AgentPublic/cnil huggingface dataset:
Client (ou candidat) : responsable de traitement ou sous-traitant qui a obtenu une certification ou qui en a fait la demande auprès d'un organisme de certification
Objet de la certification (ou cible d'évaluation) : ensemble d'opérations de traitement de données à caractère personnel, qui sont impliquées dans un produit, un procédé ou un service au sens de la norme ISO 17065, qu'un responsable de traitement ou un sous-traitant souhaite soumettre au processus de certification
Périmètre de la certification : ensemble d'activités réalisées par le client (ou le demandeur) qui impliquent l'objet de la certification. L'identification du périmètre de la certification permet à l'organisme de certification de déterminer le champ d'application du processus de certification (p. ex. : localisation géographique des activités, traitements sous-traités, etc.)
Méthode d'évaluation : procédure(s) mise(s) en œuvre par l'organisme de certification pour l'évaluation de l'objet de la certification
Appel : demande exprimée par un client auprès d'un organisme de certification visant à reconsidérer toute décision de certification défavorable au regard du statut de la certification qu'il a demandé
Plainte (ou réclamation) : toute expression de mécontentement, autre qu'un appel, émise par toute personne ou organisation auprès d'un organisme de certification, et relative à ses activités de certification
Transfert de la certification : reconnaissance d'une certification existante et valide, qui est délivrée par un organisme de certification accrédité, par un autre organisme de certification accrédité, afin d'émettre sa propre certification
(1) https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-42018-accreditation-certification-bodies-under_fr
(2) https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-12018-certification-and-identifying_fr
4. Exigences générales
4.1. Domaine juridique et contractuel
4.1.1. Responsabilité juridique
4.1(1) L'organisation de certification doit mettre en œuvre des procédures à jour tenant compte du régime de responsabilité auquel il est soumis au titre de ses missions telles que prévues dans les conditions d'agrément, incluant la conformité aux exigences supplémentaires du présent référentiel conformément à l'article 43-1-b du RGPD.
En particulier, l'organisme de certification doit être en mesure de démontrer qu'il dispose de procédures et mesures conformes au RGPD en ce qui concerne spécifiquement le traitement des données à caractère personnel de son client dans le cadre du processus de certification.
4.1.2. Contrat de certification (entre l'organisme de certification et ses clients)
4.1.2(1) En complément des exigences du § 4.1.2 de l'ISO 17065, l'organisme de certification doit s'assurer que le contrat de fourniture d'activités de certification contient également des engagements du client sur les points suivants :
a) Se conformer aux critères de certification et mettre en œuvre les changements nécessaires à l'occasion de leur mise à jour, notamment lorsque ceux-ci sont communiqués par l'organisme de certification ;
b) Fournir à l'organisme de certification les informations et l'accès aux traitements de données qui sont nécessaires à l'exécution de la procédure de certification conformément à l'article 42-6 du RGPD, dans la limite du respect des mesures organisationnelles et techniques mises en œuvre pour ces traitements de données afin de s'assurer du respect du RGPD et de la loi Informatique et Libertés.
			Cela inclut des dispositions pour l'accès à la documentation et aux enregistrements, l'accès aux équipements, sites ou zones nécessaires, l'échange avec son personnel et l'accès aux informations pertinentes relatives à ses sous-traitants ;
c) Prendre les dispositions nécessaires pour permettre la participation de la CNIL et du COFRAC à l'évaluation du client en tant qu'observateur ;
d) Respecter les délais et les procédures applicables. Le contrat de certification doit mentionner que les délais et les procédures découlant, par exemple, du schéma de certification ou d'autres réglementations doivent être respectés ;
e) Informer l'organisme de certification en cas de changements significatifs de sa situation légale ou de sa situation de fait, de changements significatifs des traitements de données dans le périmètre de la certification, de tout changement susceptible d'affecter la conformité aux critères de certification ou tout changement qui concerne des informations figurant sur la documentation de certification officielle telle que prévue au §7.7 du présent référentiel (certificat) ;
f) informer sans délai l'organisme de certification des manquements au RGPD ou à la loi Informatique et Libertés lorsqu'ils sont établis par la CNIL, ou par une autorité judiciaire, et qu'ils sont susceptibles de constituer une non-conformité aux critères de certification ;
g) Autoriser l'organisme de certification à communiquer à la CNIL :
			- les informations relatives à la délivrance et au retrait de la certification conformément aux exigences du §7.6 (Décision de certification) du présent référentiel ;
			- sur demande de la CNIL, les informations relatives à la procédure de certification conformément aux exigences du §7.12 (Enregistrements) du présent référentiel.
