AgentPublic/cnil huggingface dataset:
d) En complément de la revue des informations réalisée au stade de la demande de certification (voir les exigences du §7.2(1) h) du présent référentiel), au sujet d'une action de contrôle en cours, ou d'une décision de sanction et/ou de mesures correctrices récente prononcée par la CNIL ou d'autres autorités de contrôle compétentes, l'organisme de certification vérifie avec le client que cette information est à jour avant de prendre une décision.
			Si de nouveaux contrôles ont été réalisés auprès du client ou si des mesures correctrices ont été demandées, l'organisme de certification évalue si cela peut constituer une non-conformité aux critères de certification et empêcher la certification d'être délivrée (ou renouvelée, rétablie ou étendue).
			L'organisme de certification documente dans son rapport d'évaluation (et/ou dans sa décision de certification) ses conclusions concernant les actions de contrôle ou les mesures correctrices demandées portant sur des traitements de données dans le périmètre de la certification ;
e) L'organisme de certification informe la CNIL de ses décisions, par écrit et avant l'application de sa décision, lorsque la certification est délivrée (renouvelée, rétablie ou étendue) ou retirée (réduite ou suspendue) conformément à l'article 43-5 du RGPD ;
			L'information fournie à la CNIL doit inclure :
			- le nom du client ;
			- le périmètre de la certification ;
			- la description de l'objet de la certification ;
- une synthèse du rapport d'évaluation qui explique en quoi les critères de certification sont satisfaits (ou pourquoi ils ne sont plus satisfaits) ;
			- la documentation de certification officielle, telle que prévue au §7.7 du présent référentiel (le certificat émis) ;
f) L'organisme de certification informe le client des décisions de certification.
7.6(2) L'organisme de certification doit définir ses procédures de certification de manière à garantir son indépendance et assumer ses responsabilités via à vis de ses décisions de certification. En particulier, l'organisme de certification doit démontrer que la ou les personnes qu'il missionne pour rendre une décision de certification n'ont pas été impliquées directement ou indirectement dans le processus d'évaluation.
7.7. Document de certification
7.7(1) En complément des exigences du §7.7 de l'ISO 17065, l'organisme de certification doit fournir au client des documents de certification officiels (certificat) qui permettent d'identifier :
a) Le nom et la référence (y compris la version) des critères de certification qui ont été utilisées pour l'évaluation ;
b) Le périmètre de la certification, qui inclut une description claire et compréhensible de l'objet de la certification et la liste des localisations du client où les données à caractère personnel sont traitées ;
Lorsque l'applicabilité d'un sous-ensemble des critères de certification dépend du contexte des opérations de traitement dans le périmètre de certification (p. ex. : le statut de responsable de traitement ou de sous-traitant, le traitement de catégories particulières de données, l'utilisation de technologies spécifiques, l'application des secteurs spécifiques d'activités, etc.), le périmètre de la certification doit être décrit de manière à ce que le sous-ensemble des critères qui ont été évalués soit compréhensible ;
c) L'objet de la certification (la cible d'évaluation), y compris la version ou autres éléments d'identification applicables.
7.7(2) L'organisme de certification fournit à son client une documentation de certification officielle (certificat) où la date d'échéance ou d'expiration de la certification est fixée conformément à la période de validité de la certification définie par le schéma de certification. L'organisme de certification s'assure que la période de validité de la certification ne dépasse pas 3 ans.
7.8. Annuaires des produits certifiés
7.8(1) En complément des exigences du §7.8 de l'ISO 17065, l'organisme de certification tient à jour des informations sur les cibles d'évaluation certifiées, conformément aux règles définies par le schéma de certification, comportant au moins :
a) Le périmètre de la certification ;
b) Une description claire et compréhensible de l'objet de la certification (une description pertinente de la cible d'évaluation), y compris la version or autres éléments d'identification applicables ;
c) Le nom et/ou une référence (y compris la version) des critères de certification qui ont été utilisés pour l'évaluation ;
d) L'état de validité de la certification : en cours (pas encore délivrée), délivrée (certification initiale), renouvelée, expirée, résiliée, suspendue ou retirée ;
			e) La date à laquelle la certification a été délivrée (ou renouvelée) ;
f) Les dates auxquelles les activités de surveillance ont été réalisées ;
g) La date d'échéance ou d'expiration de la certification, ou la date à laquelle la certification a été résiliée, suspendue ou retirée.
