AgentPublic/cnil huggingface dataset:
Durant la période transitoire entre le dépôt de son dossier et l’obtention de l’accréditation, l’organisme de certification est autorisé à débuter son activité de certification sous réserve qu’il ait reçu une réponse favorable de l’instance nationale d’accréditation suite à la revue de sa demande d’accréditation, appelée recevabilité opérationnelle selon le règlement d’accréditation du COFRAC.
L’organisme de certification dispose d’une période maximale de 12 mois à compter de la date de la réponse favorable du COFRAC pour obtenir l’accréditation.
La convention de coopération signée le 20 mai 2020 entre la CNIL et le COFRAC fixe les rôles, les responsabilités et les procédures opérationnelles liées à l’accréditation des organismes de certification pour les mécanismes de certification approuvés au titre de l’article 8 de la loi Informatique et Libertés.
4. DURÉE DE L’AGRÉMENT
La durée de l’agrément est celle de l’accréditation délivrée par l’instance nationale d’accréditation.
5. OBLIGATIONS DE L’ORGANISME DE CERTIFICATION
Pour obtenir son accréditation, l’organisme de certification doit :
être titulaire d’une accréditation pour la certification de formation professionnelle selon le décret n°2019-565 du 6 juin de 2019, en cours de validité. Si cette accréditation est suspendue, réduite ou retirée, ceci remet automatiquement en cause l’accréditation relative au présent référentiel ;
être en mesure de démontrer à l’instance nationale d’accréditation sa conformité aux exigences définies en partie 6 de ce référentiel ;
établir une procédure afin d’investiguer et répondre, par écrit et dans les meilleurs délais, à toute demande d’information de la CNIL s’agissant de la fourniture de données agrégées relatives à l’activité de certification (statistiques) ou de données relatives à la conformité aux exigences du présent référentiel, notamment pour les exigences relatives au traitement des plaintes et appels en lien avec l’activité de certification.
L’organisme de certification est également soumis aux obligations suivantes :
en cas de suspension de l'accréditation, il n'est plus autorisé à délivrer de certificats jusqu'à la levée de la suspension par l'instance nationale d'accréditation. Pendant cette période, l’organisme certification doit néanmoins poursuivre la surveillance des certifications en cours de validité ;
en cas de retrait ou résiliation de l'accréditation, de cessation de l’activité de certification, ou lorsque l’organisme de certification a été autorisé à débuter son activité de certification suite à la revue de sa demande d’accréditation mais n’est pas parvenu à obtenir une accréditation auprès de l’instance national d’accréditation dans les délais impartis, il n'est plus autorisé à délivrer de certificats. Les certificats déjà délivrés par l’organisme de certification restent valides pendant une période de 6 mois. Il doit en informer les prestataires de formation titulaires d'un certificat délivré par l’organisme de certification ou en cours de certification. Ceux-ci choisissent un autre organisme certificateur accrédité ou en cours d'accréditation par une instance nationale d'accréditation pour lui transférer leur certification.
6. EXIGENCES À SATISFAIRE PAR LES ORGANISMES DE CERTIFICATION
Référentiel d’évaluation - Certification des prestataires de formation à la protection des données à caractère personnel - Version du 27-01-2022
1. Domaine d’application
Le présent document comporte des exigences portant sur les compétences, la cohérence des activités et l’impartialité des organismes de certification intervenant pour la certification des services de prestataires de formation à la protection des données à caractère personnel selon les critères du référentiel de certification approuvé par la CNIL par la délibération n° 2020-139 du 3 décembre 2020.
2. Références normatives
EN ISO/IEC 17065 : Évaluation de la conformité – Exigences pour les organismes certifiant les produits, les procédés et les services ( ISO 17065 dans la suite du présent référentiel).
Par défaut, toutes les clauses de la norme ISO 17065 s’appliquent. Les exigences ci-dessous ajoutent des spécificités liées à la certification des services de prestataire de formation à la protection des données à caractère personnel.
3. Termes et définitions
Les termes et définitions de la norme EN ISO/IEC 17065 :2012 s’appliquent.
Afin de faciliter la lecture du présent référentiel, les principales définitions sont listées ci-après.
