Code de conduite : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le code de conduite RGPD est un ensemble de règles rédigé par une fédération ou un organisme représentatif d'un secteur, approuvé par une autorité de contrôle, qui précise l'application du RGPD aux pratiques de ce secteur.
Ce qu'il faut comprendre
Les codes de conduite sont prévus par les articles 40 et 41 du RGPD. Ils sont élaborés par des associations ou organismes représentant une catégorie de responsables de traitement ou de sous-traitants. Ils traduisent les obligations générales en règles concrètes : durées de conservation, information des personnes, sécurité, relations avec les sous-traitants.
Pour avoir une valeur officielle, le code doit être approuvé par l'autorité de contrôle compétente, en France la CNIL, ou par le Comité européen de la protection des données s'il concerne plusieurs États membres. Son respect est contrôlé par un organisme de suivi agréé, qui peut suspendre ou exclure un adhérent en cas de manquement et doit en informer l'autorité de contrôle.
Adhérer à un code approuvé est volontaire. C'est un élément pour démontrer sa conformité et un critère pris en compte par l'autorité dans le calcul d'une amende. L'adhésion d'un sous-traitant peut aussi constituer une garantie suffisante au sens de l'article 28. Erreur fréquente : confondre code de conduite et charte interne. Une charte rédigée par une entreprise pour ses salariés n'est pas un code de conduite au sens du RGPD.
Exemple concret
Une PME qui développe des logiciels de gestion pour cabinets médicaux choisit un hébergeur cloud. Parmi les candidats, l'un a adhéré à un code de conduite approuvé destiné aux fournisseurs d'infrastructure cloud. La PME retient cet élément comme garantie dans son évaluation, en complément du contrat de sous-traitance et de la certification d'hébergeur de données de santé.
Textes de référence
- RGPD, art. 40
- RGPD, art. 41
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