Note : ces informations comprennent un historique des actions réalisées par l'organisme de certification pour chaque cible d'évaluation certifiée. Elles n'ont pas à être rendues publiques, à moins que le schéma de certification stipule qu'elles doivent être publiées, contrairement aux informations prévues à l'exigence 7.8(2) du présent référentiel qui visent à rendre accessible au public la liste des cibles d'évaluation qui disposent d'un certificat valide. Elles doivent néanmoins être accessibles sur demande d'un tiers qui souhaite s'assurer du statut de validité d'une certification donnée, par exemple, pour une période antérieure déterminée ou bien pour une cible d'évaluation qui a connu des changements au cours du temps.
Note : Conformément aux exigences du §7.12 du présent référentiel, l'organisme de certification conserve les enregistrements relatifs aux objets certifiés pendant une période de 6 ans.
7.8(2) L'organisme de certification doit mettre à disposition du public une synthèse de la documentation relative à sa décision de certification de manière à favoriser la transparence concernant ce qui a été évalué et les méthodes d'évaluation utilisées. L'information à publier est définie par le schéma de certification.
L'organisme de certification doit, a minima, publier dans un annuaire une synthèse qui inclut :
a) Le nom du client et les informations permettant de le contacter ;
b) Le périmètre de la certification, qui inclut une description claire et compréhensible de l'objet de la certification ;
c) L'objet de la certification (la cible d'évaluation), y compris la version or autres éléments d'identification applicables ;
d) Le nom et/ou une référence (y compris la version) des critères de certification qui ont été utilisés pour l'évaluation et, lorsque c'est le cas, les spécificités de la méthode appliquée pour évaluer la conformité des opérations de traitement de données aux critères de certification ;
e) La date à laquelle la certification a été délivrée (ou renouvelée) ;
f) L'état de validité de la certification qui résulte de la dernière décision de certification.
Lorsqu'il informe la CNIL de la délivrance de la certification (conformément aux exigences du §7.6 du présent référentiel), l'organisme de certification lui fournit ces informations qui seront publiées. Le périmètre de la certification et l'objet de la certification doivent être fournis à la CNIL en langue française.
7.9. Surveillance et renouvellement
7.9(1) L'organisme de certification doit définir une procédure de surveillance de la conformité des cibles d'évaluation certifiées aux critères de certification, conformément à l'article 43-2-c du RGPD.
En complément des exigences du §7.9 de l'ISO 17065, la surveillance doit inclure :
a) Une évaluation des changements qui ont été appliqués aux traitements de données concernés par le périmètre de la certification depuis la précédente évaluation et leur impact potentiel sur la conformité aux critères de certification ;
b) Une évaluation des critères de certification dont les modalités de mise en œuvre ont été évaluées lors du précédent audit mais pour lesquelles la mise œuvre effective n'était pas applicable, par exemple du fait que certaines opérations de traitement de données n'avaient pas encore démarré ;
c) L'évaluation de la mise en œuvre de mesures prévues par le plan d'action résultant de la précédente décision de certification (voir les exigences des §7.4 et §7.11 du présent référentiel) ;
d) Une évaluation approfondie de critères de certification sélectionnés à partir des risques de non-conformités observés lors des précédentes évaluations (mais qui n'ont pas fait l'objet d'un constat de non-conformité). Par exemple, une évaluation peut être approfondie par :
			- l'analyse en quantité plus importantes d'éléments de preuve (p. ex. : dossiers, contrats, interviews, etc.) afin de consolider les constats déjà établis ;
			- l'analyse des enregistrement récents afin de s'assurer que les constats établis restent valides dans le temps, par exemple une évaluation de la conformité aux critères de certification d'une ou plusieurs nouvelles opérations de traitement dans le périmètre de la certification depuis la précédente évaluation ;
- l'analyse des traitements de données dans différents contextes du périmètre de la certification (p. ex. : évaluation dans d'autres localisations du client, de certains services ou processus personnalisés, etc.) afin de s'assurer que les constats établis sont cohérents.
