AgentPublic/cnil huggingface dataset:
L’organisme de certification réalise son évaluation dans les locaux du prestataire de formation. Toutefois, dans le cas où celui-ci ne dispose pas de locaux dédiés à la réalisation des prestations de formation, les parties peuvent convenir du lieu de réalisation de l’audit.
Lorsque l’évaluation est réalisée en complément d’une certification préexistante selon le référentiel RNQ (ou lorsque qu’elle est réalisée simultanément en vue d’obtenir la certification RNQ), l’organisme de certification peut réaliser l’évaluation des critères de certification approuvés par la CNIL à distance, sous réserve que les conditions de prise en compte de la certification RNQ, telles que définies au §7.4(6) du présent référentiel, soient respectées.
7.4(2) En complément des exigences au §7.4.5 de l’ISO 17065, dans le cadre du processus de revue de la demande au §7.3 de l’ISO 17065, lorsque l’organisme de certification s’appuie sur le résultat d’une certification RNQ obtenue avant son évaluation, l’organisme de certification doit s’assurer que le certificat sera valide au moment de l’évaluation.
7.4(3) Lorsque l’évaluation est réalisée en complément du résultat d’une certification RNQ, l’organisme de certification doit s’assurer de la conformité du prestataire de formation aux critères de certification approuvé par la CNIL. En particulier, l’organisme de certification doit :
a) avoir accès à la totalité de la grille d’audit selon le référentiel RNQ (et pas uniquement au certificat de conformité ou à une attestation similaire) ;
b) documenter ses propres constats en :
- faisant référence aux résultats pertinents de la grille d’audit préexistante (la reproduction des constats dans le rapport d’évaluation n’est pas requise) ;
- réalisant ses propres constatations lorsqu’elles sont nécessaires pour l’évaluation des critères complémentaires du référentiel de certification approuvé par la CNIL.
Si des écarts par rapport aux constats de la grille d’évaluation de la certification RNQ sont identifiés par l’organisme de certification lors de son évaluation des critères complémentaires approuvés par la CNIL, l’évaluation est étendue aux critères de certification concernés.
7.4(4) En complément des exigences du §7.4.9 de l’ISO 17065, l’organisme de certification doit documenter ses constats dans un rapport d’évaluation qui comprend :
a) la liste des formations à la protection des données proposées et/ou réalisées ;
b) le plan d’évaluation (incluant les mises à jour réalisées pendant l’évaluation) ;
c) les références aux documents et enregistrements examinés ;
d) les formations échantillonnées ;
e) la fonction des personnes ayant fait l’objet d’un entretien ;
f) une description des non-conformités qui identifie les critères de certification qui ne sont pas atteints et qui évalue la sévérité et la portée des non-conformités.
L’organisme de certification sollicite le prestataire de formation afin qu’il propose la mise en œuvre de mesures visant à corriger toutes les non-conformités pour qu’elles puissent être prises en compte par l’organisme de certification au moment de sa décision de certification (voir exigence au §7.6 de l’ISO 17065). Le plan d’action résultant de la décision de certification est également annexé au rapport d’évaluation. Ce plan d’action est examiné par l’organisme de certification avant la revue et la décision de certification.
7.4(5) L’organisme de certification fournit à la CNIL, à sa demande, le rapport de ses évaluations ainsi que ses annexes.
Note : pour démontrer la conformité aux exigences du présent référentiel, il n’est pas requis de l’organisme de certification qu’il conserve les éléments de preuves (p. ex. : documents, captures d’écran, etc.) qui lui ont permis d’établir les constatations documentées dans son rapport d’évaluation.
Note : Conformément aux exigences du §7.12 du présent référentiel, l’organisme de certification conserve le rapport de ses évaluations pendant une période de 6 ans.
7.5. Revue
7.5(1) Les exigences du §7.5 de l’ISO 17065 s’appliquent.
7.6 Décision de certification
7.6(1) En complément des exigences du §7.6 de l’ISO 17065, l’organisme de certification définit des procédures pour prendre des décisions de certification ou refuser la certification.
L’organisme de certification définit également des procédures pour prendre d’autres décisions relatives à la certification intervenant suite à une évaluation menée dans le cadre du processus de surveillance prévu au §7.9.2 de l’ISO 17065 ou lorsque les mesures appropriées en réponse à une non-conformité comportent une évaluation conformément au §7.11.2 de l’ISO 17065 : le renouvellement, la suspension, la levée d’une suspension ou le retrait de la certification.
