Certification de DPO – Décryptage et démêlage de pelote

Formation, certification, accréditation, agrément, formation certifiante, DPO certifié et certification de compétences… Y comprendre quelque chose, faire le tri dans les mots, discerner le vrai du faux!

Comme tout organisme de formation de DPO, nous sommes confrontés jour après jour à des questions du type :

«Votre formation de DPO est-elle certifiante ? »

«Votre formation de DPO est-elle certifiée par la CNIL ? »

«Est-ce que votre formation donne la certification de DPO ? »

«Est-ce que vous avez l’agrément CNIL pour vos formations ? »

…

Alors, avant de développer une explication technique sur le mécanisme de certification de DPO selon les référentiels CNIL, commençons par remettre les choses à leur place !

- Une formation de DPO ne peut pas être
certifiante, selon les modalités de la CNIL
- Aucune formation n’est et ne sera certifiée par
la CNIL
- Un organisme de formation ne peut pas certifier
un DPO
- Il n’y a pas d’agrément CNIL pour les formations
de DPO
- Un organisme de formation ne peut pas être aussi
un organisme de certification

…

Décryptage…

Les référentiels de la CNIL pour la certification de DPO

Dans son référentiel CNIL1827457X, la CNIL définit les contours de l’examen de certification de compétences de DPO, à savoir :

• Les prérequis pour qu’une personne physique puisse accéder à l’examen de certification des compétences de DPO
• Les domaines de compétences et savoir faire que doit maîtriser un candidat à la certification

Dans son autre référentiel CNIL1827455X, la CNIL définit les règles par lesquelles elle donnera l’ agrément, à des organismes de certification, leur permettant de faire passer l’examen et délivrer la Certification de compétences de DPO. Il détermine en outre les modalités de l’examen de certification et les domaines à évaluer.

Ainsi donc, ce sont des Organismes de Certification, agréés par la CNIL, qui seront en mesure de faire passer le test de certification.

A ce jour, 23 mars 2019, aucun organisme de certification n’est encore agréé par la CNIL et les dossiers sont en cours d’examen.

Les formations de DPO ouvrant accès à l’examen de certification

Pour pouvoir passer l’examen de certification des
compétences de DPO, un candidat doit :

• justifier de 2 ans d’expérience dans la protection des données personnelles

ou
- avoir 2 ans d’expérience autre et avoir suivi une formation de 35 heures sur le RGPD, les compétences et savoir-faire du DPO…

Cette formation est dispensée par des Organismes de Formation (à ne pas confondre avec les Organismes de Certification).

Quelle formation choisir ?

A priori, n’importe quelle formation de DPO d’au moins 35
heures, dispensée par un organisme de formation enregistré auprès de la
Direccte (avec un numéro d’organisme de formation valide), peut permettre à un
candidat de se présenter à l’examen de certification.

Dans les faits, il est probable que chaque organisme de certification qui sera agréé par la CNIL, sera libre d’accepter ou refuser les candidats en fonction de la formation qu’ils auront suivie.

Les modalités de validation des formations de DPO, par les organismes de certification, sont laissées à leur appréciation.

La question la plus pertinente à poser, à ce jour, pour le
choix d’un organisme de formation est donc « Votre formation est-elle validée
par un organisme de certification ayant déposé un dossier d’agrément auprès de
la CNIL ? ».

Toutefois, un dernier conseil : N’attendez pas pour vous former, il y aura bientôt la queue au portillon… Soyez juste vigilant dans le choix de vos organismes de formation.

Certification – agrément – accréditation

… faire le tri entre ces trois mots.

Certification

La certification est un processus par lequel un Organisme de
Certification et non pas un Organisme de Formation peut délivrer une
certification de Compétences du DPO à un candidat.

Agrément

La Cnil a publié en octobre 2018 un référentiel (NOR : CNIL1827455X)
qui définit les règles par lesquelles elle peut donner un Agrément à un organisme
de certification lui permettant de délivrer la Certification de compétences de
DPO

Ce référentiel définit essentiellement 2 points :

- Les conditions d’agrément des Organismes de
Certification par la CNIL, le maintien de cet agrément et son contrôle continu
- Les conditions de délivrance de la certification
de compétences de DPO y compris les conditions du test et son contenu

Accréditation

Pour pouvoir être agréé par la CNIL un organisme de
certification doit avant tout être accrédité selon la Norme ISO 17024 (certification
de personnes). Cette accréditation à un organisme de certification est délivrée,
en France, par le COFRAC (Comité Français d’Accréditation). L’accréditation ISO
17024 ne peut être donnée à un organisme de certification que s’il est totalement
indépendant des organismes de formation dans le domaine d’activité cible.