7.9(2) L'organisme de certification doit planifier son activité de surveillance selon les règles définies par le schéma de certification. La période maximale entre les mesures de surveillance ne devrait pas excéder 12 mois.
En complément de ces évaluations régulières, les mesures de surveillance nécessaires au maintien de la certification doivent permettre :
a) De s'assurer que les informations relatives à la certification sont actualisées (p. ex. : description de la cible d'évaluation, etc.) ;
b) L'organisation d'une évaluation complémentaire à l'initiative de l'organisme de certification, lorsque cela est proportionné au risque en matière de protection des données à caractère personnel. Par exemple, une évaluation complémentaire peut intervenir lorsqu'une non-conformité est suspectée du fait d'une ou plusieurs réclamations reçues par l'organisme de certification ou d'informations relatives à des pratiques non-conformes qui ont été rendues publiques ou encore lorsque cela est nécessaire pour fournir à la CNIL les informations demandées relatives à la conformité aux exigences d'agrément du présent référentiel.
7.9(3) L'organisme de certification doit documenter les résultats de son activité de surveillance pour chaque certification, y compris ses conséquences lorsque la surveillance aboutit à une décision de réduction du périmètre de certification, de suspension ou de retrait de la certification.
Note : Conformément aux exigences du §7.12 du présent référentiel, l'organisme de certification conserve les enregistrements relatifs à son activité de surveillance pendant une période de 6 ans.
7.9(4) Lorsque la demande du client porte sur le renouvellement de la certification, l'organisme de certification doit suivre un processus de certification qui respecte les mêmes exigences du présent référentiel que celles applicables à une demande de certification initiale.
L'organisme de certification doit suivre les règles spécifiques définies par le schéma de certification qui s'appliquent au renouvellement de la certification. En particulier, ces règles peuvent concerner la délivrance du certificat (p. ex. : date d'effet du renouvellement de la certification).
7.9(5) Lorsque le client possède plusieurs structures/établissements, l'organisme de certification doit suivre les règles applicables définies par le schéma de certification, notamment s'agissant des conséquences sur le processus de certification de l'ajout (extension du périmètre) ou la résiliation de localisation (réduction du périmètre).
En particulier, l'organisme de certification planifie l'évaluation des sites du client sur la durée de validité de la certification.
7.10. Changements ayant des conséquences sur la certification
7.10(1) En complément des exigences du §7.10 de l'ISO 17065, les changements à prendre en compte par l'organisme de certification doivent inclure :
a) Tout manquement au RGPD ou à la loi Informatique et Libertés rapporté par le client à l'organisme de certification lorsqu'il est en lien avec l'objet de la certification ;
b) Tout changement dans le traitement des données à caractère personnel indiqué par le client comme étant susceptible d'avoir des effets sur la conformité de l'objet de la certification aux critères de certification ;
c) Toute modification apportée à la réglementation relative à la protection des données à caractère personnel lorsqu'elle concerne le champ d'application du mécanisme de certification ;
d) L'adoption d'actes délégués par la Commission européenne conformément à l'article 43-8 et 43-9 du RGPD en lien avec le champ d'application du mécanisme de certification ;
e) Les décisions ou avis contraignants du CEPD et/ou de la CNIL en lien avec le champ d'application du mécanisme de certification ;
f) Les décisions de justice en matière de protection des données à caractère personnel portées à sa connaissance en lien avec le champ d'application du mécanisme de certification ;
g) Les nouveaux développements de l'état de l'art en matière de technologies utilisées pour le traitement de données à caractère personnel ;
			h) Les risques émergents en matière de protection des données.
Note : L'organisme de certification peut également prendre en compte les recommandations, bonnes pratiques et autres documents adoptés par le CEPD et/ou la CNIL en lien avec le champ d'application du mécanisme de certification.