4.1.2(2) Le contrat de fourniture d'activités de certification doit également informer le client des points suivants :
a) La certification ne réduit pas la responsabilité de son client en matière de conformité aux dispositions du RGPD et de la loi Informatique et Libertés et est sans préjudice de l'exercice des missions et des pouvoirs de la CNIL prévus notamment aux articles 20 à 23 de la loi Informatique et Libertés ;
b) Des méthodes d'évaluation qui seront appliquées par l'organisme de certification pour l'examen de la cible d'évaluation, telles que prévues par l'exigence au §7.3(2) b) du présent référentiel ;
c) Des mesures organisationnelles et des procédures mises en place par l'organisme de certification pour le besoin de la gestion des plaintes et des appels, conformément à l'article 43-2-d du RGPD. L'organisme de certification doit également s'assurer que le contrat engage le client à se conformer aux règles prévues par ces procédures s'agissant de l'instruction des réclamations prévue au §4.2.2.2 de la norme ISO 17065 ;
d) Des règles applicables au maintien de la certification, à son renouvellement, à sa suspension et à son retrait, conformément à l'article 42-7 du RGPD, y compris les règles relatives aux intervalles de surveillance et de réévaluation de la certification conformément aux exigences du §7.9 du présent référentiel ;
e) Des conséquences générales d'une arrivée à terme de la période d'agrément, d'une suspension, d'un retrait ou d'une non-délivrance de celle-ci. Les actions dont dispose le client pour maintenir la validité de la certification ou la renouveler sont également précisées.
En particulier, l'organisme de certification informe le client des conditions générales applicables au transfert d'une certification et de la procédure applicable dans le cas où il fait l'objet d'une décision de refus, de suspension ou de retrait de son agrément pour un mécanisme de certification approuvé au titre de l'article 42.
			4.1.3. Utilisation de licences, de certificats et de marques de conformité
4.1.3(1) En complément des exigences du §4.1.3 de l'ISO 17065, l'organisme de certification doit exercer son contrôle sur l'utilisation et l'affichage des licences, des certificats et des marques de conformité, ainsi que tout autre dispositif destiné à identifier un produit, un procédé ou un service certifié, en s'assurant que :
a) Le mécanisme de certification est clairement mentionné et, lorsque cela s'applique, le sous-ensemble de critères applicable à la cible d'évaluation est indiqué. En particulier, la communication est transparente sur le type d'opérations de traitement couvert par les critères de certification lorsque le mécanisme de certification s'applique à un domaine spécifique ;
b) Le périmètre de la certification est sans ambiguïté afin de prévenir tout confusion concernant les traitements de données qui ont été évalués ;
c) Les règles d'usage des marques déposées par la CNIL à destination des organismes certifiés sont respectées.
Note : Dans le cas d'un mécanisme de certification généraliste, il est possible que seul un sous-ensemble de critères s'applique à certaines cibles d'évaluation. Par exemple, lorsque le champ d'application du mécanisme de certification permet à la fois à des responsables de traitement et à des sous-traitants de candidater, la liste des critères qui s'appliqueront à la cible d'évaluation d'un responsable de traitement sera significativement différente de la liste des critères qui s'appliqueront lorsque les opérations de traitement des données à caractère personnel de la cible d'évaluation sont effectuées par un sous-traitant pour le compte d'un responsable du traitement.
4.1.3(2) L'usage incorrect ou ambigu de licences, certificats, marques de conformité, ainsi que tout autre dispositif destiné à identifier un produit, un procédé ou un service certifié doit être corrigé par une action appropriée. A minima, cela inclut :
a) L'obligation pour le certifié de prendre des mesures pour mettre fin aux pratiques incorrectes ou ambigües ;
b) L'obligation pour le certifié de renouveler l'information du public, par défaut, en utilisant des moyens de communication similaires à ceux utilisés précédemment ;
c) L'information de la CNIL, dans les meilleurs délais, des pratiques non-conformes constatées et des actions menées par l'organisme de certification et le client ;
Note : D'autres actions appropriées décidées par l'organisme de certification peuvent également comprendre le retrait ou la suspension de la certification, une communication relative à la faute commise ou encore, si nécessaire, l'exercice une action devant les juridictions compétentes.
