Certification RGPD : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
La certification RGPD est la reconnaissance, par un organisme agréé ou une autorité de contrôle, qu'une opération de traitement respecte un référentiel approuvé. Il n'existe pas de certificat officiel attestant qu'une entreprise est conforme au RGPD dans son ensemble.
Ce qu'il faut comprendre
Les articles 42 et 43 du RGPD encouragent la création de mécanismes de certification, de labels et de marques. Ils portent sur des opérations de traitement, pas sur un organisme entier. La certification est volontaire, délivrée pour une durée maximale de trois ans, renouvelable, et peut être retirée si les conditions ne sont plus remplies.
Un référentiel de certification doit être approuvé par une autorité de contrôle ou par le Comité européen de la protection des données, qui peut aussi valider un label européen. La certification est délivrée par des organismes certificateurs accrédités, ou par l'autorité de contrôle elle-même. Pour vérifier une certification annoncée, il faut donc demander le nom du référentiel, l'organisme qui l'a délivrée, son périmètre et sa date d'expiration.
Il faut distinguer cette certification d'autres dispositifs. La CNIL certifie, via des organismes agréés, les compétences de personnes souhaitant exercer comme DPO. La certification ISO 27701 porte sur un système de management de la vie privée, mais ne vaut pas certification au sens du RGPD. Erreur fréquente : croire qu'une certification réduit la responsabilité. Elle aide à démontrer la conformité, mais l'organisme reste pleinement responsable.
Exemple concret
Une association gestionnaire de foyers pour adultes handicapés reçoit d'un prestataire une offre affirmant que son logiciel est « certifié RGPD ». Le directeur demande sur quel référentiel repose cette certification, qui l'a délivrée et pour quelle durée. Le prestataire ne présente qu'une auto-évaluation : l'association exige alors les clauses de l'article 28 et des preuves de sécurité.
Textes de référence
- RGPD, art. 42
- RGPD, art. 43
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