Ces procédures doivent prévoir que :
a) les motifs qui ont conduit à une décision favorable sont identifiés et documentés à partir de preuves et faits objectifs ;
b) les motifs qui ont conduit au refus, à la suspension ou au retrait de la certification sont identifiés et documentés, notamment au regard de la gravité, du nombre et de la récurrence des non-conformités constatées. En particulier, le cas de non conformités majeures non levés sous trois mois constituent des raisons conduisant au refus, à la suspension ou au retrait de la certification. C’est également le cas pour les non conformités mineures déjà détectées et pour lesquelles l’organisme n’a pas proposé ou mis en œuvre d’actions correctives efficaces ;
c) la période entre la fin de l’évaluation (dernières constatations) et la décision de certification ne peut excéder 3 mois, sauf circonstances exceptionnelles pour lesquelles les justifications sont documentées ;
d) en complément de la revue des informations relatives à la certification RNQ (voir exigence §7.2(1)(d) du présent référentiel), l’organisme de certification vérifie que cette certification est toujours valide lors de la prise de décision. En cas de suspension ou de retrait de la certification RNQ, un audit complet selon les critères de certification approuvé par la CNIL est réalisé ;
e) l’organisme de certification informe la CNIL de ses décisions, par écrit et dans un délai maximal de 30 jours calendaires à compter de la date de sa décision, lorsque la certification est délivrée (ou renouvelée ou rétablie) ou retirée (ou suspendue) ;
L'information fournie à la CNIL doit inclure :
- le nom du prestataire de formation et les éléments permettant son identification ;
- la documentation de certification officielle, telle que prévue au §7.7 du présent référentiel (le certificat émis).
f) l’organisme de certification informe le prestataire de formation des décisions de certification.
7.6(2) L’organisme de certification définit ses procédures de certification de manière à garantir son indépendance et assumer ses responsabilités vis à vis de ses décisions de certification. En particulier, l’organisme de certification doit démontrer que la ou les personnes qu’il missionne pour prendre une décision de certification n’ont pas été impliquées directement ou indirectement dans le processus d’évaluation.
7.7. Document de certification
7.7(1) En complément des exigences du §7.7 de l’ISO 17065, l’organisme de certification doit fournir au prestataire de formation des documents de certification officiels (certificat) qui permettent d’identifier le nom et la référence (y compris la version) des critères de certification des prestataires de formation qui ont été utilisés pour l’évaluation.
7.7(2) Les certificats ont une durée de validité de 3 ans.
7.8. Annuaires des services certifiés
7.8(1) En complément des exigences du §7.8 de l’ISO 17065, l’organisme de certification tient à jour des informations sur les prestataires certifiés, comportant au moins :
a) une référence à la version des critères de certification qui ont été utilisés pour l’évaluation ;
b) l’état de validité de la certification : en cours (pas encore délivrée), délivrée (certification initiale), renouvelée, expirée, résiliée, suspendue ou retirée ;
c) la date à laquelle la certification a été délivrée (ou renouvelée) ;
d) les dates auxquelles les activités de surveillance ont été réalisées ;
e) la date d’échéance ou d’expiration de la certification, ou la date à laquelle la certification a été résiliée, suspendue ou retirée.
Note : ces informations n’ont pas à être rendues publiques, contrairement aux informations prévues aux exigences du §7.8(2) du présent référentiel mais doivent être accessibles sur demande d’un tiers qui souhaite s’assurer du statut d’une certification.
7.8(2) L’organisme de certification doit, a minima, publier dans un annuaire les informations suivantes :
a) le nom du prestataire et les informations permettant de le contacter ;
b) le nom et la référence (y compris la version) des critères de certification des prestataires de formation qui ont été évalués ;
c) la date à laquelle la certification a été délivrée (ou renouvelée) ;
d) l’état de validité de la certification qui résulte de la dernière décision de certification.
Lorsqu’il informe la CNIL de la délivrance de la certification (conformément aux exigences du §7.6 du présent référentiel), l’organisme de certification lui fournit ces informations, qui seront publiées.
7.9 Surveillance et renouvellement
7.9(1) L’organisme de certification doit définir une procédure de surveillance de la conformité du processus de formation des prestataires certifiés aux critères de certification approuvés par la CNIL, conformément aux exigences du §7.9 de l’ISO 17065.