4.2. Gestion de l'impartialité
4.2(1) En complément des exigences du §4.2 de l'ISO 17065, l'organisme de certification doit fournir des preuves :
a) De son indépendance conformément à l'article 43-2-a du RGPD. Cela inclut des preuves concernant le financement de l'organisme de certification dans la mesure où l'assurance d'impartialité est concernée ;
b) Que ses missions et ses obligations n'entraînent pas de conflit d'intérêts au sens de l'article 43-2-e) du RGPD ;
c) Qu'il n'entretient pas de lien significatif avec les clients qu'il évalue.
Note : En complément des exigences du présent référentiel visant à prévenir le conflit d'intérêts, les exigences du §4.2 et §5.2 de l'ISO 17065, concernant la gestion des conflits d'intérêts identifiés, s'appliquent. En particulier, l'organisme de certification doit identifier régulièrement les risques susceptibles de nuire à son impartialité et doit prendre les mesures nécessaires lorsqu'il prend conscience que son impartialité est menacée par les actions d'autres personnes, entités ou organismes.
4.2(2) En particulier, l'organisme de certification doit s'assurer pour chacun de ses clients que :
a) Le personnel impliqué dans les procédures d'évaluation, de revue et de prise de décision de certification n'a pas d'autre lien avec son client que son activité de certification et n'a pas d'activité en lien avec l'objet de la certification qui serait susceptible de remettre en cause l'impartialité de l'organisme de certification ;
b) Son client n'est pas un organisme apparenté (ou une relation telle que définie au §4.2.3 de l'ISO 17065) qui présente un risque pour l'impartialité de l'organisme de certification ;
c) Il n'a pas eu de relations économiques avec son client depuis au moins 2 ans (à l'exception de celles définies par un contrat de certification) et n'est pas financé par son client pour d'autres activités que la certification. En particulier, l'organisme de certification ne doit pas confier d'activités de traitement de données à caractère personnel à son client.
4.3. Responsabilité et financement
4.3(1) En complément des exigences du §4.3 de l'ISO 17065, l'organisme de certification doit prendre les mesures nécessaires (par exemple, assurances ou provisions) pour couvrir ses engagements dans les régions géographiques où il opère le mécanisme de certification.
4.4. Conditions non discriminatoires
4.4(1) En complément des exigences du §4.4 de l'ISO 17065, l'organisme de certification doit être transparent avec les candidats concernant :
a) Les types de traitement de données qui sont le champ d'application du mécanisme de certification et qui sont également dans le champ de ses activités de certification (portée d'agrément).
			En particulier, lorsque l'organisme de certification ne dispose pas d'une méthodologie d'évaluation adéquate pour l'évaluation de traitements de données pour un secteur d'activité (par exemple, lorsque l'évaluation implique le traitement de catégories particulières de données à caractère personnel ou l'utilisation de technologies particulières à un secteur) ou lorsque son personnel n'a pas les compétences appropriées pour évaluer un type de traitement de données, l'organisme de certification informe les candidats de ces limitations et fournit une liste des secteurs d'activité dans le champ de ses activités d'évaluation pour ce mécanisme de certification ;
b) La liste des Etats membres de l'Union européenne qui sont dans le champ de ses activités de certification, pour un mécanisme de certification transnational approuvé par plusieurs autorités de contrôle compétentes ou pour un label européen de protection des données approuvé par le CEPD.
			En particulier, lorsque l'organisme de certification ne dispose pas d'une méthodologie d'évaluation adéquate pour l'évaluation de traitements de données soumis aux spécificités nationales d'une loi relative à la protection des données d'un Etat membre de l'Union européenne ou lorsque son personnel n'a pas les compétences appropriées pour évaluer les traitements dans le contexte de des spécificités nationales d'un État membre, l'organisme de certification informe les candidats de ces limitations et fournit une liste des États membres de l'Union européenne dans le champ de ses activités d'évaluation pour ce mécanisme de certification.
4.5. Confidentialité
4.5(1) En complément des exigences du §4.5 de l'ISO 17065, l'organisme de certification doit informer le client des informations qui seront fournies à la CNIL pour le besoin de la mise en œuvre du processus de certification. Cela inclut les informations suivantes :
a) Les décisions de certification (voir les exigences du §7.6 du présent référentiel) ;
b) Les informations à soumettre à la CNIL dans le cadre de l'annuaire des certifiés (voir les exigences du §7.8 du présent référentiel).
