AgentPublic/cnil huggingface dataset:
La Présidente
COMMUNE X
MAIRIE
MONSIEUR LE MAIRE
[…]
 
 
 
Paris, le 1er septembre 2022
Références à rappeler dans toute correspondance :
N/Réf. : …- CTX -2022-033
 
Monsieur le Maire,
Je fais suite à votre courrier reçu le 9 août 2022 en réponse à la décision n° MED-2022-046 que j’ai prise le 25 avril 2022 mettant en demeure la commune X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
 Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
COMMUNE X
MAIRIE
MADAME LA MAIRE
[…]
 
 
 
 
Paris, le 12 juillet 2022
 
Références à rappeler dans toute correspondance :
N/Réf. : …- CTX -2022-036
Madame la Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 13 juin dernier en réponse à la décision n° MED-2022-049 que j’ai prise le 25 avril 2022 mettant en demeure la commune X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
 Je vous prie d'agréer, Madame la Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
 
COMMUNE X
HÔTEL DE VILLE
MONSIEUR LE MAIRE
[…]
 
 
 
Paris, le 12 juillet 2022
 
Références à rappeler dans toute correspondance :
N/Réf. : … - CTX -2022-046
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 2 juin dernier en réponse à la décision n° MED-2022-051 que j’ai prise le 25 avril 2022 mettant en demeure la commune X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
COMMUNE X
MONSIEUR LE MAIRE
[…]
 
 
 
 
Paris, le 12 juillet 2022
 
Références à rappeler dans toute correspondance :
N/Réf. : …- CTX -2022-054
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 7 juillet dernier en réponse à la décision n° MED-2022-037 que j’ai prise le 25 avril 2022 mettant en demeure la commune X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
 Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE DE X
MONSIEUR LE MAIRE
HÔTEL DE VILLE
[…]
 
 
 
Paris, le 28 juin 2022
LRAR n° […]
 
Références à rappeler dans toute correspondance :
N/Réf. : […]- CTX -2022-055
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 16 juin dernier en réponse à la décision n° MED-2022-036 que j’ai prise le 25 avril 2022 mettant en demeure la commune de X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE DE X
MAIRIE
MONSIEUR LE MAIRE
[…]
 
 
 
Paris, le 2 juin 2022
LRAR n°[…]
Références à rappeler dans toute correspondance :
N/Réf. : […]- CTX -2022-035
 Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 16 mai dernier en réponse à la décision n° MED-2022-048 que j’ai prise le 25 avril 2022 mettant en demeure la commune de X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
 Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
 
COMMUNE X
HÔTEL DE VILLE
MONSIEUR LE MAIRE
[…]
 
 
 
 
Paris, le 16 septembre 2022
 
Références à rappeler dans toute correspondance :
N/Réf. : ... - CTX -2022-043
 Monsieur le Maire,
Je fais suite à la décision n° MED 2022-054 du 25 avril 2022 mettant en demeure la commune X et aux échanges qui ont suivi.
Je prends note de la désignation d'un délégué à la protection des données réceptionnée le 29 juillet dernier et des éléments de réponse apportés s’agissant de l'absence de conflit d’intérêt de la personne désignée avec les missions.
Je vous informe donc que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE X
MAIRIE
[…]
 
 
 
Paris, le 28 septembre 2022
 
Références à rappeler dans toute correspondance :
N/Réf. : … - CTX -2022-039
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 26 septembre 2022 en réponse à la décision n° MED-2022-059 que j’ai prise le 25 avril 2022 mettant en demeure la commune X
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
 