7.10(2) L'organisme de certification doit définir une procédure de gestion lui permettant d'analyser, décider et mettre en œuvre les changements ayant des conséquences sur le processus de certification, en prenant en compte les règles définies par le schéma de certification. A minima, cette procédure inclut les points suivants :
a) Etablir et mettre à jour un registre répertoriant les changements analysés comme ayant des conséquences sur le processus de certification ainsi que les cibles d'évaluation impactées ;
			b) Documenter les mesures décidées pour mettre en œuvre les changements ayant des conséquences sur la certification, en particulier :
			- l'évaluation complémentaire ou la réévaluation immédiate des critères de certification ;
			- les motifs qui ont conduit à ne pas réaliser immédiatement une évaluation complémentaire ou une réévaluation des critères de certification pour les cibles d'évaluation impactées ;
			- les motifs qui ont conduit à ne réaliser aucune évaluation et, le cas échéant, les autres types d'actions mises en œuvre ;
- les règles applicables aux périodes de transition, y compris lorsqu'elles sont définies par le propriétaire du schéma de certification à l'occasion d'une mise à jour des critères de certification, les délais applicables aux changements à mettre en œuvre et les conditions pour maintenir ou renouveler la certification pour les cibles d'évaluation impactées ;
c) Informer le client, en temps opportun, quand les changements ayant des conséquences sur sa certification vont nécessiter une évaluation et ce qu'il sera nécessaire d'évaluer (et comment) afin de s'assurer que les traitements des données dans le périmètre de la certification demeurent en conformité avec les critères de certification. L'évaluation planifiée doit être proportionnée aux conséquences sur la certification. Lorsqu'une période de transition est définie, le client est informé des échéances à respecter pour maintenir ou renouveler sa certification, ainsi que des conséquences en cas de non-respect de celles-ci ;
d) Réviser les documents officiels de certification (certificats), suspendre ou retirer la certification, si l'évaluation conclut que les traitements de données dans le périmètre de la certification ne sont plus conformes aux critères de certification ;
e) Mettre à jour ses procédures de certification, y compris les méthodes d'évaluation impactées en prenant en compte les règles définies par le schéma de certification, de manière à ce qu'elles s'appliquent aux futurs clients de manière uniforme.
7.10(3) Dans le cas où le client informe l'organisme de certification d'une action de contrôle en cours, ou d'une décision de sanction et/ou de mesures correctrices récentes prononcées par la CNIL ou une autre autorité de contrôle, qui met en question la conformité du client aux règles de protection des données à caractère personnel, l'organisme de certification documente le résultat de son analyse s'agissant de savoir si la cible d'évaluation demeure en conformité avec les critères de certification, y compris ses conséquences lorsque l'évaluation aboutit à une décision de certification.
7.11. Résiliation, suspension ou retrait de la certification
7.11(1) En complément des exigences du §7.11 de l'ISO 17065, l'organisme de certification doit définir une procédure de gestion des non-conformités de la cible d'évaluation selon les règles définies par le schéma de certification. A minima, cette procédure inclut les points suivants :
a) Lorsqu'une non-conformité aux critères de certification est avérée, l'organisme de certification doit déterminer si les actions correctives proposées par le client sont susceptibles de lever la non-conformité avant la prise de décision de certification. Cet avis est sans préjudice des conclusions de l'évaluation de la mise en œuvre des mesures par les clients lorsqu'elle sera réalisée par l'organisme de certification ;
Pour l'ensemble des non-conformités, l'organisme de certification évalue si le plan d'action permet de garantir la conformité des opérations de traitement au moment de la prise de décision de certification. Si le plan d'action n'est pas suffisant pour le garantir, l'organisme de certification doit attendre des preuves de mise en œuvre des actions correctives pour délivrer la certification ;
b) L'organisme de certification fixe un délai de mise en œuvre des actions correctives en fonction du niveau de gravité des non-conformités ;
c) Lorsque la certification du client est conditionnée à la mise en œuvre d'un plan d'action, l'organisme de certification vérifie que la mise en œuvre des mesures visant à corriger les non-conformités est effectuée selon le calendrier prévu et prend les actions appropriées lorsque les non-conformités ne sont pas résolues selon le plan d'action.
Note : La vérification du traitement des non-conformités peut donner lieu à la réalisation d'une évaluation complémentaire.
7.11(2) Lorsque la certification est résiliée à la demande du client, l'organisme de certification informe la CNIL par écrit et dans un délai maximal de 30 jours calendaires à compter de la date de la résiliation.