Les référentiels de certification de la CNIL

Certification des compétences du DPO

Référentiel : CNIL1827457X

Les prérequis le candidat ou la candidate doit pouvoir :

- justifier d’une expérience professionnelle d’au
moins 2 ans dans des projets, activités ou tâches en lien avec les missions du
DPO s’agissant de la protection des données personnelles ; ou
- justifier d’une expérience professionnelle d’au
moins 2 ans ainsi que d’une formation d’au moins 35 heures en matière de
protection des données personnelles reçue par un organisme de formation.

Les 17 compétences et savoir-faire du DPO :

- Le candidat connaît et comprend les principes de
licéité du traitement, de limitation des finalités, de minimisation des
données, d’exactitude des données, de conservation limitée des données,
d’intégrité, de confidentialité et de responsabilité.
- Le candidat sait identifier la base juridique
d’un traitement.
- Le candidat sait déterminer les mesures
appropriées et le contenu de l’information à fournir aux personnes concernées.
- Le candidat sait établir des procédures pour
recevoir et gérer les demandes d’exercice des droits des personnes concernées.
- Le candidat connaît le cadre juridique relatif à
la sous-traitance en matière de traitement de données personnelles.
- Le candidat sait identifier l’existence de
transferts de données hors Union européenne et sait déterminer les instruments
juridiques de transfert susceptibles d’être utilisés.
- Le candidat sait élaborer et mettre en œuvre une
politique ou des règles internes en matière de protection des données.
- Le candidat sait organiser et participer à des
audits en matière de protection des données.
- Le candidat connaît le contenu du registre
d’activités de traitement, du registre des catégories d’activités de traitement
et de la documentation des violations de données ainsi que de la documentation
nécessaire pour prouver la conformité à la réglementation en matière de
protection des données.
- Le candidat sait identifier des mesures de
protection des données dès la conception et par défaut adaptées aux risques et
à la nature des opérations de traitement.
- Le candidat sait participer à l’identification
des mesures de sécurité adaptées aux risques et à la nature des opérations de
traitement.
- Le candidat sait identifier les violations de
données personnelles nécessitant une notification à l’autorité de contrôle et
celles nécessitant une communication aux personnes concernées.
- Le candidat sait déterminer s’il est nécessaire
ou non d’effectuer une analyse d’impact relative à la protection des données
(AIPD) et sait en vérifier l’exécution.
- Le candidat sait dispenser des conseils en
matière d’analyse d’impact relative à la protection des données (en particulier
sur la méthodologie, l’éventuelle sous-traitance, les mesures techniques et
organisationnelles à adopter).
- Le candidat sait gérer les relations avec les
autorités de contrôle, en répondant à leurs sollicitations et en facilitant
leur action (instruction des plaintes et contrôles en particulier).
- Le candidat sait élaborer, mettre en œuvre et
est en capacité de dispenser des programmes de formation et de sensibilisation
du personnel et des instances dirigeantes en matière de protection des données.

- Le candidat sait assurer la traçabilité de ses
activités, notamment à l’aide d’outils de suivi ou de bilan annuel.

Agrément d’organismes de certification pour la certification des compétences du DPO

Référentiel : CNIL1827455X

Concernant l’organisme de certification

- L’organisme de certification doit être accrédité
ISO 17024

Concernant le test de certification

- Epreuve écrite sous forme de QCM d’au moins 100
questions avec 4 propositions doit au moins une est exacte
- Les questions portent sur 3 domaines

• Domaine 1. – Réglementation générale en matière
• de protection des données et mesures prises pour la mise en conformité : 50%
• des questions ;

• Domaine 2. – Responsabilité : 30% des questions
• ;

• Domaine 3. – Mesures techniques et
• organisationnelles pour la sécurité des données au regard des risques : 20% des
• questions.
• L’épreuve écrite est réussie :

•  si, au
• total, au moins 75% des réponses sont exactes ; et

• si, pour chacun des trois domaines, au moins 50%
• des réponses aux questions sont exactes.

Concernant la délivrance de la certification

• Elle est délivrée pour une période de 3 ans
• Renouvelable selon les conditions suivantes

• Passage d’un nouvel examen selon les mêmes
• conditions

- Justifier d’au moins 1 an d’expérience du métier
de DPO au cours des trois années
- Elle est délivrée avec un certificat portant la
mention « Délégué à la protection des données certifié conformément au
référentiel de certification des compétences du DPO de la CNIL »

Concernant les questions de l’examen de certification

Le QCM porte sur les trois domaines cités ci-dessus dont
voici le détail.