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), notamment ses articles 43 et 57-1-p ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-h ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 74 ;
Vu les lignes directrices 1/2018 relatives à la certification et à la définition des critères de certification conformément aux articles 42 et 43 du règlement (UE) 2016/679 adoptées le 4 juin 2019 par le Comité européen de la protection des données ;
Vu les lignes directrices 4/2018 relatives à l'agrément des organismes de certification au titre de l'article 43 du règlement (UE) 2016/679 adoptées le 4 décembre 2018 par le Comité européen de la protection des données ;
Vu l'avis 12/2022 relatif au projet de référentiel de la Commission concernant l'agrément des organismes de certification adopté le 4 juillet 2022 par le Comité européen de la protection des données au titre du mécanisme de contrôle de la cohérence des articles 63 et 64 du RGPD ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 43 du règlement général sur la protection des données (RGPD) prévoit que la délivrance d'une certification peut être effectuée par un organisme qui dispose d'un niveau d'expertise approprié en matière de protection des données. Ces organismes doivent être agréés à cette fin ;
L'article 57-1-p du RGPD prévoit que chaque autorité de contrôle rédige et publie les exigences relatives à l'agrément des organismes de certification en application de l'article 43 ;
L'article 64-1-c du RGPD indique que les projets de décision visant à approuver des exigences d'agrément établies par chaque autorité de contrôle au niveau national sont soumis au mécanisme de contrôle de la cohérence et doivent être communiqués au Comité européen de la protection des données (CEPD) ;
Le 27 janvier 2022, un projet d'agrément a été adopté par la Commission et soumis au CEPD le 31 janvier 2022. Le CEPD a adopté un avis favorable relatif à ce projet le 4 juillet 2022, qui a été notifié à la Commission le 11 juillet 2022.
Adopte les exigences d'un référentiel relatif à l'agrément des organismes de certification pour les mécanismes de certification approuvés au titre de l'article 42 du règlement général sur la protection des données.
Cette décision sera publiée au Journal officiel de la République française.
ANNEXE
RÉFÉRENTIEL RELATIF AUX EXIGENCES D'AGRÉMENT DES ORGANISMES DE CERTIFICATION POUR LES MÉCANISMES DE CERTIFICATION APPROUVÉS AU TITRE DE L'ARTICLE 42 DU RÈGLEMENT GÉNÉRAL SUR LA PROTECTION DES DONNÉES
Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'extrait du Journal officiel électronique authentifié accessible en bas de page
1. A qui s'adresse ce référentiel ?
Ce référentiel s'adresse aux organismes certificateurs mentionnés à l'article 8 de la loi Informatique et Libertés qui souhaitent obtenir un agrément leur permettant de certifier selon les critères d'un mécanisme de certification approuvés au titre de l'article 42 du règlement général sur la protection des données (RGPD).
2. Portée du référentiel
Ce référentiel fixe les exigences que l'organisme certificateur doit respecter pour obtenir, puis conserver, son agrément.
Il constitue le cadre général applicable pour la certification selon les mécanismes de certification approuvés au titre de l'article 42 du RGPD dès lors qu'il a été décidé, conformément à la convention de coopération conclue entre la CNIL et le Comité français d'accréditation (COFRAC), que ce dernier procède à l'agrément des organismes certificateurs. Dans ce cas, l'accréditation délivrée par le COFRAC tient lieu d'agrément au sens de l'article 43 du RGPD.
Ce cadre général peut être complété par des modalités d'application propres à un mécanisme de certification. Dans ce cas, des règles spécifiques à la mise en œuvre du mécanisme de certification précisent les exigences de ce référentiel pour l'évaluation des organismes certificateurs.
Ce référentiel n'est pas applicable dès lors que la CNIL décide de procéder à tout ou partie de l'agrément des organismes certificateurs.
3. Modalités d'accréditation
L'organisme de certification candidat dépose un dossier de demande d'accréditation auprès du COFRAC.
Ce dossier précise la portée de sa demande d'accréditation en indiquant le mécanisme de certification approuvé au titre de l'article 42 du RGPD pour lequel il souhaite délivrer des certifications.
Durant la période transitoire entre le dépôt de son dossier et l'obtention de l'accréditation, l'organisme de certification est autorisé à débuter son activité de certification sous réserve il ait reçu une réponse favorable du COFRAC suite à la revue de sa demande d'accréditation, appelée recevabilité opérationnelle conformément au règlement d'accréditation du COFRAC.
Cette période transitoire ne peut excéder 12 mois : l'organisme de certification dispose d'une période de 12 mois à compter de la date de la réponse favorable du COFRAC pour obtenir l'accréditation.
La convention de coopération signée le 20 mai 2020 entre la CNIL et le COFRAC fixe les rôles, les responsabilités et les procédures opérationnelles liées à l'accréditation des organismes de certification pour les mécanismes de certification approuvés au titre de l'article 42 du RGPD.
