AgentPublic/cnil huggingface dataset:
EC04. La formation permet de comprendre et de connaître le principe de finalité des traitements.EC05. La formation permet de comprendre et connaître le principe de pertinence et d'adéquation des données à la finalité poursuivie.EC06. La formation permet de comprendre et de connaître le principe de la conservation limitée des données.EC07. La formation permet de comprendre et de connaître le principe relatif à la sécurité physique et logique des données, y compris dans un contexte de sous-traitance.EC08. La formation permet de comprendre et de connaître la notion de consentement, sa nécessité dans le contexte de mise en œuvre d'un traitement et les exceptions à son recueil.EC09. La formation permet de comprendre et de connaître les données dites sensibles et les conditions dans lesquelles elles peuvent être traitées.
2.3. Exigences relatives à la présentation des droits des personnesà l'égard des traitements de données à caractère personnel
EC10. La formation permet de comprendre et de connaître le droit à l'information des personnes concernées par un traitement et les obligations qui en résultent pour le responsable de traitement.EC11. La formation permet de comprendre et de connaître le droit d'opposition des personnes, les modalités de son exercice et les obligations qui en résultent pour le responsable de traitement.EC12. La formation permet de comprendre et de connaître le droit d'accès dont disposent les personnes concernées par un traitement et les obligations qui en résultent pour le responsable de traitement.EC13. La formation permet de comprendre et de connaître le droit de rectification et de suppression dont disposent les personnes concernées par un traitement et les obligations qui en résultent pour le responsable de traitement.
3. Référentiel d'évaluation du contenudes modules complémentaires de la formation3.1. Exigences relatives à la présentation de la CNILet de ses missions
ES01. La formation permet de comprendre et de connaître le statut et la composition de la CNIL.ES02. La formation permet de comprendre et de connaître l'organisation de la commission plénière, restreinte et des services.ES03. La formation permet de comprendre et connaître les différentes missions de la CNIL.
3.2. Exigences relatives à la présentation des formalitéspréalables à la mise en œuvre des traitements
ES04. La formation permet de comprendre et de connaître les différents régimes de formalités préalables.ES05. La formation permet de comprendre et de connaître, pour les différents régimes, les modalités selon lesquelles les formalités doivent être accomplies auprès de la CNIL et la manière dont elle les instruit.
3.3. Exigences relatives à la présentation de l'encadrementdes transferts de données hors de l'Union européenne
ES06. La formation permet de comprendre et de connaître les principes relatifs au transfert de données hors de l'Union européenne.ES07. La formation permet de comprendre et de connaître les différents moyens destinés à encadrer les transferts de données.ES08. La formation permet de comprendre et de connaître les formalités préalables applicables à un transfert de données hors de l'Union européenne.ES09. La formation permet de comprendre et de connaître les obligations du responsable de traitement concernant l'information des personnes concernées par le transfert hors de l'Union européenne de leurs données.
3.4. Exigences relatives à la présentation du rôle du correspondantà la protection des données à caractère personnel
ES10. La formation permet de comprendre et de connaître le statut du correspondant et les différents types de désignation.ES11. La formation permet de comprendre et de connaître les modalités et la procédure de désignation d'un correspondant.ES12. La formation permet de comprendre et de connaître les conditions dans lesquelles la liste des traitements doit être tenue par le correspondant.ES13. La formation permet de comprendre et de connaître les conditions dans lesquelles le correspondant traite les réclamations adressées au responsable des traitements.ES14. La formation permet de comprendre et de connaître les conditions dans lesquelles le correspondant doit établir le bilan annuel de son activité.ES15. La formation permet de comprendre et de connaître les conditions dans lesquelles le correspondant alerte le responsable de traitement sur les manquements qu'il constate.ES16. La formation permet de comprendre et de connaître les relations entre la CNIL et le correspondant.ES17. La formation permet de comprendre et de connaître les conditions et la procédure relative à la fin de mission du correspondant.
3.5. Exigences relatives à la présentation de l'encadrementdes traitements dans le domaine de la santé