RGPD : Règlement général sur la protection des données
Loi Informatique et Libertés : Loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
CEPD : Comité européen de la protection des données
CNIL : Commission nationale de l’informatique et des libertés
Certification : attestation délivrée par un tiers indépendant selon laquelle le respect de
			critères de certification a été prouvé
Critères de certification : exigences évaluables selon lesquelles l’évaluation
			de conformité est effectuée
Processus de certification : ensemble des activités conduisant à la délivrance de la certification et au maintien de la validité de cette attestation (p. ex. : activités d’évaluation, de surveillance, etc.)
Audit : processus méthodique, indépendant et documenté, permettant d’obtenir des preuves objectives et de les évaluer de manière objective pour déterminer dans quelle mesure des critères sont satisfaits
Plan d’audit (ou plan d’évaluation) : description des activités et des dispositions nécessaires pour réaliser un audit
Constatation (ou constat) : résultats de l’évaluation des preuves recueillies lors de l’audit, en rapport avec les critères de certification
Preuve : enregistrement, énoncés de faits ou autres informations pertinents pour les critères de certification et vérifiables
Non-conformité : non-satisfaction d’un critère de certification
Rapport d’audit (ou rapport d’évaluation) : document utilisé pour présenter les résultats de l’audit
Agrément : attestation délivrée à un organisme de certification, constituant une reconnaissance de sa compétence à appliquer le processus de certification et l’autorisant à délivrer la certification
Organisme de certification : organisme d’évaluation de la conformité qui réalise les tâches du processus de certification
Exigences d’agrément : exigences à respecter par l’organisme de certification lors de la mise en œuvre du processus de certification afin d’obtenir l’agrément et puis le conserver (objet du présent référentiel pour la certification des prestataires de formation à la protection des données à caractère personnel)
Client (ou candidat) : prestataire de formation qui a obtenu une certification ou qui en a fait la demande auprès d’un organisme de certification
Produit (ou service) : résultat du processus de formation à la protection des données
Appel : demande exprimée par un client auprès d’un organisme de certification visant à reconsidérer toute décision de certification défavorable au regard du statut de la certification qu’il a demandé
Plainte (ou réclamation) : toute expression de mécontentement, autre qu’un appel, émise par toute personne ou organisation auprès d’un organisme de certification, et relative à ses activités de certification
Transfert de la certification : reprise d’une certification existante et
valide 
par un autre organisme de certification
4. Exigences générales
4.1. Domaine juridique et contractuel
4.1.1 Responsabilité juridique
4.1(1) Les exigences du §4.1 de l’ISO 17065 s’appliquent.
4.1.2 Contrat de certification
4.1.2(1) En complément des exigences du §4.1.2 de l’ISO 17065, l’organisme de certification doit s’assurer que le contrat de fourniture d’activités de certification contient également des engagements du client sur les points suivants :
a) se conformer aux critères de certification des prestataires de formation et mettre en œuvre les changements nécessaires à l’occasion de leur mise à jour, notamment lorsque ceux-ci sont communiqués par l’organisme de certification ;
b) fournir à l’organisme de certification les informations et l’accès aux traitements de données qui sont nécessaires à l’exécution de la procédure de certification, dans la limite du respect des mesures organisationnelles et techniques mises en œuvre pour ces traitements de données afin de s’assurer du respect du RGPD et de la loi Informatique et Libertés ;
Cela inclut des dispositions pour l’accès à la documentation et aux enregistrements, l’accès aux équipements, sites ou zones nécessaires, l’échange avec son personnel et l’accès aux informations pertinentes relatives à ses sous-traitants ;
c) prendre les dispositions nécessaires pour permettre la participation de la CNIL et de l’instance nationale d’accréditation à l’évaluation du client en tant qu’observateur ;
d) informer l’organisme de certification dans le cas de changements significatifs de sa situation légale ou de sa situation de fait, de changements significatifs de son offre de formation, de tout changement de son processus de formation qui est susceptible d’affecter la conformité aux critères de certification ou tout changement qui concerne des informations figurant sur la documentation de certification officielle, telle que prévue au §7.7 du présent référentiel (certificat) ;
e) autoriser l’organisme de certification à communiquer à la CNIL :
- les informations relatives à la délivrance ou au retrait de la certification conformément aux exigences du §7.6 (Décision de certification) du présent référentiel ;
- sur sa demande, les informations relatives à la procédure de certification conformément aux exigences du §7.12 (Enregistrements) du présent référentiel.