L’audit de surveillance est réalisé entre le 14e et le 22e mois suivant la date d’obtention de la certification. Il permet de vérifier, une fois la certification délivrée, que les critères de certification sont toujours respectés.
L’audit de surveillance est réalisé à distance. Toutefois, l’organisme de certification peut réaliser une évaluation sur site afin d’établir ses constats dans les cas de :
a) signalements lorsqu’ils répondent aux règles de réclamations définies par l’organisme de certification ;
b) résultats d’une analyse de risque issue de l’audit précédent.
Note : L’analyse de risque réalisée par l’organisme de certification dans le cadre de son activité de surveillance peut prendre en compte différents facteurs comme l’augmentation du volume d’activité, le nombre et la nature de non-conformités en cours de traitement, etc.
7.9(2) En complément des exigences du §7.9 de l’ISO 17065, la surveillance doit inclure :
a) une évaluation des changements qui ont été appliqués au processus de formation et à l’offre de formation depuis la précédente évaluation et leur impact potentiel sur la conformité aux critères de certification ;
b) une évaluation des critères de certification dont les modalités de mise en œuvre ont été évaluées lors du précédent audit mais pour lesquelles la mise œuvre effective n’était pas applicable, par exemple du fait qu’une formation portant sur un secteur particulier était proposée par le prestataire de formation mais n’avait pas encore été réalisée ;
c) l’évaluation de la mise en œuvre de mesures prévues par le plan d’action résultant de la précédente décision de certification (voir les exigences des §7.4 et §7.11 du présent référentiel) ;
d) une évaluation approfondie de critères de certification sélectionnés à partir des risques de non-conformités observés lors des précédentes évaluations (mais qui n’ont pas fait l’objet d’un constat de non-conformité). Par exemple, une évaluation peut être approfondie par :
- l’analyse en quantité plus importantes d’éléments de preuve (formation, contrats, interviews, etc.) afin de consolider les constats déjà établis ;
- l’analyse des enregistrements récents afin de s’assurer que les constats établis restent valides dans le temps, par exemple une évaluation de la conformité aux critères de certification d’une ou plusieurs formations réalisées depuis la précédente évaluation ;
- l’analyse des enregistrements dans différents contextes de mise en œuvre des formations (ex : évaluation dans d’autres locaux physiques du prestataire de formation, de certains processus de formation particulièrement personnalisés) afin de s’assurer que les constats établis sont cohérents.
7.9(3) En complément des évaluations régulières, les mesures de surveillance nécessaires au maintien de la certification doivent permettre :
a) de s’assurer que les informations relatives à la certification sont actualisées ;
b) l’organisation d’une évaluation complémentaire à l’initiative de l’organisme de certification, lorsque cela est proportionné au risque. Par exemple, une évaluation complémentaire peut intervenir lorsqu’une non-conformité est suspectée du fait d’une ou plusieurs réclamations reçues par l’organisme de certification ou d’informations relatives à des pratiques non-conformes qui ont été rendues publiques ou encore lorsque cela est nécessaire pour fournir à la CNIL les informations demandées relatives à la conformité aux exigences d’agrément du présent référentiel.
7.9(4) L’organisme de certification doit documenter les résultats de son activité de surveillance pour chaque certification, y compris ses conséquences lorsque la surveillance aboutit à une décision de de suspension ou de retrait de la certification.
Note : Conformément aux exigences du §7.12 du présent référentiel, l’organisme de certification conserve les enregistrements relatifs à son activité de surveillance pendant une période de 6 ans.
7.9(5) Lorsque la demande du client porte sur le renouvellement de la certification, l’organisme de certification doit suivre un processus de certification qui respecte les mêmes exigences du présent référentiel que celles applicables à une demande de certification initiale.
Le renouvellement de la certification suppose la réalisation d’un audit de renouvellement avant la date d’échéance du certificat. Cet audit suit les mêmes modalités que celles de l’audit initial et a la même durée que celle calculée selon l’exigence du §7.3(3). Il donne lieu à l’obtention d’un nouveau certificat. La décision de renouvellement doit intervenir avant l’expiration de la certification. En cas de renouvellement, la nouvelle décision de certification prend effet le lendemain de la date d’échéance du précédent certificat.