ES18. La formation permet de connaître et de déterminer le régime de formalités préalables applicable selon que le traitement a pour objet la recherche dans le domaine de la santé (chapitre IX) ou l'évaluation ou l'analyse des pratiques ou des activités de soins et de prévention (chapitre X).ES19. La formation permet de comprendre et de connaître le contenu du dossier à présenter à la CNIL, que le traitement concerné relève du chapitre IX ou X de la loi.ES20. La formation permet de comprendre et de connaître les conditions dans lesquelles un traitement de données à caractère personnel ayant pour objet la recherche dans le domaine de la santé doit être mis en œuvre pour respecter les dispositions de la loi.ES21. La formation permet de comprendre et connaître les cas dans lesquels la commission peut, pour les traitements de recherche médicale, adopter des méthodologies de référence.ES22. La formation permet de comprendre et de connaître les droits des personnes qui participent à une recherche médicale et notamment le droit à l'information avec, dans certains cas, le recueil de leur consentement, et les obligations qui en résultent pour le responsable de traitement.ES23. La formation permet de comprendre et de connaître, pour les traitements de recherche médicale, les cas dans lesquels il peut être dérogé à l'obligation d'information prévue par la loi.ES24. La formation permet de comprendre et de connaître les conditions dans lesquelles un traitement de données à caractère
personnel ayant pour objet l'évaluation ou l'analyse des pratiques de soins et de prévention doit être mis en œuvre pour respecter les dispositions de la loi.ES25. La formation permet de comprendre et de connaître les garanties que doit présenter à la commission le responsable d'un traitement ayant pour objet l'évaluation ou l'analyse des pratiques de soins et de prévention.ES26. La formation permet de comprendre et de connaître les conditions de sécurité à mettre en œuvre pour garantir la confidentialité des informations traitées par le traitement considéré, qu'il relève du chapitre IX ou X.
3.6. Exigences relatives à la présentationdu pouvoir de contrôle a posteriori de la CNIL
ES27. La formation permet de comprendre et de connaître les différentes formes de contrôles a posteriori pouvant être effectués par la CNIL.ES28. La formation permet de comprendre et de connaître le formalisme associé à une procédure de contrôle.ES29. La formation permet de comprendre et de connaître les modalités pratiques d'exercice d'une procédure de contrôle.ES30. La formation permet de comprendre et de connaître les droits et les obligations du responsable de traitements et des représentants de la CNIL dans le cadre d'une procédure de contrôle.ES31. La formation permet de comprendre et de connaître les suites consécutives à un contrôle.
3.7. Exigences relatives à la présentation du pouvoir de sanction de la CNIL
ES32. La formation permet de comprendre et de connaître les différentes procédures de sanction pouvant être mises en œuvre par la CNIL.ES33. La formation permet de comprendre et de connaître le fonctionnement de la commission réunie en formation restreinte et le déroulement d'une séance.ES34. La formation permet de comprendre et de connaître le formalisme associé à une procédure de sanction, les droits et les obligations du responsable de traitement mis en cause et les voies de recours.ES35. La formation permet de comprendre et de connaître les conditions de publication et de publicité des sanctions.
3.8. Exigences relatives à la présentation des dispositions pénalesassociées au non-respect de la loi informatique et libertés
ES36. La formation permet de comprendre et de connaître les conditions dans lesquelles un délit d'entrave à l'action de la CNIL est constitué.ES37. La formation permet de comprendre et de connaître les sanctions pénales liées au non respect des exigences relatives au caractère loyal et licite de la collecte de données.ES38. La formation permet de comprendre et de connaître les sanctions pénales relatives aux atteintes aux droits d'accès, de rectification ou d'opposition de la personne.ES39. La formation permet de comprendre et de connaître les sanctions pénales liées au non-respect des exigences relatives à l'information des personnes.ES40. La formation permet de comprendre et de connaître les sanctions pénales liées au non-respect des exigences relatives aux formalités préalables.ES41. La formation permet de comprendre et de connaître les sanctions pénales liées au non-respect des exigences relatives à la sécurité des données.ES42. La formation permet de comprendre et de connaître les sanctions pénales liées au non-respect des exigences relatives à la durée de conservation des données.ES43. La formation permet de comprendre et de connaître les sanctions pénales liées au non-respect de la finalité des traitements.ES44. La formation permet de comprendre et de connaître les sanctions pénales liées au non-respect des exigences relatives au traitement des données sensibles.