4.1.2(2) Le contrat de fourniture d’activités de certification doit également informer le client des points suivants :
a) la certification ne réduit pas la responsabilité de son client en matière de conformité aux dispositions du RGPD et de la loi Informatique et Libertés et est sans préjudice de l’exercice des missions et des pouvoirs de la CNIL prévus notamment aux articles 20 à 23 de la loi Informatique et Libertés ;
b) de l’organisation et des procédures mises en place par l’organisme de certification pour le besoin de la gestion des plaintes et des appels. L’organisme de certification doit également s’assurer que le contrat engage le client à se conformer aux règles prévues par ces procédures s’agissant de l’instruction des réclamations prévue au §4.2.2.2 de la norme ISO 17065 ;
c) des règles applicables au maintien de la certification, à son renouvellement, à sa suspension et à son retrait, y compris les règles relatives aux intervalles de surveillance et de réévaluation de la certification conformément aux exigences du §7.9 du présent référentiel ;
d) des conséquences générales d’une arrivée au terme de la période d’accréditation, d’une suspension ou d’un retrait de l’accréditation. Les actions dont dispose le client pour maintenir la validité de la certification ou la renouveler sont également précisées.
En particulier, l’organisme de certification informe le client des conditions générales applicables au transfert d’une certification et de la procédure applicable dans le cas où il fait l’objet d’une décision de refus, de suspension ou de retrait de son accréditation pour la certification des prestataires de formation à la protection des données approuvée par la CNIL.
4.1.3 Utilisation de licences, de certificats et de marques de conformité
4.1.3(1) En complément des exigences du §4.1.3 de l’ISO 17065, l’organisme de certification doit exercer son contrôle sur l’utilisation et l’affichage des licences, des certificats et des marques de conformité ainsi que tout autre dispositif destiné à identifier le processus de formation d’un prestataire bénéficiant d’une certification, en s’assurant que :
a) la certification des prestataires de formation à la protection des données est clairement mentionnée. En particulier, la communication est transparente sur le fait que celle-ci se rapporte uniquement aux formations à la protection des données à caractère personnel proposées par le prestataire ;
b) le périmètre de la certification est sans ambiguïté afin de prévenir tout confusion concernant les formations qui ont été évaluées ;
c) les règles d’usage des marques déposées par la CNIL à destination des prestataires de formation certifiés sont respectées.
4.1.3(2) L’usage incorrect ou ambigu de licences, certificats, marques de conformité, ainsi que tout autre dispositif destiné à identifier le processus de formation d’un prestataire bénéficiant d’une certification doit être corrigé par une action appropriée. A minima, cela inclut :
a) l’obligation pour le prestataire de formation certifié de prendre des mesures pour mettre fin aux pratiques incorrectes ou ambigües ;
b) l’obligation pour le prestataire de formation certifié de renouveler l’information du public, par défaut, en utilisant des moyens de communication similaires à ceux utilisés précédemment ;
c) l’information de la CNIL, dans les meilleurs délais, des pratiques non-conformes constatées et des actions menées par l’organisme de certification et le prestataire de formation ;
Note : D’autres actions appropriées décidées par l’organisme de certification peuvent également comprendre le retrait ou la suspension de la certification, une communication relative à la faute commise ou encore, si nécessaire, l’exercice d’une action devant les juridictions compétentes.
4.2. Gestion de l'impartialité
4.2(1) En complément des exigences du §4.2 de l’ISO 17065, l’organisme de certification doit s’assurer que :
a) le personnel impliqué dans les procédures d’évaluation, de revue et de prise de décision de certification n’intervient pas en tant que concepteur du contenu des formations, concepteur des modalités d’évaluation ou formateur pour l’une des formations à la protection des données de son client ;
b) il n’est pas affilié à l’organisation de son client, ni n’appartient au même groupe que son client ;
c) il n’a pas fait appel à son client pour former son personnel à la protection des données depuis au moins 2 ans.
4.3. Responsabilité et financement
4.3(1) Les exigences du §4.3 de l’ISO 17065 s’appliquent.
