Droit en Poche - RGPD : la protection des données à caractère personnel - 5e - 71

L'agrément des organismes de certification
Les organismes de certification sont agréés par l'autorité de contrôle
ou l'organisme national d'accréditation (en France le COFRAC).
Afin d'obtenir cette accréditation, l'organisme doit démontrer son
indépendance et son expertise au regard de l'objet de la certification
et l'absence de conflits d'intérêts avec ses tâches et missions. Il
doit respecter les critères de certification et avoir mis en place des
procédures en vue de « la délivrance, de l'examen périodique et du
retrait d'une certification » et du « traitement des réclamations ».
La procédure de certification
Un organisme souhaitant être certifié doit fournir à l'évaluateur
toutes les informations nécessaires pour lui permettre d'apprécier
la conformité aux critères de certification « ainsi que l'accès à ses
activités de traitement ». Dans l'hypothèse où la certification serait
délivrée par un organisme de certification et non par une autorité
de contrôle ou le CEPD, cet organisme ne peut délivrer et renouveler
les certifications qu'après en avoir informé l'autorité de contrôle
« pour qu'elle puisse exercer au besoin [ses] pouvoirs ». Une certification
est délivrée pour une durée maximale de trois ans et peut
être renouvelée sous réserve que les exigences soient toujours satisfaites.
À
noter que comme pour les codes de conduite, les organismes
de certification « communiquent aux autorités de contrôle compétentes
les raisons de la délivrance ou du retrait de la certification
demandée ». En cas de manquements à leurs obligations, ils
peuvent comme les organismes en charge du contrôle d'un code de
conduite, faire l'objet d'une sanction conformément aux dispositions
de l'article 83 pouvant aller jusqu'à 10 millions d'euros ou 2 %
du chiffre d'affaires annuel mondial de l'exercice précédent.
La CNIL a publié, en 2018, un référentiel d'agrément des organismes
de certification pour la certification des compétences du
DPO et un référentiel de certification des compétences du DPO.
Depuis, plusieurs organismes ont été agréés pour certifier sur la
base de ce référentiel.
1er
schéma de certification européen
Le 10 octobre 2022, le CEPD a émis son premier avis sur un schéma
de certification au RGPD dénommé Europrivacy (opinion 28/2022) à
la demande de l'autorité luxembourgeoise de protection des données.
Cette certification vise à permettre à des responsables de traitement
ou des sous-traitants de faire certifier par un organisme accrédité des
traitements de données personnelles.
L'impact de ces outils sur les modes
de régulation
Les références à l'application d'un code de conduite ou à l'adhésion
à un mécanisme de certification sont nombreuses dans le RGPD.
Dans certains cas, l'utilisation de ces outils permet de bénéficier
RGPD : la protection des données à caractère personnel
Droit en Poche - RGPD : la protection des données à caractère personnel - 5e

Table des matières de la publication Droit en Poche - RGPD : la protection des données à caractère personnel - 5e
