnel qui sont inclues dans le champ de l'audit.
EC23. La procédure d'audit permet d'évaluer la politique d'habilitation appliquée à chaque personne ayant un accès légitime aux données identifiées, au regard du principe de limitation des accès au besoin d'en connaître. 
2.6. Exigences relatives à l'analyse des durées de conservation 
EC24. La procédure d'audit comprend une démarche particulière pour recenser les durées de conservation des données à caractère personnel utilisées.
EC25. La procédure d'audit comprend une démarche particulière pour déterminer si les durées de conservation sont adéquates.
EC26. La procédure d'audit prévoit des contrôles pertinents sur les systèmes d'information par des auditeurs techniques afin de vérifier si les durées de conservation appliquées sont conformes aux durées prévues.
EC27. La procédure d'audit prévoit des contrôles afin de vérifier que les données font l'objet d'une suppression effective à l'expiration de leur durée de conservation.
EC28. La procédure d'audit examine également la politique d'archivage des données à caractère personnel, le cas échéant, au regard des recommandations de la CNIL en la matière. 
2.7. Exigences relatives à l'étude de la sécurité 
EC29. La procédure d'audit permet d'analyser et d'évaluer la démarche mise en œuvre par les responsables de traitement pour assurer la confidentialité, l'intégrité et la disponibilité des données à caractère personnel entrant dans le champ de l'audit.
EC30. La procédure d'audit comprend une démarche particulière pour identifier les principaux risques que les traitements dans le champ de l'audit font peser sur les libertés et la vie privée des personnes concernées en cas d'atteinte à la sécurité des données à caractère personnel, en tenant compte des éventuels sous-traitants. Cette démarche permet notamment d'estimer ces risques en termes de gravité et de vraisemblance.
EC31. La procédure d'audit comprend une démarche particulière pour identifier les mesures de sécurité mises en œuvre et pour évaluer leur pertinence vis-à-vis des risques identifiés et estimés, notamment pour gérer les incidents de sécurité liés aux données à caractère personnel.
EC32. La procédure d'audit permet de déterminer si les mesures de sécurité identifiées sont correctement mises en œuvre et s'appuie sur des vérifications adéquates effectuées sur les systèmes d'information, réalisées par des auditeurs techniques . 
2.8. Exigences relatives à l'étude du respect des droits des personnes 
EC33. La procédure d'audit permet de vérifier que les personnes concernées disposent d'un droit d'accès, de rectification et, le cas échéant, d'un droit d'opposition.
EC34. La procédure d'audit permet de contrôler que les droits des personnes peuvent être exercés de manière effective et dans des délais raisonnables.
EC35. La procédure d'audit permet de vérifier que les personnes disposent d'une information correcte, accessible et claire sur leurs droits, ainsi que sur les autres éléments d'information prévus par la loi. 
2.9. Exigences relatives à l'étude des traitements particuliers 
EC36. La procédure d'audit permet de déterminer le régime juridique dont relèvent les traitements au sein du champ de l'audit et d'étudier la conformité aux dispositions particulières afférentes en matière de protection des données à caractère personnel, notamment :
 - l'utilisation de données sensibles ;
 - les traitements portant sur des données génétiques, les traitements portant sur des infractions, les traitements d'exclusion, les interconnexions, les traitements utilisant le NIR, les traitements portant une appréciation sur les difficultés sociales des personnes, les traitements biométriques ;
 - les traitements du monde de la santé (recherche et évaluation des pratiques) ;
 - les traitements aux fins de journalisme et d'expression littéraire et artistique ;
 - les traitements mettant en œuvre un processus d'anonymisation ;
 - les traitements mis en œuvre par l'Etat. 