4.4. Conditions non discriminatoires
4.4(1) Les exigences du §4.4 de l’ISO 17065 s’appliquent.
4.5. Confidentialité
4.5(1) En complément des exigences du §4.5 de l’ISO 17065, l’organisme de certification doit informer le client des informations qui seront fournies à la CNIL pour le besoin de la mise en œuvre du processus de certification. Cela inclut les informations suivantes :
a) les décisions de certification (voir les exigences du §7.6 du présent référentiel) ;
b) les informations nécessaires à la publication par la CNIL d’un annuaire des certifiés (voir les exigences au §7.8 du présent référentiel).
4.5(2) L’organisme de certification doit informer le client que, sur demande de la CNIL, il peut être amené à transmettre à la CNIL des informations supplémentaires en lien avec son évaluation, dans le but de démontrer la conformité du processus de certification aux exigences du présent référentiel (voir exigences du §7.12 du présent référentiel).
4.6. Informations accessibles au public
4.6(1) Les exigences du §4.6 de l’ISO 17065 s’appliquent.
5. Exigences structurelles
5.1. Organisation et direction
5.1(1) Les exigences du §5.1 de l’ISO 17065 s’appliquent.
5.2. Dispositif de préservation de l'impartialité
5.2(1) Les exigences du §5.2 de l’ISO 17065 s’appliquent.
6. Exigences relatives aux ressources
6.1. Personnel de l'organisme de certification 
6.1(1) En complément des exigences du §6.1 de l’ISO 17065, l’organisme de certification doit instaurer, mettre en œuvre et maintenir une procédure de gestion des compétences afin de démontrer que son personnel en charge des évaluations (auditeurs) dispose des compétences appropriées et actualisées (connaissance et expérience) pour mener à bien ses activités de certification. En particulier, l’auditeur doit :
a) avoir bénéficié d'une formation spécifique à la protection des données à caractère personnel ;
b) disposer d’une expérience appropriée en matière d’analyse et/ou de mise en œuvre de la réglementation applicable à la protection des données à caractère personnel (RGPD et loi Informatique et Libertés) pour les secteurs d’activité, les thématiques particulières ou les types particuliers d’opération de traitement de données visés par les objectifs des formations proposées par le prestataire ;
c) disposer d’une expérience appropriée en matière d’analyse et/ou de mise en œuvre de mesures techniques et organisationnelles de protection des données.
Note : Il revient à l’organisme de certification de définir les critères de compétences appropriés en se basant sur les exigences ci-dessus.
6.1(2) L’organisme de certification doit s’assurer du maintien des compétences des auditeurs, par exemple au moyen d’un programme de formation professionnelle.
6.2. Ressources pour l'évaluation
6.2(1) En complément des exigences du §6.2 de l’ISO 17065, l’organisme de certification doit s’assurer que les organismes auprès desquels sont externalisées des activités d’évaluation, et le personnel auquel ceux-ci font appel pour réaliser ces activités, répondent aux exigences du présent référentiel qui s’appliquent à l’activité d’évaluation.
6.2(2) En particulier, quand des activités d’évaluation sont externalisées auprès d’un autre organisme, l’organisme de certification doit :
a) vérifier, pour chaque auditeur, que les exigences du §6.1 du présent référentiel sont respectées ;
b) contrôler que le personnel impliqué dans le processus de certification n’a pas d’autre lien d’intérêt avec le prestataire de formation que le processus de certification et n’a pas d’activité en lien avec l’activité de formation réalisée par le prestataire de formation qui serait susceptible de remettre en cause l’impartialité de l’organisme de certification (voir exigences du §4.2 du présent référentiel).
7. Exigences relatives aux processus
7.1. Généralités
7.1(1) Les exigences du §7.1 de l’ISO 17065 s’appliquent.
Les prestataires de formation sont évalués selon les critères du référentiel de certification des prestataires de formation à la protection des données à caractère personnel approuvés par la CNIL par la délibération n° 2020-139 du 3 décembre 2020.
Pour réaliser son évaluation, l’organisme de certification prend en compte le guide de lecture publié par la CNIL sur son site web.