4.5(2) L'organisme de certification doit informer le client que, sur demande de la CNIL, il peut être amené à lui transmettre des informations supplémentaires en lien avec son évaluation dans le but de démontrer la conformité du processus de certification aux exigences du présent référentiel (voir exigences du §7.12 du présent référentiel), y compris des informations protégées par une confidentialité contractuelle qui sont liées au respect des règles en matière de protection des données.
En particulier, l'organisme de certification ne doit pas collecter d'informations confidentielles pour lesquelles le client pourrait légitimement invoquer les secrets opposables aux membres et agents de la CNIL dans l'exercice de leurs missions et strictement délimités à l'article 19-III de la loi Informatique et Libertés, à savoir : les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou par le secret médical.
4.5(3) L'organisme de certification doit informer le client que la CNIL dispose du pouvoir de procéder à un examen des certifications délivrées en application de l'article 42-7 du RGPD. Les conditions applicables à l'exercice de ce pouvoir conféré à la CNIL en vertu de l'article 58 sont définies par le RGPD et la loi Informatique et Libertés et sont en dehors en champ d'application du présent référentiel.
4.6. Informations accessibles au public
4.6(1) En complément des exigences du §4.6 de l'ISO 17065, l'organisme de certification doit rendre accessible au public :
a) Toutes les versions (courantes et précédentes) des critères de certification qui sont actuellement utilisées dans les certificats délivrés, en mentionnant leurs périodes de validité respectives ;
b) Les versions obsolètes des critères de certification qui ne sont plus utilisées dans des certificats valides, en mentionnant leurs périodes de validité respectives ;
c) Les procédures de certification actualisées, y compris les procédures de traitement des plaintes et des appels conformément à l'article 43-2-d du RGPD ;
d) Les informations sur la manière dont les procédures de certification sont concrètement mises en œuvre, notamment sur les moyens mis à la disposition des personnes concernées par les traitements de données à caractère personnel dans le périmètre de la certification pour faire une réclamation et sur la manière dont celle-ci sera traitée par l'organisme de certification.
5. Exigences structurelles
5.1. Organisation et direction
5.1(1) Les exigences du §5.1 de l'ISO 17065 s'appliquent.
5.2. Dispositif de préservation de l'impartialité
5.2(1) Les exigences du §5.2 de l'ISO 17065 s'appliquent.
6. Exigences relatives aux ressources
6.1. Personnel de l'organisme de certification
6.1(1) En complément des exigences du §6.1 de l'ISO 17065, l'organisme de certification doit instaurer, mettre en œuvre et maintenir une procédure de gestion des compétences afin de démontrer que son personnel dispose des compétences appropriées et actualisées (connaissances et expérience), conformément à l'article 43-1 du RGPD, pour mener à bien ses activités de certification. En particulier, le personnel doit :
a) Avoir bénéficié d'une formation spécifique à la protection des données à caractère personnel ;
b) Disposer de connaissances et d'une expérience pertinente et appropriée en matière d'analyse et/ou de mise en œuvre de la réglementation applicable à la protection des données à caractère personnel (RGPD, la loi Informatique et Libertés et autres lois nationales applicables aux traitements de données dans le champ d'application du mécanisme de certification) ;
c) Disposer de connaissances et d'une expérience pertinente et appropriée en matière d'analyse et/ou de mise en œuvre de mesures techniques et organisationnelles de protection des données dans le champ d'application du mécanisme de certification, conformément à l'article 43-2-a du RGPD ;
d) Disposer d'une expérience appropriée dans l'évaluation de traitements de données (audit).
Note : Le caractère ‘pertinent'et ‘approprié'des connaissances et de l'expérience du personnel doit être défini par l'organisme de certification de manière à ce que chaque personne intervenant dans le processus de certification (traitement de la demande, évaluation, revue, prise de décision, surveillance, etc.) soit capable de réaliser ses tâches, en prenant en compte des règles définies par le schéma de certification et dans le respect des exigences minimales définies par le présent référentiel quant aux compétences du personnel.
