JO du 7 octobre 2022
Ce texte définit les modalités d’agrément des organismes de certification en mesure de déclarer qu’un système respecte le règlement général sur la protection des données (RGPD). Il fixe donc principalement les prescriptions à satisfaire pour être en mesure de certifier la conformité d’une organisation au règlement RGPD.
Précisément, il établit les exigences que l’organisme certificateur doit respecter pour obtenir, puis conserver, son agrément. Il constitue le cadre général applicable pour la certification selon les mécanismes de certification approuvés au titre de l’article 42 du RGPD dès lors qu’il a été décidé, conformément à la convention de coopération conclue entre la CNIL et le Comité français d’accréditation (COFRAC), que ce dernier procède à l’agrément des organismes certificateurs. Dans ce cas, l’accréditation délivrée par le COFRAC tient lieu d’agrément. Ce cadre général peut être complété par des modalités d’application propres à un mécanisme de certification. Dans ce cas, des règles spécifiques à la mise en œuvre du mécanisme de certification précisent les exigences de ce référentiel pour l’évaluation des organismes certificateurs. Ce référentiel n’est pas applicable dès lors que la CNIL décide de procéder à tout ou partie de l’agrément des organismes certificateurs.
Il précise :
*les modalités d’accréditation ;
*la durée de l’agrément ;
*les obligations de l’organisme de certification ;
*les exigences à satisfaire par les organismes de certification (ces exigences portent sur les compétences, la cohérence des activités et l’impartialité des organismes de certification intervenant pour les mécanismes de certification approuvés par la CNIL ou par le Comité européen de la protection des données (CEPD)) ;
*les règles d’application spécifiques au mécanisme de certification.