7.2. Demande
7.2(1) En complément des exigences du §7.2 de l’ISO 17065, l’organisme de certification doit collecter auprès du prestataire :
a) la liste des formations à la protection des données à caractère personnel qu’il propose ainsi que, le cas échéant, les informations relatives à des secteurs d’activité ou des thématiques spécifiques ou encore à des types particuliers d’opération de traitement de données qu’il a identifié pour celles-ci ;
b) la liste des sous-traitants impliqués dans les prestations de formation à la protection des données ;
c) les informations relatives à la réalisation des prestations de formation, incluant l’adresse des lieux permanents de gestion, conception et réalisation des formations ;
d) le cas échéant, s’assure par tout moyen de la validité de la certification RNQ obtenue.
7.3. Revue de la demande
7.3(1) Pour instruire les demandes de certification selon les exigences du §7.3 de l’ISO 17065, l’organisme de certification doit prendre en considération les informations obtenues au §7.2 du présent référentiel.
7.3(2) En complément des exigences du §7.3.1 de l’ISO 17065, l’organisme de certification doit effectuer une revue des informations obtenues afin de garantir qu’il possède les compétences nécessaires en matière de protection des données, conformément aux exigences du §6 du présent référentiel, pour réaliser l’activité de certification.
Cela inclut les compétences nécessaires à l’évaluation des formations proposées par le prestataire de formation lorsqu’elles portent sur des secteurs d’activité ou des thématiques spécifiques ou encore sur des types particuliers d’opération de traitement de données.
7.3(3) L’organisme de certification met en place une procédure de calcul de la durée d’audit. La durée d’audit retenue par l’organisme de certification est indiquée dans le contrat de certification.
Les règles applicables au calcul des durées de l’audit sont celle définies à l’article 4 de l’arrêté du 6 juin 2019 relatif aux modalités d’audit associées au référentiel RNQ concernant les actions de formation (pour les catégories d’action au L.6313-1-3° du code du travail).
Pour l’évaluation initiale ou en renouvellement, à la durée calculée selon les modalités RNQ précitées (initial ou renouvellement), s’ajoute a minima 1 jour d’évaluation pour :
- les prestataires de formation non certifiés selon le référentiel RNQ ;
- les prestataires certifiés selon le référentiel RNQ et qui proposent plus de 3 formations relatives à la protection des données dans leur catalogue de formation (ou qui ont déjà réalisé 3 formations sur-mesure avec des objectifs de formation différents).
En surveillance, à la durée calculée selon les modalités RNQ précitées (surveillance), s’ajoute a minima 0,5 jour d’évaluation selon les mêmes conditions (à savoir pour les prestataire de formation non-certifiés RNQ et pour les prestataires certifiés avec plus de 3 formations).
L’organisme de certification peut réduire les durées calculées pour l’évaluation en justifiant soit :
- de résultats d’un audit selon le référentiel RNQ ;
- d’une optimisation rendue possible par un audit combiné avec l’évaluation du référentiel RNQ ;
- de la mise en œuvre d’autres référentiels applicables, telle que l’inscription au Répertoire National des Certifications Professionnelles (RNCP) ou Répertoire Spécifique (RS).
7.3(4) Dans le cas d’une demande concernant un candidat qui souhaite changer d’organisme de certification en demandant le transfert de sa certification, l’organisme de certification doit :
a) vérifier que le candidat dispose d’un certificat valide au moment de sa demande ;
b) outre les informations listées au §7.2 du présent référentiel, obtenir auprès du candidat :
- une copie du certificat émis ;
- le dernier rapport d’audit ;
- les plaintes reçues.
c) outre la revue prévue au §7.3(2) du présent référentiel, examiner, par une revue documentaire, l’état des non-conformités en suspens, les constats du dernier rapport d’audit, les plaintes reçues et les actions correctives mises en œuvre ;
d) prendre sa décision concernant le transfert de la certification sous un délai d’un mois.
Note : À défaut de la réception de tout ou partie des documents listés ci-dessus ou en cas de doute sur la conformité par rapport aux critères de certification, l’organisme de certification ne pourra pas transférer la certification en l’état et devra débuter un nouveau processus de certification en commençant par un audit initial, tel que prévu au §7.4 du présent référentiel.
7.4. Evaluation
7.4(1) En complément des exigences du §7.4 de l’ISO 17065, l’organisme de certification doit disposer d’un plan d’évaluation (plan d’audit).