4. Durée de l'agrément
La durée de l'agrément est celle de l'accréditation délivrée par le COFRAC.
5. Obligations de l'organisme de certification
Pour obtenir son accréditation, l'organisme de certification doit :
(1) Etre mesure de démontrer au COFRAC sa conformité aux exigences définies en partie 6 de ce référentiel ;
(2) Etablir une procédure afin d'investiguer et répondre, par écrit et dans les meilleurs délais, à toute demande d'information de la CNIL s'agissant de la fourniture de données agrégées relatives à l'activité de certification (statistiques) ou de données relatives à la conformité aux exigences du présent référentiel, notamment pour les exigences relatives au traitement des plaintes et appels en lien avec l'activité de certification.
Il doit informer le COFRAC :
(3) S'il fait l'objet, ou a fait l'objet, d'un contrôle, d'une décision de sanction et/ou de mesures correctrices récentes prononcées par la CNIL ou par une autre autorité de contrôle compétente au sens du RGPD ;
(4) De toute autre décision contraignante qui pourrait constituer une non-conformité au présent référentiel, y compris les décisions d'autorités judiciaires compétentes ;
(5) Dans le cas de changements significatifs de son statut juridique ou de toute autre situation affectant son activité qui serait susceptible de remettre en question sa conformité au présent référentiel ;
(6) D'autres changements avant leur mise en œuvre lorsque le mécanisme de certification introduit de nouvelles règles qui modifient substantiellement les conditions d'accréditation (p. ex. : des modifications substantielles relatives à la méthodologie d'évaluation) ou lorsque les critères du mécanisme de certification sont mis à jour.
Il doit informer la CNIL :
(7) Avant de commencer à exploiter un label européen de protection des données approuvé par le Comité européen de la protection des données (CEPD) dans un nouvel Etat membre à partir d'un bureau satellite. Dans ce cas, l'organisme de certification doit également informer l'autorité de contrôle compétente de cet Etat membre.
Il est également soumis aux obligations suivantes :
(8) En cas de suspension de l'accréditation, il n'est plus autorisé à délivrer de certificats jusqu'à la levée de la suspension par le COFRAC. Pendant cette période, l'organisme de certification doit néanmoins poursuivre la surveillance des certifications en cours de validité ;
(9) En cas de retrait ou résiliation de l'accréditation, de cessation de l'activité de certification, ou lorsque l'organisme de certification a été autorisé à débuter son activité de certification suite à la recevabilité de sa demande d'accréditation mais n'est pas parvenu à obtenir une accréditation auprès du COFRAC dans les délais impartis, il n'est plus autorisé à délivrer de certificats. Les certificats déjà délivrés par l'organisme de certification restent valides pendant une période de 6 mois. Il doit en informer les organismes titulaires d'un certificat délivré par l'organisme de certification (organismes certifiés) ou en cours de certification. Ceux-ci choisissent
un autre organisme certificateur accrédité ou en cours d'accréditation par le COFRAC pour transférer leur certification.
6. Exigences à satisfaire par les organismes de certification
			Référentiel d'évaluation
			Mécanismes de certification approuvés au titre de l'article 42 du RGPD
			Version du 22-09-2022
1. Domaine d'application
Le présent document comporte des exigences portant sur les compétences, la cohérence des activités et l'impartialité des organismes de certification intervenant pour les mécanismes de certification approuvés par la CNIL ou par le Comité européen de la protection des données (CEPD), conformément à l'article 42-5 et à l'article 43-2-b du règlement général sur la protection des données (RGPD).
La nature des traitements de données à caractère personnel dans le champ d'application du mécanisme de certification (par exemple, une certification applicable aux traitements relatifs aux services en nuage) doit être pris en compte lors du processus d'accréditation de l'organisme de certification. Par exemple, cela inclut la prise en compte du type d'opérations de traitement de données auquel les critères de certification s'appliquent, les compétences appropriées pour la réalisation des activités de certification ou les méthodes d'évaluation pertinentes pour établir la conformité aux critères de certification.
A cette fin, un schéma de certification peut préciser les exigences de la norme EN ISO/IEC 17065 ou les exigences du présent référentiel, pour certains domaines d'application d'un mécanisme de certification. Les exigences du présent référentiel font référence aux règles qui peuvent être définies par le schéma de tification et qui s'imposent alors à l'organisme de certification dans le cadre de son accréditation.
2. Références normatives
EN ISO/IEC 17065 : 2012 : Évaluation de la conformité - Exigences pour les organismes certifiant les produits, les procédés et les services ( ISO 17065 dans la suite du présent référentiel).
Par défaut, toutes les clauses de la norme ISO 17065 s'appliquent. Les exigences supplémentaires définies dans le présent référentiel ajoutent des spécificités liées à l'évaluation de traitements de données à caractère personnel mis en œuvre par un responsable de traitement ou un sous-traitant, conformément à l'article 43-1-b du RGPD.