7.10. Changements ayant des conséquences sur la certification
7.10(1) En complément des exigences du §7.10 de l’ISO 17065, les changements à prendre en compte par l’organisme de certification doivent inclure :
a) tout changement appliqué au processus de formation et/ou à l’offre de formation qui est susceptible d’avoir un effet sur la conformité aux critères de certification approuvés par la CNIL ;
b) toute modification apportée à la réglementation relative à la protection des données à caractère personnel lorsqu’elle est susceptible d’avoir un effet substantiel sur le contenu des formations proposées ;
c) les décisions ou avis contraignants du CEPD et/ou de la CNIL en lien avec le contenu de l’offre de formation ;
d) les décisions de justice en matière de protection des données à caractère personnel portées à sa connaissance lorsqu’elles sont susceptibles d’avoir un effet substantiel sur le contenu de l’offre de formation ;
Note : l’organisme de certification peut également prendre en compte les recommandations, bonnes pratiques et autres documents récemment adoptés par le CEPD et/ou la CNIL en lien avec le contenu de l’offre de formation.
7.10(2) L’organisme de certification définit une procédure de gestion lui permettant d’analyser, décider et mettre en œuvre les changements ayant des conséquences sur le processus de certification. A minima, cela inclut :
a) établir et mettre à jour un registre répertoriant les changements analysés comme ayant des conséquences sur le processus de certification ainsi que les prestataires de formation concernés ;
b) documenter les mesures décidées pour mettre en œuvre les changements ayant des conséquences sur la certification, en particulier :
- les motifs qui ont conduit à ne pas réaliser immédiatement une évaluation complémentaire ou une réévaluation des critères de certification pour les prestataires de formation concernés ;
- les motifs qui ont conduit à ne réaliser aucune évaluation et, le cas échéant, les autres types d’actions mises en œuvre ;
- les règles applicables aux périodes de transition, y compris lorsqu’elles sont définies par la CNIL à l’occasion d’une mise à jour des critères de certification des prestataires de formation, les délais applicables aux changements à mettre en œuvre et les conditions pour maintenir ou renouveler la certification des prestataires de formation concernés.
c) informer le prestataire de formation, en temps opportun, quand les changements ayant des conséquences sur sa certification vont nécessiter une évaluation et ce qu’il sera nécessaire d’évaluer (et comment) afin de s’assurer que le processus de formation demeure en conformité avec les critères de certification approuvé par la CNIL. L’évaluation planifiée doit être proportionnée aux conséquences sur la certification. Lorsqu’une période de transition est définie, le prestataire est informé des échéances à respecter pour maintenir ou renouveler sa certification, ainsi que des conséquences en cas de non-respect de celles-ci ;
d) réviser les documents officiels de certification (certificats), suspendre ou retirer la certification, si l’évaluation conclut que le processus de formation n’est plus conforme aux critères de certification des prestataires de formation ;
e) mettre à jour ses procédures de certification de manière à ce qu’elles s’appliquent aux futurs clients de manière uniforme.
7.11. Résiliation, suspension ou retrait de la certification
7.11(1) En complément des exigences du §7.11 de l’ISO 17065, l’organisme de certification doit définir une procédure de gestion des non-conformités aux critères de certification. A minima, cela inclut :
a) lorsqu’une non-conformité aux critères de certification est avérée, l’organisme de certification doit déterminer si les actions correctives proposées par le prestataire sont susceptibles de lever la non-conformité avant la prise de décision de certification. Cet avis est sans préjudice des conclusions de l’évaluation de la mise en œuvre des mesures par les prestataires lorsqu’elle sera réalisée par l’organisme de certification.
Pour l’ensemble des non-conformités, l’organisme de certification évalue si le plan d’action proposé permet de garantir la conformité du processus de formation des prestataires au moment de la prise de décision de certification. Si le plan d’action n’est pas suffisant pour le garantir, l’organisme de certification doit attendre des preuves de mise en œuvre des actions correctives pour délivrer la certification ;
b) l’organisme de certification fixe un délai de mise en œuvre des actions correctives en fonction du niveau de gravité des non-conformités :
- pour une non-conformité mineure, le plan d’action doit être mis en œuvre dans un délai de 6 mois. La vérification de la mise en œuvre des actions correctives est réalisée à l’audit suivant. Si la non-conformité mineure n’est pas levée à l’audit suivant, elle est requalifiée en non-conformité majeure ;
- pour une non-conformité majeure, la vérification de la mise en œuvre du plan d’action doit être effective sous 3 mois. À défaut de mise en œuvre des actions correctives, la certification est refusée ou suspendue. La certification est octroyée ou la suspension de la certification est levée par l’organisme de certification suite à la réception de preuves permettant de constater la résolution des non-conformités majeures et le retour en conformité du prestataire de formation. À défaut de mise en œuvre des actions correctives dans un délai de 3 mois après le refus ou la suspension, la certification est retirée ou elle n’est pas délivrée. Une nouvelle demande de certification nécessite alors la réalisation d’un nouvel audit initial de certification ;
c) lorsque la certification du prestataire est conditionnée à la mise en œuvre d’un plan d’action, l’organisme de certification vérifie que la mise en œuvre des mesures visant à corriger les non-conformités est effectuée selon le calendrier prévu et prend les actions appropriées lorsque les non-conformités ne sont pas résolues selon le plan d’action.