Pour la présidente :
Le vice-président délégué,
E. de Givry
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 11, (3°, c) et 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2011-249 du 8 septembre 2011 portant modification de l'article 69 du règlement intérieur de la Commission nationale de l'informatique et des libertés et insérant un chapitre IV bis intitulé Procédure de labellisation ;
Après avoir entendu M. Jean-François Carrez, commissaire, en son rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'article 11, (3°, c) de la loi du 6 janvier 1978 modifiée dispose qu' à la demande d'organisations professionnelles ou d'institutions regroupant principalement des responsables de traitements, [...la CNIL] délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elles les a reconnus conformes aux dispositions de la [loi du 6 janvier 1978 modifiée] .
La commission a estimé que les demandes faites par des organisations professionnelles ou institutions regroupant principalement des responsables de traitements correspondent à un besoin des professionnels de ce secteur.
C'est la raison pour laquelle la commission accepte de délivrer des labels en matière d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel.
L'article 53-3 du règlement intérieur de la commission précise que l'examen d'une demande de label est effectué sur la base d'un référentiel établi par la commission. Ce référentiel définit les caractéristiques que doit présenter un produit ou une procédure afin que celui-ci soit reconnu conforme aux dispositions de la loi du 6 janvier 1978 modifiée. Il précise les modalités d'appréciation de cette conformité et, le cas échéant, les particularités relatives aux vérifications subséquentes à la délivrance du label .
Par conséquent, la présente délibération fixe le référentiel d'évaluation des procédures d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel.
Décide que le référentiel permettant l'évaluation des demandes de labels relatifs à des procédures d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel figure en annexe de la présente délibération, qui est publiée au Journal officiel de la République française. 
A N N E X E
RÉFÉRENTIEL AUX FINS DE LABELLISATION DES PROCÉDURES D'AUDIT
DE CONFORMITÉ DE TRAITEMENTS
Introduction 
Un audit Informatique et libertés est un audit dont les critères permettent de juger de la conformité de traitements de données à caractère personnel à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004.
Le champ d'un tel audit concerne les traitements de données à caractère personnel mis en œuvre dans un périmètre délimité, non seulement en termes de lieux, d'unités organisationnelles, d'activités, de processus ou de période de temps couverte, mais aussi en termes de types de traitements ou de traitements particuliers.
La procédure d'audit décrit le déroulement, la gestion et le contenu des audits, tel qu'ils sont mis en œuvre par le requérant. La terminologie complète est présentée dans les pages suivantes.
A cet effet, le présent référentiel définit les critères d'évaluation :
- portant sur la manière de conduire un audit (exigences sur la méthode, notées EMxx dans le chapitre Ier) ;
- portant sur les éléments à contrôler concernant les traitements de données à caractère personnel pendant l'audit (exigences sur le contenu, notées ECxx dans le chapitre II).
Une partie de ce référentiel (chapitre Ier) a été élaborée par la commission à partir des exigences de la norme NF ISO 19011 (Lignes directrices pour l'audit des systèmes de management de la qualité et/ou de management environnemental, 2002) et en les adaptant au contexte spécifique des audits Informatique et libertés . Seul le texte original et complet de la norme NF ISO 19011, telle que diffusée par AFNOR et accessible via le site internet www.afnor.org, a valeur normative en tant que norme industrielle.
Pour être valable, la démonstration de l'organisme sollicitant le label de la CNIL ne devra pas se contenter de reprendre le contenu des exigences pour indiquer que la procédure d'audit soumise à l'évaluation est conforme à celles-ci. Elle devra décrire la manière dont sa procédure d'audit y répond de manière spécifique, en fournissant des explications et des éléments de preuve tels que :
- un extrait pertinent du référentiel interne d'audit ;
- des exemples de questionnaires ou de scénarios d'entretiens utilisés ;
- un descriptif d'une méthode ou d'une procédure ;
- un descriptif de logiciel d'aide à la décision ou de tout autre système expert informatisé ;
- des copies d'écran illustrant des contrôles informatiques ou organisationnels ;
- tout autre élément documenté à disposition des auditeurs appliquant la procédure d'audit. 
Terminologie 
Audit
 
