Passer le cap du RGPD grâce à la certification

L’échéance du 25 mai 2018 approche mais cette date ne doit pas être perçue comme une date couperet. C’est le message qu’a répété le secrétaire générale de la CNIL, Jean Lessi, le 15 novembre à l’occasion de l’évènement organisé à Station F par AFNOR Certification et ses partenaires.

Faut-il comprendre que la mise en conformité au RGPD peut attendre ? Absolument pas. Le message de la CNIL a été très clair : en 2018, les organismes doivent s’être engagés dans une démarche de conformité et avoir franchi une première marche. . Pour démontrer qu’une première étape structurante a été franchie et, surtout, qu’une démarche pérenne est engagée, le choix d’obtenir une certification RGPD va représenter un outil idéal pour créer un écosystème de confiance.

La certification RGPD

L’article 42 du Règlement européen sur la protection des données personnelles prévoit la certification de la protection des données personnelles par un organisme agrée. Cette certification vise à faire constater par un organisme de certification que des mesures techniques et organisationnelles appropriées ont été mises en place pour le respect des obligations incombant au responsable du traitement ou à un sous-traitant. 

Ainsi, l’audit de certification AFAQ Protection des données personnelles d’AFNOR Certification porte sur le socle du RGPD. Celui-ci n’est pas si différent de l’actuelle loi française « Informatique et libertés ». Par exemple, le contrôle porte sur l’exhaustivité du registre des traitements, la gestion des demandes d’effacement des données ou encore le cadre d’intervention des personnes impliquées dans la protection des données personnelles, le délégué à la protection des données personnelles lorsqu’une personne est nommée.

Plus fondamentalement, la certification vient apporter un cadre structurant aux nouveautés apportées par le RGPD : privacy-by-design, privacy-by-default et privacy impact assessment (PIA). Par exemple, à quelle occasion et comment est évaluée la pertinence des mesures de sécurité pour les nouveaux projets impliquant le traitement de données personnelles ? Quelles méthodes ont-été mises en place pour assurer la minimisation des données collectées ? Face à ces nouvelles exigences, la recherche de la meilleure réponse importe moins qu’un plan d’action fondé un état de lieux clair où les actions les plus prioritaires ont été traitées.

Se préparer à la certification

La certification AFAQ Protection des données personnelles permettra de garantir le respect des grands principes de responsabilité (accountability) pour la protection des données. Elle sera proposée dès publication de la procédure d’agrément.

Crédits photos : AdobeStock, ktsdesign