Note : La vérification du traitement des non-conformités peut donner lieu à la réalisation d’un audit complémentaire, à distance ou sur site.
7.11(2) Lorsque la certification est résiliée à la demande du prestataire de formation, l’organisme de certification informe la CNIL par écrit et dans un délai maximal de 30 jours calendaires à compter de la date de la résiliation.
7.11(3) Lorsque la certification est rétablie après suspension, l’organisme de certification informe la CNIL de sa décision conformément aux exigences du §7.6 du présent référentiel.
7.11(4) Dans le cas d’un refus de certification, de suspension ou retrait, le prestataire est informé des options dont il dispose pour faire appel de cette décision de l’organisme de certification, des moyens et des délais dont il dispose pour effectuer ce recours.
7.12. Enrigistrements
7.12(1) En complément des exigences du §7.12 de l’ISO 17065, l’organisme de certification conserve les enregistrements prouvant que les exigences du présent référentiel ont été effectivement respectées. A minima, cette documentation doit :
a) inclure les enregistrements relatifs aux certifications qui ont été délivrées et refusées ;
b) inclure les enregistrements relatifs aux demandes de certification en cours de traitement ;
c) être disponible sur une période de 6 ans, notamment s’agissant du rapport de ses évaluations (§7.4) et son activité de surveillance (§7.9). Dans le cas d’un contentieux entre l’organisme de certification et le prestataire de formation ou d’un recours auprès de la CNIL, la période de conservation des enregistrements pour le besoin du contentieux/recours est définie selon les règles applicables à la procédure contentieuse concernée ;
d) être communicable à la CNIL, à sa demande, notamment s’agissant des rapports d’évaluations (voir les exigences du §7.4(9) et 7.9(4) du présent référentiel).
7.13. Plaintes et rappels
7.13(1) En complément des exigences du §7.13 de l’ISO 17065, l’organisme de certification doit disposer d’un processus documenté lui permettant de recevoir, d’évaluer et de prendre des décisions relatives aux plaintes et appels relatifs à son activité de certification. A minima, cette procédure doit définir :
a) qui peut déposer une plainte ou faire un appel ;
b) qui est responsable de la collecte et de la vérification de toutes les informations nécessaires (dans la mesure du possible) pour que la plainte ou l’appel aboutisse à une décision ;
c) qui est responsable de prendre une décision permettant d’apporter une solution à la plainte ou l’appel ;
d) les différentes étapes d’information du plaignant quant aux suites données à sa plainte ;
e) comment les vérifications seront réalisées ;
f) quelles sont les méthodes qui peuvent être engagées pour traiter la plainte ou l’appel, y compris la consultation de parties intéressées.
7.13(2) L’organisme de certification confirme au plaignant si sa plainte ou son appel concerne l’activité de certification dont il est responsable. Cette confirmation est donnée au plaignant dans un délai qui ne peut excéder un mois. Au besoin, ce délai peut être prolongé d’un mois supplémentaire. L’organisme de certification informe le plaignant de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.
7.13(3) L’organisme de certification informe le public de la procédure à suivre pour renseigner une plainte ou faire une demande d’appel. Cette procédure doit être facile d’accès aux personnes ayant fait ou souhaitant faire une demande de formation chez un prestataire certifié.
7.13(4) L’organisme de certification informe le plaignant de l’avancée du traitement et des conclusions du processus du traitement de sa plainte dans un délai raisonnable, selon les conditions prévues par sa procédure documentée de traitement des plaintes et appels.
Lorsque l’organisme de certification n’est pas en mesure d’apporter une solution à la plainte, il informe le plaignant de sa conclusion et les raisons pour lesquelles une résolution n’a pas été possible.