Pour la présidente :
Le vice-président délégué,
E. de Givry
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu la loi n°95-73 modifiée du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, notamment son article 10 ;
Vu le décret n° 2005-1309 modifié du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 61 ;
Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Décide :
Article 1er : Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l'article 10 de la loi du 21 janvier 1995 :
Mme Maryline ABIVEN, attachée au service du droit d'accès indirect à la direction des relations avec les usagers et du contrôle ;Mme Aurélie BANCK, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Emmanuelle BARTOLI, attachée au service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l'expertise ;Mme Leslie BASSE, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;M. Franck BAUDOT, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;Mme Anna BENISTI, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;Mme Tiphaine BESSIERE, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Céline BOYER, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Véronique BREMOND, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;M. Thierry CARDONA, ingénieur au service des contrôle à la direction des relations avec les usager et du contrôle ;Mme Delphine CARNEL, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Johanna CARVAIS, attachée au service
des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;M. Jérôme COUZIGOU, attaché au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;M. Thomas DAUTIEU, chef du service des contrôles à la direction avec les usagers et du contrôle ;M. Guillaume DELAFOSSE, chargé de mission au service des plaintes à la direction des relations avec les usagers et du contrôle ;M. Xavier DELPORTE, adjoint au chef du service de l'orientation et du renseignement du public à la direction des relations avec les usagers et du contrôle ;Mme Alexandra DORE, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;M. Julien DROCHON, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;Mme Wafae EL BOUJEMAOUI, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;M. Lionel ERRANDONEA, auditeur au service des contrôles à la direction des relations avec les usagers et du contrôle ;M. Norbert FORT, chef du service des plaintes à la direction des relations avec les usagers et du contrôle ;Mme Florence FOURETS, directrice des relations avec les usagers et du contrôle ;M. Emile GABRIE, attaché au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;M. Matthieu GRALL, ingénieur expert au service de l'expertise
informatique à la direction des affaires juridiques, internationales et de l'expertise ;M. Nour GUEDOUAR, auditeur au service des contrôles à la direction des relations avec les usagers et du contrôle ;M. Michel GUEDRÉ, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;Mme Alexandra GUERIN-FRANÇOIS, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Fatima HAMDI, chef du service de l'orientation et du renseignement du public à la direction des relations avec les usagers et du contrôle ;Mme Aurélie HARVENT, attachée au service des correspondants à la direction des relations avec les usagers et du contrôle ;M. Paul HEBERT, chef du service des affaires juridiques à la direction des affaires juridiques,internationales et de l'expertise ;M. Armand HESLOT, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;Mme Odile JAMI, chargée de mission au service des plaintes à la direction des relations avec les usagers et du contrôle ;Mme Karin KIEFER, attachée au service de la gestion des sanctions à la direction des relations avec les usagers et du contrôle ;M. Stéphane LABARTHE, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;Mme Elise LATIFY, auditrice au service des contrôles à la direction des relations avec les
usagers et du contrôle ;M. Bernard LAUNOIS, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;M. Gwendal LE GRAND, chef du service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;Mme Frédérique LESAULNIER, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;M. Laurent LIM, chargé de mission au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;M. Mathias MOULIN, chef du service des correspondants à la direction des relations avec les usagers et du contrôle ;Mme Alice de LA MURE, attachée au service des correspondants à la direction des relations avec les usagers et du contrôle ;Mme Sophie NERBONNE, directrice adjointe des affaires juridiques, internationales et de l'expertise ;M. Yann PADOVA, secrétaire général ;M. Bertrand PAILHES, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;M. Christophe-Alexandre PAILLARD, directeur des affaires juridiques, internationales et de l'expertise ;M. Alain PANNETRAT, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;Mme Betty PAPADOPOULOS, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;Mme
Danièla PARROT, adjointe au chef du service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Astrid PEYRARD, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;M. Judicaël PHAN, attaché au service des affaires juridiques à la direction des affaires juridiques,internationales et de l'expertise ;Mme Délia RAHAL-LOFSKOG, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Florence RAYNAL, chef du service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l'expertise ;M. Patrick REFALO, directeur adjoint des relations avec les usagers et du contrôle ;M. Nicolas REVELLO, adjoint au chef du service des contrôles à la direction des relations avec les usagers et du contrôle ;Mme Marie-Charlotte ROQUES-BONNET, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;M. Adrien ROUSSEAUX, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;Mme Katty SAINT-GELAIS, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Albine VINCENT, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;M. Christophe VIVENT,
informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;Mme Sophie VULLIET-TAVERNIER, directrice des études, de l'innovation et de la prospective ;Mme Elise WOLTON, chef du service de la gestion des sanctions.
Article 2 : La délibération n° 2011-095 du 31 mars 2011 habilitant des agents de la CNIL à procéder à des missions de vérification sur place est abrogée.
Article 3 : Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4 : La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
 
La présidente,
Isabelle FALQUE-PIERROTIN