Le RGPD prévaut sur la norme ISO 17065. Toutefois, les exigences supplémentaires définies dans le présent référentiel ne peuvent contredire les règles concernant l'organisation et le fonctionnement de l'accréditation des organismes d'évaluation chargés d'accomplir des tâches d'évaluation de la conformité définie par le Règlement (CE) n° 765/2008 du Parlement européen et du Conseil du 9 juillet 2008.
S'il est fait référence à d'autres normes ISO dans le schéma d'un mécanisme de certification approuvé par la CNIL ou par le CEPD, celles-ci sont interprétées conformément aux exigences définies par le RGPD.
3. Termes et définitions
Les termes et définitions des lignes directrices du CEPD relatives à l'agrément (1) et à la certification (2) s'appliquent. Ceux-ci complètent les termes et définitions de la norme EN ISO/IEC 17065:2012.
Afin de faciliter la lecture du présent référentiel, les principales définitions sont listées ci-après.
RGPD : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données)
Loi Informatique et Libertés :
loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
CEPD : Comité européen de la protection des données
CNIL : Commission nationale de l'informatique et des libertés
Mécanisme de certification : outil de conformité permettant à un responsable de traitement ou un à sous-traitant d'obtenir une certification relative à ses opérations de traitement de données à caractère personnel
Champ d'application du mécanisme de certification : ensemble des opérations de traitement de données à caractère personnel qui répondent aux conditions d'éligibilité du mécanisme de certification
Certification : attestation délivrée par un tiers indépendant selon laquelle le respect de critères de certification a été prouvé
Critères de certification : exigences évaluables selon lesquelles l'évaluation de conformité est effectuée. Les critères de certification font l'objet d'une approbation par le CEPD ou par la CNIL (critères approuvés)
Processus de certification : ensemble des activités conduisant à la délivrance de la certification et au maintien de la validité de cette attestation (p. ex. : activité d'évaluation, de surveillance, etc.)
Audit : processus méthodique, indépendant et documenté, permettant d'obtenir des preuves objectives et de les évaluer de manière objective pour déterminer dans quelle mesure des critères sont satisfaits
			Note 1 : les audits internes sont réalisés par, ou pour le compte de l'organisme lui-même.
			Note 2 : les audits de seconde partie sont réalisés par des parties ayant un intérêt à l'égard de l'organisme, comme les clients ou d'autres personnes agissant en leur nom.
Plan d'audit (ou plan d'évaluation) : description des activités et des dispositions nécessaires pour réaliser un audit
Constatation (ou constat) : résultats de l'évaluation des preuves recueillies lors de l'audit, en rapport avec les critères de certification
Preuve : enregistrement, énoncés de faits ou autres informations pertinents pour les critères de certification et vérifiables
Non-conformité : non-satisfaction d'un critère de certification
Rapport d'audit (ou rapport d'évaluation) : document utilisé pour présenter les résultats de l'audit
Agrément : attestation délivrée à un organisme de certification, constituant une reconnaissance de sa compétence à appliquer le processus de certification et l'autorisant à délivrer la certification
Organisme de certification : organisme d'évaluation de la conformité qui opère un mécanisme de certification en réalisant les tâches du processus de certification
Organisme apparenté : organisme lié à l'organisme de certification, partiellement ou intégralement, par le biais d'actionnaires communs, partageant les mêmes membres au sein de leur conseil d'administration, des dispositions contractuelles, des dénominations communes, un personnel commun, des accords officieux ou autres ressources, de telle sorte que l'organisme apparenté est directement concerné par toute décision de certification ou possède la faculté d'influer sur le processus
Exigences d'agrément : exigences à respecter par l'organisme de certification lors de la mise en œuvre du processus de certification afin d'obtenir l'agrément et puis le conserver (objet du présent référentiel pour les mécanismes de certification approuvés au titre de l'article 42 du RGPD)
Champ des activités de certification (ou portée d'agrément) : activités réalisées par l'organisme de certification pour lesquelles celui-ci dispose d'un agrément
Schéma de certification (ou programme de certification) : ensemble des exigences, règles et procédures applicable à un mécanisme de certification. Le schéma de certification inclut les critères de certification, certaines règles relatives à l'application des exigences d'agrément et un ensemble de procédures applicables au processus de certification, notamment s'agissant de la mise en œuvre de la méthode d'évaluation
Propriétaire du schéma de certification : personne ou organisme responsable du développement et de la tenue à jour du schéma de certification