Certification des compétences du DPO

Une nouvelle compétence de la CNIL

La loi Informatique et Libertés, telle que modifiée par la loi du 20 juin 2018, donne à la CNIL une nouvelle compétence en matière de certification de personnes. La CNIL peut désormais adopter des référentiels de certification, et agréer les organismes chargés de délivrer cette certification.

A la suite d’une consultation publique et forte de son expérience dans l’accompagnement des Correspondants Informatique et Libertés (CIL), la CNIL adopte deux référentiels :

• un référentiel de certification qui fixe notamment les conditions de recevabilité des candidatures et la liste des 17 compétences et savoir-faire attendus pour être certifié en tant que DPO.

• un référentiel d’agrément qui fixe les critères applicables aux organismes qui souhaitent être habilités par la CNIL à certifier les compétences du DPO sur la base du référentiel de certification élaboré par la CNIL ;

Synthèse de la consultation publique

La consultation publique sur les projets de référentiels s’est déroulée entre le 23 mai et le 22 juin 2018. Près de 200 contributions ont été reçues provenant :

• de DPO ou de futurs DPO ;
• de responsables de traitement et de sous-traitants (entreprises, fédérations professionnelles, organismes de formation, associations, cabinets d’avocats et cabinets de conseil) ;
• d’organismes de certification.

Les contributeurs représentent des secteurs d’activités très variés (banque, secteur public, santé, éducation, éditeur de logiciels, transport, distribution, enseignement supérieur).

Des réunions de travail ont également été organisées avec les trois associations professionnelles françaises de délégués (ADPO, AFCDP et UDPO) et une dizaine d’organismes de certification.

Cette consultation a permis d’enrichir la réflexion et de trouver le meilleur point d’équilibre entre les connaissances et compétences que doit détenir le DPO et les attentes des professionnels (organismes de certification, DPO, responsables de traitement, sous-traitant).

La certification des personnes physiques

La certification n’est pas obligatoire pour exercer les fonctions de délégué à la protection des données. Ce n’est pas non plus un préalable nécessaire à la désignation auprès de la CNIL. Inversement, il n’est pas exigé d’être désigné en tant que délégué pour être candidat à la certification des compétences du DPO.

Il s’agit d’un mécanisme volontaire permettant aux personnes physiques de justifier qu’elles répondent aux exigences de compétences et de savoir-faire du DPO prévues par le règlement. Acteur clé de la conformité au RGPD, le DPO doit en effet disposer de connaissances spécialisées du droit et des pratiques en matière de protection des données. Le certificat constitue un vecteur de confiance à la fois pour l’organisme faisant appel à ces personnes certifiées mais également pour ses clients, fournisseurs, salariés ou agents.

Les conditions préalables pour accéder à la certification sont précisées à l’exigence 1 du référentiel de certification.

L’agrément des organismes certificateurs par la CNIL

Les organismes certificateurs qui souhaitent délivrer une certification de compétences sur la base du référentiel d’agrément de la CNIL peuvent déposer une demande d’agrément auprès de la CNIL (modalités décrites dans les FAQ). La demande devra respecter les exigences prévues dans le référentiel d’agrément.

Dans l’attente de l’élaboration d’un programme d’accréditation spécifique portant sur la certification de DPO avec le COFRAC, les organismes certificateurs candidats à l’agrément de la CNIL doivent être agréés par un organisme d’accréditation au regard de la norme ISO/CEI 17024:2012 (Évaluation de la conformité – Exigences générales pour les organismes de certification procédant à la certification de personnes) dans un domaine existant.

Le fonctionnement de ce dispositif fera l’objet, au plus tard dans un délai de deux ans à compter de son entrée en vigueur, d’une évaluation en vue d’adapter, le cas échéant, les exigences des référentiels. Les éventuelles modifications du référentiel d’agrément ou du référentiel de certification seront sans incidence sur les certifications ou les agréments qui auront déjà été délivrés.

Ces référentiels pourront être partagés avec les autres autorités de protection européennes au sein du CEPD (Comité européen de la protection des données).

L’agrément de la CNIL n’est obligatoire que pour les organismes qui souhaitent délivrer une certification DPO sur la base du référentiel élaboré par la CNIL. Cela signifie que tout organisme peut néanmoins certifier des DPO sur la base de son propre référentiel de certification, non approuvé par la CNIL, comme c’est déjà le cas aujourd’hui.