AgentPublic/cnil huggingface dataset:
b) Pour le personnel responsable de la revue de la certification (ou de la prise de décision), une expérience de 2 ans a minima dans l'identification, la définition, la surveillance de mesures de protection des données ou dans une activité de conseil en matière de protection des données.
6.1(8) (Profil d'expertise juridique) L'organisme de certification doit s'assurer que son personnel disposant d'une expertise juridique justifie :
a) A minima d'un diplôme de niveau master 1 dans le domaine du droit ou d'un diplôme reconnu par un Etat membre de l'Union européenne, correspondant à au moins 8 semestres et ayant débouché à un diplôme universitaire équivalent (maîtrise en droit) ;
b) ou dispose d'une expérience professionnelle significative d'au moins 5 années dans le domaine de la protection des données à caractère personnel.
Note : L'expérience professionnelle requise au §6.1(8) b) du présent référentiel constitue une alternative au diplôme requis au §6.1(8) a) ( Validation des Acquis de l'Expérience - VAE dans le contexte de ce référentiel). Cette même expérience professionnelle peut également être prise en compte, lorsqu'elle est appropriée, pour répondre aux autres exigences d'expérience professionnelle du présent référentiel.
6.1(9) (Profil d'expertise juridique) L'organisme de certification doit s'assurer que son personnel au profil d'expertise juridique dispose de compétences appropriées et actualisées qui incluent :
a) Pour le personnel en charge de l'évaluation, une expérience de 2 ans a minima dans le domaine du droit de la protection des données, telle que l'analyse et/ou la mise en œuvre de la conformité à la réglementation applicable aux traitements des données à caractère personnel (p. ex. : revue de contrats ou procédure d'évaluation relative aux droits des personnes concernées) ;
b) Pour le personnel responsable de la revue de la certification (ou de la prise de décision), une expérience de 2 ans a minima dans la surveillance de la conformité de mesures de protection des données ou dans une activité de conseil en matière de protection des données à caractère personnel.
6.1(10) L'organisme de certification doit s'assurer du maintien des compétences de son personnel, par exemple au moyen d'un programme de formation professionnelle.
6.1(11) En complément des exigences du §6.1.3 de l'ISO 17065, l'organisme de certification doit exiger de son personnel participant au processus de certification qu'il s'engage à respecter les règles définies par l'organisme de certification s'agissant de l'indépendance du personnel d'intérêt commerciaux ou autres concernant l'objet de certification conformément à l'article 43-2-a du RGPD.
L'organisme de certification doit utiliser ces informations comme données d'entrée pour identifier les risques que font peser sur l'impartialité les activités de ce personnel ou des organismes qui les emploient conformément aux exigences du §4.2.3 de l'ISO 17065 et démontrer que leurs missions n'entraînent pas de conflit d'intérêts conformément à l'article 43-2-e du RGPD.
6.2. Ressources pour l'évaluation
6.2(1) En complément des exigences du §6.2 de l'ISO 17065, l'organisme de certification doit s'assurer que les organismes auprès desquels sont externalisées des activités d'évaluation, et le personnel auquel ceux-ci font appel pour réaliser ces activités, répondent aux exigences du présent référentiel qui s'appliquent à l'activité d'évaluation.
Conformément aux exigences du §6.2.2.4 et du §7.6.1 de l'ISO 17065, l'organisme de certification doit assumer l'entière responsabilité de toutes les activités externalisées auprès d'un autre organisme et il doit être responsable et doit conserver son pouvoir décisionnel en matière de certification.
6.2(2) En particulier, quand des activités d'évaluation sont externalisées auprès d'un autre organisme, l'organisme de certification doit :
a) Vérifier, pour chaque personne en charge de l'évaluation, que les exigences du §6.1 du présent référentiel sont respectées ;
b) Contrôler que le personnel impliqué dans le processus de certification n'a pas d'autre lien d'intérêt avec le client que le processus de certification et n'a pas d'activité en lien avec l'activité du client qui serait susceptible de remettre en cause l'impartialité de l'organisme de certification (voir exigences du §4.2 du présent référentiel).
7. Exigences relatives aux processus
7.1. Généralités
7.1(1) Les exigences du §7.1 de l'ISO 17065 s'appliquent.
			Les opérations de traitement des données à caractère personnel doivent être évaluées selon les critères de certification approuvé par la CNIL au titre de l'article 58-3 du RGPD et d'article 8-I-2°-h de la loi Informatique et Libertés ou par le CEPD au titre de l'article 63 du RGPD.