- Domaine 1. – Réglementation générale en matière
de protection des données et mesures prises pour la mise en conformité (50% des
questions)

• 1.1. Règlement européen et loi française sur la
• protection des données – fondamentaux :

• 1.1.1. Champ d’application.

• 1.1.2. Définitions et notions.

• 1.1.3. Organismes soumis aux obligations
• règlementaires.

• 1.2. Règlement européen et loi française sur la
• protection des données – principes:

• 1.2.1. Licéité du traitement.

• 1.2.2. Loyauté et transparence.

• 1.2.3. Limitation des finalités.

• 1.2.4. Minimisation des données.

• 1.2.5. Exactitude des données.

• 1.2.6. Conservation limitée des données.

• 1.2.7. Intégrité, confidentialité des données.

• 1.3. Règlement européen et loi française sur la
• protection des données – validité du traitement:

• 1.3.1. Bases juridiques d’un traitement.

• 1.3.2. Consentement.

• 1.3.3. Consentement des mineurs.

• 1.3.4. Catégories particulières de données à
• caractère personnel.

• 1.3.5. Données relatives aux condamnations
• pénales et aux infractions.

• 1.4. Droits des personnes concernées:

• 1.4.1. Transparence et information.

• 1.4.2. Accès, rectification et effacement (droit
• à l’oubli).

• 1.4.3. Opposition.

• 1.4.4. Décisions individuelles automatisées.

• 1.4.5. Portabilité.

• 1.4.6. Limitation du traitement.

• 1.4.7. Limitations des droits.

• 1.5. Mesures prises pour la mise en conformité :

• 1.5.1. Politiques ou procédure en matière de
• protection des données

• 1.5.2. Qualification des acteurs d’un traitement
• de données : responsables du traitement, responsables conjoints du traitement,
• sous-traitants

• 1.5.3. Formalisation des relations (contrat
• sous-traitant, accord entre responsables conjoints du traitement).

• 1.5.4. Codes de conduite et certifications.

• 1.6. Délégué à la protection des données (DPO):

• 1.6.1. Désignation et fin de mission.

• 1.6.2. Qualités professionnelles, connaissances
• spécialisées et capacité à accomplir ses missions.

• 1.6.3. Fonction du DPO (moyens, ressources,
• positionnement, indépendance, confidentialité, absence de conflit d’intérêts,
• formation).

• 1.6.4. Missions du DPO et rôle du DPO en matière
• d’audits.

• 1.6.5. Relations du DPO avec les personnes
• concernées et gestion des demandes d’exercice des droits.

• 1.6.6. Coopération du DPO avec l’autorité de
• contrôle.

• 1.6.7. Qualités personnelles, travail en équipe,
• management, communication, pédagogie.

• 1.7. Transferts de données hors de l’Union
• européenne :

• 1.7.1. Décision d’adéquation.

• 1.7.2. Garanties appropriées.

• 1.7.3. Règles d’entreprise contraignantes.

• 1.7.4. Dérogations.

• 1.7.5. Autorisation de l’autorité de contrôle.

• 1.7.6. Suspension temporaire.

• 1.7.7. Clauses contractuelles.

• 1.8. Autorités de contrôle:

• 1.8.1. Statut.

• 1.8.2. Pouvoirs.

• 1.8.3. Régime de sanction.

• 1.8.4. Comité européen de protection des
• données.

• 1.8.5. Recours juridictionnels.

• 1.8.6. Droit à réparation.

• 1.9. Doctrine et jurisprudence:

• 1.9.1. Lignes directrices du G29.

• 1.9.2. Avis, lignes directrices et
• recommandations du comité européen de protection des données.

• 1.9.3. Jurisprudence française et européenne.
• Domaine 2. – Responsabilité (30% des questions)

• 2.1. Analyse d’impact relative à la protection
• des données (AIPD).

• 2.2. Protection des données dès la conception et
• par défaut.

• 2.3. Registre des activités de traitement
• (responsable de traitement) et registre des catégories d’activités de
• traitement (sous-traitant).

- 2.4. Violations de données à caractère
personnel, notification des violations et communication à la personne
concernée.
- Domaine 3. – Mesures techniques et
organisationnelles pour la sécurité des données au regard des risques (20% des
questions)

• 3.1. Pseudonymisation et chiffrement des données
• personnelles.

• 3.2. Mesures pour garantir la confidentialité,
• l’intégrité et la résilience des systèmes et des services de traitement.

• 3.3. Mesures permettant de rétablir la disponibilité
• des données et l’accès aux données en cas d’incident physique ou
• technique.