Processus systématique, indépendant et documenté en vue d'obtenir des preuves et de les évaluer de manière objective pour déterminer dans quelle mesure des critères prédéterminés sont satisfaits (d'après NF ISO 19011).
 
Note. - Lorsque deux ou plusieurs organismes d'audit coopèrent pour auditer un seul audité, on parle d'audit conjoint.
Audité
 
Organisme qui est audité (NF ISO 19011).
Auditeur
 
Personne possédant la compétence nécessaire pour réaliser un audit (NF ISO 19011).
Champ d'audit
 
Etendue et limites d'un audit (NF ISO 19011).
 
Note. - Le champ décrit généralement les lieux, les unités organisationnelles, les activités et les processus ainsi que la période de temps couverte.
Commanditaire de l'audit
 
Organisme ou personne demandant un audit (NF ISO 19011).
 
Note. - Le commanditaire peut être l'audité ou tout autre organisme qui a le droit réglementaire ou contractuel de demander un audit.
Compétence
 
Qualités personnelles et capacité démontrées à appliquer des connaissances et des aptitudes (NF ISO 19011).
Conclusions d'audit
Résultat d'un audit fourni par l'équipe d'audit après avoir pris en considération les objectifs de l'audit et tous les constats d'audit (NF ISO 19011).
Constats d'audit
 
Résultats de l'évaluation des preuves d'audit recueillies, par rapport aux critères d'audit (NF ISO 19011).
 
Note. - Les constats d'audit peuvent indiquer la conformité ou la non-conformité aux critères d'audit ou des opportunités d'amélioration.
Critères d'audit
 
Ensemble de politiques, procédures ou exigences déterminées (NF ISO 19011).
 
Note 1. - Les critères d'audit sont la référence vis-à-vis de laquelle les preuves d'audit sont comparées.
 
Note 2. - En français, les critères d'audit sont couramment appelés référentiel d'audit.
Equipe d'audit
 
Un ou plusieurs auditeurs réalisant un audit, assistés, si nécessaire, par des experts techniques (NF ISO 19011).
 
Note 1. - Un auditeur de l'équipe d'audit est nommé responsable de l'équipe d'audit.
 
Note 2. - L'équipe d'audit peut comprendre des auditeurs en formation.
Expert technique
 
Personne apportant à l'équipe d'audit des connaissances ou une expertise spécifiques (NF ISO 19011).
 
Note 1. - Ces connaissances ou cette expertise spécifiques sont relatives à l'organisme, au processus ou à l'activité à auditer, ou elles consistent en une assistance linguistique ou culturelle.
 
Note 2. - Au sein de l'équipe d'audit, un expert technique n'agit pas en tant qu'auditeur.
Plan d'audit
Description des activités et des dispositions nécessaires pour réaliser un audit (NF ISO 19011).
Preuves d'audit
 
Enregistrements, énoncés de faits ou autres informations, qui se rapportent aux critères d'audit et sont vérifiables. (NF ISO 19011).
 
Note. - Les preuves d'audit peuvent être qualitatives ou quantitatives.
Procédure d'audit
 
Description de l'ensemble du processus de gestion des audits mise en œuvre par le requérant.
Programme d'audit
 
Ensemble d'un ou plusieurs audits planifiés dans un laps de temps et dans un but déterminés. (NF ISO 19011).
 
Note. - Un programme d'audit comprend toutes les activités nécessaires pour la planification, l'organisation et la réalisation des audits.
Rapport d'audit
 