Note : Pour réaliser son évaluation, l'organisme de certification peut prendre en compte les guides ainsi que les méthodes d'évaluation ou de tests fournies par le propriétaire du schéma de certification.
7.2. Demande
7.2(1) En complément des exigences du §7.2 de l'ISO 17065, l'organisme de certification doit collecter auprès du candidat les informations suivantes en rapport avec l'objet de la certification :
a) Une description détaillée de la cible d'évaluation, comprenant ses interfaces avec d'autres systèmes et/ou organisations. En particulier, les protocoles sous-jacents et les garanties liées à ces interfaces d'échange, qui permettent la communication de données entre la cible d'évaluation et des systèmes externes et/ou des organisation tierces, sont fournis ;
b) La liste des transferts de données à des organisations situées dans un pays tiers (hors de l'Union européenne) ou vers une organisation internationale. Les réglementations nationales applicables à l'importateur des données et le type des garanties appropriées mises en œuvre sont indiquées ;
c) Les responsabilités, activités de traitement et/ou rôle du candidat, lorsque le candidat est un sous-traitant ou un responsable de traitement conjoint ;
d) La liste des sous-traitants (ou des sous-traitants ultérieurs lorsque le candidat est lui-même sous-traitant). Leurs responsabilités et leurs activités de traitement doivent être décrites et les principaux contrats ou contrats-type liant le candidat à ses sous-traitant doivent être identifiés ;
e) La liste des responsables de traitement conjoints. Leurs responsabilités et rôles sont décrits et les principes de l'accord les liant avec le candidat doivent être indiqués (ou la nature de l'instrument juridique utilisé) ;
f) Les caractéristiques générales des traitements de données dans le périmètre de la certification, telles que l'adresse des locaux du candidat où les données à caractère personnel sont traitées, les catégories de données impliquées et les obligations nationales qui s'appliquent aux traitements de données ;
g) Le cas échéant, les informations relatives aux certifications ou à des résultats d'évaluation obtenues avant la demande de certification, lorsque la nature de ces évaluations et leur périmètre sont pertinents pour une éventuelle prise en compte dans le processus de certification ;
h) L'existence de toute action de contrôle en cours, ou décision de sanction et/ou de mesures correctrices récente prononcée par la CNIL ou par une autre autorité de contrôle compétentes à l'encontre du candidat, lorsqu'elle porte sur des traitements de données dans le périmètre de la certification demandée.
7.3 Revue de la demande
7.3(1) Pour instruire les demandes de certification selon les exigences du §7.3 de l'ISO 17065, l'organisme de certification doit prendre en considération les informations obtenues au §7.2 du présent référentiel.
7.3(2) En complément des exigences du §7.3.1 de l'ISO 17065, l'organisme de certification doit effectuer une revue des informations obtenues afin de garantir :
a) Que l'objet de la certification est éligible à l'évaluation selon les critères de certification, en prenant en compte les règles définies par le schéma de certification. En particulier, l'organisme de certification doit s'assurer que le candidat et les opérations de traitement de données qu'il souhaite soumettre à l'évaluation sont dans le champ d'application du mécanisme de certification s'agissant :
			- des responsabilités du candidat pour l'objet de certification proposé, compte-tenu de la réglementation applicable en matière de protection des données (responsable de traitement, responsable de traitement conjoint, sous-traitant, sous-traitant ultérieur, etc.) ;
			- du type d'opérations de traitement de données de l'objet de certification, compte-tenu des opérations de traitement de données pour lesquels les critères de certification ont été conçus et approuvés au titre de l'article 42 du RGPD ;
b) Qu'il dispose des méthodes d'évaluation adaptées à la cible d'évaluation, en prenant en compte :
			- les règles définies par le schéma de certification concernant les méthodes à appliquer pour l'évaluation de la conformité des opérations de traitement de données aux critères de certification ;
			- les réglementations applicables à la cible d'évaluation en matière de protection des données ;
			- les actions de contrôle en cours ou les décisions de sanction et/ou mesures correctrices récentes prononcées par la CNIL ou d'autres autorités de contrôle compétentes.