Cela inclut la prise en compte de besoins spécifiques en compétences liés au champ d'application du mécanisme de certification et/ou aux cibles d'évaluation qui peuvent être proposées à la certification, par exemple, pour des secteurs d'activités particuliers auxquels le mécanisme de certification s'applique (p. ex. : l'hébergement de données), certaines catégories de données à caractère personnel (p. ex. : les données de santé) ou encore des technologies spécifiques mises œuvre par certains services (p. ex. : technologie de traçage sur internet).
6.1(2) L'organisme de certification doit s'assurer que le personnel en charge des évaluations a :
a) Suivi une formation relative aux méthodes d'évaluation (principes de l'audit, procédures et technique de l'audit, documentation relative à l'audit, règles et exigences applicables à l'audit, etc.) ;
b) Pris part à au moins 2 audits complets, de la préparation de l'audit jusqu'aux conclusions finales, au cours des 3 dernières années.
Note : Les audits internes et les audits de seconde partie sont acceptés dès lors que l'évaluation a été réalisée sur la base d'exigences ou de règles internes établies et selon une procédure d'audit.
6.1(3) L'organisme de certification doit s'assurer que le personnel responsable de la revue et/ou de la prise de décision de certification dispose de connaissances approfondies et d'une expérience en matière de :
a) Etat de l'art, risques et enjeux an matière de protection des données à caractère personnel ;
b) Mise en œuvre du processus de certification.
Note : Lorsque l'organisme de certification désigne une personne ou un groupe de personnes pour prendre une décision de certification conformément au §7.6.2 de l'ISO 17065 et si ce personnel ne dispose pas des connaissances ou de l'expérience requise au 6.1(3) du présent référentiel, le processus de certification conduisant à cette décision de certification individuelle doit inclure un processus de revue de la certification qui implique au moins une personne disposant des compétences requises par l'exigence au §6.1(3) du présent référentiel.
6.1(4) L'organisme de certification doit disposer de personnel avec une expertise technique et une expertise juridique dont les profils répondent :
a) Aux exigences relatives au profil d'expertise technique, telles que définies au §6.1(5), §6.1(6) et §6.1(7) du présent référentiel ;
b) Aux exigences relatives au profil d'expertise juridique, telles que définies au §6.1(8) et §6.1(9) du présent référentiel.
Note : Les périodes de stages et d'apprentissage ne constituent pas une expérience de travail prise en compte pour attester du nombre d'années d'expérience professionnelle requise pour le personnel chargé de l'évaluation ou de la revue de la certification, telle que fixée par le présent référentiel.
6.1(5) (Profil d'expertise technique) L'organisme de certification doit s'assurer que le personnel disposant d'une expertise technique justifie :
a) A minima d'un diplôme de niveau licence, ou correspondant au moins au niveau EQF6 (3) du cadre européen des certifications, dans le domaine de l'informatique, des systèmes d'information ou de la cybersécurité ou bien d'un titre reconnu par l'État (p. ex. : diplôme d'Ingénieur) dans ces domaines ;
b) Ou dispose d'une expérience professionnelle significative d'au moins 5 années dans le domaine de la protection des données.
Note : L'expérience professionnelle requise au §6.1(5) b) du présent référentiel constitue une alternative au diplôme requis au §6.1(5) a) ( Validation des Acquis de l'Expérience - VAE dans le contexte de ce référentiel). Cette même expérience professionnelle peut également être prise en compte, lorsqu'elle est appropriée, pour répondre aux autres exigences d'expérience professionnelle du présent référentiel.
6.1(6) (Profil d'expertise technique) L'organisme de certification doit s'assurer que son personnel disposant d'une expertise technique a suivi une formation d'au moins 2 jours a minima sur les référentiels utiles au management de la sécurité des systèmes d'information (réglementation, normes, méthodes, bonnes pratiques, gestion des risques, etc.).
6.1(7) (Profil d'expertise technique) L'organisme de certification doit s'assurer que son personnel au profil d'expertise technique dispose de compétences appropriées et actualisées qui incluent :
a) Pour le personnel en charge de l'évaluation, une expérience de 2 ans a minima dans le domaine de la protection des données, telle que l'analyse et/ou la mise en œuvre de mesures techniques et organisationnelles de sécurisation des systèmes d'information et qui est adaptée au champ d'application du mécanisme de certification (p. ex. : tests de mesures de sécurité des données, procédures d'évaluation ou de certifications techniques) ;