Document réalisé par l'équipe d'audit et remis à l'audité, qui fournit un enregistrement complet, concis, précis et clair de l'audit.
1. Référentiel d'évaluation de la méthode des audits de conformité de traitements
1.1. Exigences relatives aux principes à respecter 
EM01. Le requérant a mis en place une démarche visant à s'assurer de la conformité à la loi Informatique et libertés de l'ensemble des traitements qu'il met en œuvre pour l'ensemble de ses activités, dont l'audit.
EM02. La procédure d'audit comprend l'engagement que les auditeurs respectent les principes de déontologie, de présentation impartiale des résultats, de conscience professionnelle, d'indépendance et d'approche systématique. 
1.2. Exigences relatives à tous les auditeurs
EM03. La procédure d'audit permet d'assurer que les auditeurs ont une expérience professionnelle de cinq ans au minimum.
EM04. La procédure d'audit permet d'assurer que les auditeurs ont suivi une formation à la méthodologie d'audit (principes, procédures et techniques d'audit, documents relatifs à l'audit, lois, réglementations et autres exigences applicables pertinentes pour la discipline...) de vingt heures au minimum.
EM05. La procédure d'audit permet d'assurer que les auditeurs ont participé à deux audits au minimum, depuis leur déclenchement jusqu'à leur clôture, dans les deux dernières années.
EM06. La procédure d'audit permet d'assurer que les auditeurs ont vingt jours d'expérience d'audit au minimum.
EM07. La procédure d'audit permet d'assurer que les auditeurs continuent à se perfectionner professionnellement.
EM08. La procédure d'audit permet d'assurer que les auditeurs sont évalués selon des critères et des méthodes définies dans le cadre de chaque audit et que les auditeurs qui ne satisfont pas à ces critères complètent leur formation ou leur expérience. 
1.3. Exigences relatives aux responsables d'équipe d'audit 
EM09. La procédure d'audit permet d'assurer que les responsables d'équipe d'audit ont participé à trois audits au minimum, depuis leur déclenchement jusqu'à leur clôture, dans les deux dernières années.
EM10. La procédure d'audit permet d'assurer que les responsables d'équipe d'audit ont quinze jours d'expérience d'audit au minimum en tant que responsable d'équipe d'audit. 
1.4. Exigences relatives aux auditeurs juridiques 
EM11. La procédure d'audit permet d'assurer que les auditeurs juridiques ont obtenu un diplôme de master 1 ou équivalent dans le secteur du droit au minimum.
EM12. La procédure d'audit permet d'assurer que les auditeurs juridiques ont une expérience de deux ans au minimum dans le domaine Informatique et libertés (exemple : conseil, contentieux, accomplissement de formalités préalables...). 
1.5. Exigences relatives aux auditeurs techniques 
EM13. La procédure d'audit permet d'assurer que les auditeurs techniques ont obtenu un diplôme de master 1 ou équivalent dans le domaine de l'informatique ou des systèmes d'information au minimum.
EM14. La procédure d'audit permet d'assurer que les auditeurs techniques ont suivi une formation sur les référentiels utiles au management de la sécurité des systèmes d'information (réglementation, normes, méthodes, bonnes pratiques, gestion des risques...) de deux jours au minimum.
EM15. La procédure d'audit permet de s'assurer que les auditeurs techniques ont suivi une formation dans le domaine Informatique et libertés.
EM16. La procédure d'audit permet d'assurer que les auditeurs techniques ont suivi une formation d'audit de sécurité technique (intrusion, investigation, détection de vulnérabilités techniques...) de deux jours au minimum.
EM17. La procédure d'audit permet d'assurer que les auditeurs techniques ont une expérience de trois ans au minimum dans le domaine de la sécurité des systèmes d'information. 
1.6. Exigences relatives à la préparation des audits 
EM18. La procédure d'audit permet d'assurer que les responsabilités de chacun, les objectifs, le champ, les critères et le déroulement de l'audit sont définis avec le commanditaire en tenant compte des éventuels audits préalablement réalisés.
EM19. La procédure d'audit permet d'assurer que la faisabilité de l'audit est étudiée et que les actions nécessaires sont prises en fonction de cette étude.
EM20. La procédure d'audit permet d'assurer que l'équipe d'audit est constituée en fonction des compétences juridiques et techniques nécessaires pour atteindre les objectifs de l'audit et dans le respect des principes relatifs aux auditeurs.
EM21. La procédure d'audit prévoit l'insertion d'une clause particulière dans le contrat établi entre le prestataire et le commanditaire de l'audit, afin de garantir la confidentialité des données à caractère personnel qui pourraient, le cas échéant, être portées à la connaissance du prestataire dans le cadre de l'audit.