7.11(3) Lorsque la certification est rétablie après suspension ou lorsque le périmètre de la certification est réduit, l'organisme de certification informe la CNIL par écrit de sa décision conformément aux exigences du §7.6 du présent référentiel.
7.11(4) Dans le cas d'un refus de certification, de suspension ou retrait, le client est informé des options dont il dispose pour faire appel de cette décision de l'organisme de certification, des moyens et des délais dont il dispose pour effectuer ce recours.
7.12. Enregistrements
7.12(1) En complément des exigences du §7.12 de l'ISO 17065, l'organisme de certification doit conserver les enregistrements prouvant que les exigences du présent référentiel ont été effectivement respectées. A minima, cette documentation doit :
a) Inclure les enregistrements relatifs aux certifications qui ont été délivrées et refusées ;
b) Inclure les enregistrements relatifs aux demandes de certification en cours de traitement ;
c) Etre disponible sur une période de 6 ans, notamment s'agissant du rapport de ses évaluations (§7.4) et son activité de surveillance (§7.9). Dans le cas d'un contentieux entre l'organisme de certification et le client ou d'un recours auprès de la CNIL, la période de conservation des enregistrements pour le besoin du contentieux/recours est définie selon les règles applicables à la procédure contentieuse concernée ;
d) Etre communicable à la CNIL, à sa demande, notamment s'agissant des rapports d'évaluations (voir les exigences des §7.4(8) et 7.9(3) du présent référentiel).
Une traduction en langue française d'une partie de cette documentation doit être communiquée à la CNIL à sa demande.
7.13. Plaintes et appels
7.13(1) En complément des exigences du §7.13 de l'ISO 17065, l'organisme de certification doit disposer d'un processus documenté lui permettant de recevoir, d'évaluer et de prendre des décisions relatives aux plaintes et appels relatifs à son activité de certification, en tant compte des règles définies par le schéma de certification. A minima, cette procédure doit définir :
a) Qui peut déposer une plainte ou faire un appel ;
b) Qui est responsable de la collecte et de la vérification de toutes les informations nécessaires (dans la mesure du possible) pour que la plainte ou l'appel aboutisse à une décision ;
c) Qui est responsable de prendre une décision permettant d'apporter une solution à la plainte ou l'appel ;
d) Les différentes étapes d'information du plaignant ou du requérant quant aux suites données à sa plainte ou son appel ;
e) Comment les vérifications seront réalisées ;
f) Quelles sont les méthodes qui peuvent être engagées pour traiter la plainte ou l'appel, y compris la consultation de parties intéressées.
7.13(2) L'organisme de certification confirme au plaignant si sa plainte concerne l'activité de certification dont il est responsable. Cette confirmation est donnée au plaignant dans un délai qui ne peut excéder un mois. Au besoin, ce délai peut être prolongé d'un mois supplémentaire. L'organisme de certification informe le plaignant de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.
7.13(3) L'organisme de certification informe le public de la procédure à suivre pour renseigner une plainte ou faire une demande d'appel. Cette procédure doit être facile d'accès aux personnes concernées par les traitements de données à caractère personnel dans le périmètre de la certification.
7.13(4) L'organisme de certification informe le plaignant ou le requérant de l'avancée du traitement et des suites données à sa demande dans un délai raisonnable, selon les conditions prévues par sa procédure documentée de traitement des plaintes et appels.
Lorsque l'organisme de certification n'est pas en mesure d'apporter une solution à la plainte, il informe le plaignant de sa conclusion et les raisons pour lesquelles une résolution n'a pas été possible.
7.13(5) L'organisme de certification doit s'assurer que le processus de gestion des plaintes et appels, est indépendant de l'activité d'évaluation, de revue et de prise de décision de certification afin de garantir l'absence de tout conflit d'intérêt.
7.13(6) L'organisme de certification doit entreprendre et tenir à jour un registre des plaintes et appels. Ce registre doit inclure :
a) L'état d'avancement du traitement de chaque plainte ou appel (par exemple : reçue, en traitement, close, etc.) ;
b) Les dates des actions réalisées (par exemple : accusé de réception, recevabilité, information du plaignant, réponse finale, sans suite, etc.).
8. Exigences du système de management
8.1. Généralités