L'organisme de certification décrit les méthodes d'évaluation utilisées pour l'évaluation la conformité des opérations de traitement aux critères de certification de manière uniforme, en veillant à ce que des méthodes d'évaluation comparables soient utilisées pour l'évaluation de cibles d'évaluation comparables et concluent à des résultats comparables ;
c) Qu'il possède les compétences juridiques et techniques nécessaires en matière de protection des données, conformément aux exigences du §6 du présent référentiel, pour réaliser l'activité de certification, en particulier lorsque l'organisme de certification ne dispose pas d'expérience ultérieure d'évaluation du même type d'objet de certification ou d'un périmètre de certification similaire.
7.3(3) Lorsque le schéma de certification définit des règles pour le calcul de la durée de l'activité d'évaluation (p. ex. : en jours), l'organisme de certification doit mettre en place une procédure de calcul de la durée d'audit. Pour l'application de la méthode d'évaluation, cette procédure doit prendre en compte les facteurs suivants :
a) L'ampleur des traitements de données à caractère personnel dans le périmètre de certification ;
b) La nature des données à caractère personnel traitées ;
c) Les risques pour les personnes concernées par les traitements de données ;
d) La complexité de l'évaluation des technologies utilisées pour les traitements de données ;
e) Le recours à des sous-traitants pour réaliser les traitements de données ;
f) Le nombre de structures/établissements du candidat dans lesquels sont effectués les traitements de données à caractère personnel.
Lorsque le schéma de certification définit des règles pour le calcul d'une durée (minimale) d'évaluation du client, l'organisme de certification doit réaliser ce calcul selon les règles définies par le schéma de certification et déterminer si la durée calculée est suffisante pour réaliser ses tâches d'évaluation ou si cette durée doit être augmentée. Il conserve la justification et un enregistrement de la durée retenue.
La durée d'audit retenue par l'organisme de certification est indiquée dans le contrat de certification.
7.3(4) Dans le cas d'une demande concernant un candidat qui souhaite changer d'organisme de certification en demandant le transfert de sa certification, l'organisme de certification suit les règles définies par le schéma de certification qui s'appliquent.
En particulier, l'organisme de certification doit :
a) Vérifier que le candidat dispose d'un certificat valide au moment de sa demande ;
b) Outre les informations listées au §7.2 du présent référentiel, obtenir auprès du candidat :
			- une copie du certificat émis ;
			- le dernier rapport d'audit ;
			- les plaintes reçues ;
c) Outre la revue prévue au §7.3(2) du présent référentiel, examiner, par une revue documentaire, l'état des non-conformités en suspens, les constats du dernier rapport d'audit, les plaintes reçues et les actions correctives mises en œuvre ;
d) Prendre sa décision concernant le transfert de la certification sous un délai d'un mois.
Note : A défaut de la réception de tout ou partie des documents listés ci-dessus ou en cas de doute sur la conformité de la cible d'évaluation par rapport aux critères de certification, l'organisme de certification ne pourra pas transférer la certification en l'état et devra débuter un nouveau processus de certification en commençant par un audit initial, tel que prévu au §7.4 du présent référentiel.
7.4. Évaluation
7.4(1) En complément des exigences du §7.4 de l'ISO 17065, l'organisme de certification doit disposer d'un plan d'évaluation (plan d'audit). Le plan d'audit doit permettre la mise en œuvre la méthode d'évaluation établie dans le contrat de certification, conformément à l'exigence §4.1.2(2) b) du présent référentiel.
La mise en œuvre de la méthode d'évaluation peut nécessiter une évaluation dans les locaux du client afin de réaliser les constatations nécessaires pour établir la conformité aux critères de certification. Tout écart à la méthode d'évaluation doit être justifié par l'organisme de certification.
7.4(2) L'organisme de certification doit appliquer les méthodes d'évaluation établies dans le contrat de certification lors de son évaluation, par exemple en appliquant :
a) Une méthode pour l'évaluation de la nécessité et de la proportionnalité des opérations de traitement de données au regard de l'objectif poursuivi et de la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;
b) Une méthode pour l'évaluation de l'étendue, le type et l'appréciation de l'ensemble des risques envisagés par le responsable de traitement et le sous-traitant s'agissant de leurs obligations conformément aux article 30, 32, 35 et 36 du RGPD, et du caractère approprié des mesures techniques et organisationnelles prévues aux articles 24, 25 et 32 du RGPD, dans la mesure où les articles susmentionnés s'appliquent à l'objet de la certification ;
c) Une méthode pour l'évaluation des actions correctives, y compris les garanties, mesures de sauvegarde et procédures permettant d'assurer la protection des données à caractère personnel pour les traitements de données impliqués dans la cible d'évaluation.
7.4(3) L'organisme de certification doit désigner du personnel avec des compétences appropriées pour effectuer les tâches d'évaluation, en prenant en compte les règles définies par le schéma de certification. L'organisme de certification s'assure que le personnel impliqué dans les tâches d'évaluation de la certification, que ces ressources soient internes à l'organisme ou externes, répond aux exigences de compétences, telles que spécifiées au §6 du présent référentiel.
En particulier, pour chaque évaluation, l'organisme de certification s'assure que l'équipe en charge de l'évaluation, dans son ensemble, dispose des compétences juridiques et techniques telles que définies au §6 du présent référentiel.
De manière exceptionnelle, lorsque l'organisme de certification fait intervenir en évaluation une personne qui ne peut justifier de compétences répondant aux exigences de qualification en tant que profil technique ou au profil juridique , telles que définies au §6 du présent référentiel, il justifie le besoin particulier de l'intervention d'un expert aux compétences spécifiques pour réaliser l'évaluation (p. ex. : une personne spécialisée dans une technologie particulière, dans un secteur d'activité impliquant le traitement de catégories particulières de données ou pour lequel des réglementations nationales sont applicables). Dans ce cas, le résultat des tâches d'évaluation conduites par la personne avec un profil expert doit faire l'objet d'une supervision, pendant le processus d'évaluation, par un membre du personnel en charge de l'évaluation et qui répond aux exigences de qualification en tant que profil technique ou profil juridique (p. ex. : le responsable de l'équipe d'audit).
7.4(4) En complément des exigences du §7.4.5 de l'ISO 17065 et dans le cadre du processus de revue de la demande au §7.3 de l'ISO 17065, lorsque l'organisme de certification s'appuie sur le résultat d'une certification obtenue avant son évaluation, l'organisme de certification doit :
a) S'assurer que le certificat sera valide au moment de l'évaluation et que la certification obtenue est pertinente pour la cible d'évaluation ;
b) Documenter comment et dans quelle mesure les résultats de la certification préalablement obtenue peuvent être pris en compte pour l'évaluation des critères de certification, dans le respect des règles définies par le schéma de certification ;
c) Etablir les conséquences pour l'évaluation restant à réaliser et sur la méthode d'évaluation à appliquer, par exemple en définissant une matrice de correspondance entre les critères des deux mécanismes de certification pour le contexte de la cible d'évaluation.
7.4(5) Lorsqu'il prend la responsabilité de s'appuyer sur des résultats d'une certification obtenue avant la demande de certification, l'organisme de certification doit s'assurer de la conformité de la cible d'évaluation à tous les critères du mécanisme de certification approuvé. En particulier, l'organisme de certification doit :
a) Avoir accès à la totalité du rapport d'évaluation de la certification préalablement obtenue (et pas uniquement au certificat de conformité ou à une attestation similaire) ;
b) Documenter ses propres constats en :
- faisant référence aux résultats pertinents du rapport d'évaluation préexistant (la reproduction des constats dans le rapport d'évaluation n'est pas requise) ;
			- réalisant ses propres constatations lorsqu'elles sont nécessaires pour l'évaluation des critères complémentaires du mécanisme de certification approuvé.
Si des écarts par rapport aux constats du rapport d'évaluation de la certification préalablement obtenue sont identifiés par l'organisme de certification lors de son évaluation des critères du mécanisme de certification approuvé, l'évaluation est étendue aux critères de certification concernés et, si nécessaire, pour la totalité de la cible d'évaluation déjà certifiée.
7.4(6) En complément des exigences du §7.4.6 de l'ISO 17065, l'organisme de certification doit définir dans ses procédures la manière dont le client est informé des résultats de l'évaluation, y compris des non-conformités, en prenant en compte les règles définies par le schéma de certification, notamment s'agissant de la forme de ces informations et du moment où elles sont fournies au client.
7.4(7) En complément des exigences du §7.4.9 de l'ISO 17065, l'organisme de certification doit documenter ses constats, pour chaque critère de certification, conformément aux règles définies par le schéma de certification. A minima, le rapport d'évaluation comprend :
a) La description de la cible d'évaluation ;
b) Le plan d'évaluation (incluant les mises à jour réalisées pendant l'évaluation) ;
c) Les références aux documents et enregistrements examinés ;
d) Les références aux traitements de données à caractère personnel qui ont été évalués ;
e) La fonction des personnes ayant fait l'objet d'un entretien ;
f) Les sites physiques du candidat où ont été réalisées les constatations ;
g) Une description des non-conformités qui identifie les critères de certification qui ne sont pas atteints et qui évalue la sévérité et la portée des non-conformités.
L'organisme de certification sollicite son client afin qu'il propose la mise en œuvre de mesures visant à corriger toutes les non-conformités pour qu'elles puissent être prises en compte par l'organisme de certification au moment de sa décision de certification (voir exigence au §7.6 de l'ISO 17065). Le plan d'action résultant de la décision de certification est également annexé au rapport d'évaluation. Ce plan d'action est examiné par l'organisme de certification avant la revue et la décision de certification.
7.4(8) L'organisme de certification fournit à la CNIL, à sa demande, le rapport de ses évaluations ainsi que ses annexes.
Note : pour démontrer la conformité aux exigences du présent référentiel, il n'est pas requis de l'organisme de certification qu'il conserve les éléments de preuves (p. ex. : documents, captures d'écran, fichiers de journalisation, etc.) qui lui ont permis d'établir les constatations documentées dans son rapport d'évaluation.
Note : Conformément aux exigences du §7.12 du présent référentiel, l'organisme de certification conserve le rapport de ses évaluations pendant une période de 6 ans.
7.4(9) Si les données à caractère personnel du périmètre de certification sont traitées à partir de plusieurs structures/établissement du candidat, l'évaluation doit être effectuée selon les règles définies par le schéma de certification.
Lorsqu'une non-conformité est détectée pour l'une de ces structures/établissements, l'organisme de certification sollicite son client afin :
			- qu'il en analyse l'étendue et les causes ; et
			- qu'il propose la mise en œuvre de mesures visant à prévenir que cette non-conformité ne se reproduise dans d'autres localisations.
Ces analyses sont jointes au plan d'actions et examinées par l'organisme de certification.
7.5. Revue des résultats relatifs à l'évaluation
7.5(1) Conformément aux exigences du §7.5 de l'ISO 17065, l'organisme de certification effectue une revue de toutes les informations et de tous les résultats suite à l'évaluation.
En complément des exigences du §7.5 de l'ISO 17065, le processus de revue de l'évaluation doit prendre en compte les règles définies par le schéma de certification. En particulier, l'organisme de certification doit :
a) Vérifier que le périmètre de la certification est cohérent avec l'objet de la certification qui a été l'évalué ;
b) Vérifier que les méthodes d'évaluation ont été suivies et que les constatations disponibles dans le rapport d'évaluation sont pertinentes.
7.5(2) L'organisme de certification doit désigner du personnel avec des compétences appropriées pour effectuer la revue de la certification, en prenant en compte les règles définies par le schéma de certification. L'organisme de certification s'assure que le personnel impliqué dans la revue de la certification, que ces ressources soient internes à l'organisme ou externes, répond aux exigences de compétences, telles que spécifiées au §6 du présent référentiel.
En particulier, pour chaque revue, l'organisme de certification s'assure que le personnel en charge de la revue de l'évaluation dispose des compétences juridiques et techniques telle que définies au §6 du présent référentiel.
7.6. Décision de certification
7.6(1) En complément des exigences du §7.6 de l'ISO 17065, l'organisme de certification définit des procédures pour prendre des décisions de certification ou refuser la certification, en prenant en compte les règles définies par le schéma de certification.
L'organisme de certification définit également des procédures pour prendre d'autres décisions relative à la certification intervenant suite à une évaluation menée dans le cadre du processus de surveillance prévu au §7.9.2 de l'ISO 17065 ou lorsque les mesures appropriées en réponse à une non-conformité comportent une évaluation conformément au §7.11.2 de l'ISO 17065 : le renouvellement, la mise à jour du périmètre de certification (extension ou réduction du périmètre), la suspension ou la levée d'une suspension et le retrait de la certification.
Ces procédures doivent prévoir que :
a) Les motifs qui ont conduit à une décision favorable sont identifiés et documentés à partir de preuves et faits objectifs ;
b) Les motifs qui ont conduit au refus, à la suspension ou au retrait de la certification sont identifiés et documentés, notamment au regard de la gravité, du nombre et de la récurrence des non-conformités constatées ;
c) La période entre la fin de l'évaluation (dernières constatations) et la décision ne peut excéder 3 mois, sauf circonstances exceptionnelles pour lesquelles les justifications sont documentées ;