Délégué à la protection des données (DPO) : les référentiels de la CNIL sont publiés

Le RGPD continue de faire parler de lui depuis son entrée en vigueur le 25 mai dernier avec la publication de référentiels dédiés au délégué à la protection des données, ou DPO. En effet, la CNIL vient de publier deux référentiels dédiés d’une part à l’agrément des organismes de certification des compétences des DPO, d’autre part aux critères de certification des compétences des DPO.

 

Ces deux référentiels entrent en vigueur immédiatement et permettront à la fonction de DPO de se développer dans un cadre défini. Rappelons que la désignation du délégué à la protection des données est obligatoire dans certains cas mais reste conseillée dans tous les cas de figure. 

 

L’agrément des organismes de certification des compétences du DPO

Le premier référentiel adopté par la CNIL concerne l’agrément des organismes de certification. On compte au total 21 exigences prévues par ce référentiel. 

Ainsi, l’une des exigences concerne l’organisation d’un QCM de 100 questions minimum dont au moins 30% sont des cas pratiques. Pour réussir l’épreuve, le candidat DPO doit obtenir 75% de réponses exactes mais il faut aussi que 50% des réponses soient exactes dans chacun des 3 domaines de compétences. Ces conditions cumulatives ne peuvent pas être écartées. 

La certification délivrée par l’organisme est valable 3 ans et peut être renouvelée avant son terme par la personne certifiée. Chose intéressante, l’annexe de la délibération propose le programme de l’évaluation écrite avec les 3 domaines d’aptitude : la réglementation générale sur la protection des données et les mesures de mise en conformité, la responsabilité, et les mesures techniques et organisationnelles pour la sécurité des données au regard des risques. 

 

Les critères de certification du DPO

Le second référentiel adopté par la CNIL concerne la certification des compétences du délégué à la protection des données. On apprend en premier lieu que tout le monde ne peut pas accéder à la phase d’évaluation de ses compétences : il faut soit justifier d’une expérience professionnelle d’au moins 2 ans dans des activités liées aux missions du DPO, soit justifier d’une expérience professionnelle d’au moins 2 ans associée à une formation d’au moins 35 heures sur la protection des données personnelles. 

Une fois ce prérequis validé, le référentiel propose la liste des 17 compétences et savoir-faire parmi lesquels on retrouve l’identification de la base juridique d’un traitement, la connaissance du cadre juridique de la sous-traitance de traitement de données personnelles, ou encore l’identification de violations de données personnelles nécessitant une notification à la CNIL et celles nécessitant une communication aux personnes concernées. 

Les délégués à la protection des données n’ont plus qu’à se préparer à passer les certifications qui les mettront en valeur : les premiers organismes de certification devraient bientôt être agréés. 

Ajouter aux articles favoris
Please login to bookmark Close
0 Shares:
Vous pourriez aussi aimer
Lire plus

L’Insee nous dit tout sur les seniors en perte d’autonomie à l’horizon 2070

La courbe démographique en France ne cesse de marquer le vieillissement de la population, entrainant par la même occasion l'augmentation du nombre de seniors en situation de perte d'autonomie. L'Insee et la Drees publient une étude commune qui montre que cette croissance sera forte jusqu'aux années 2045-2050 avant une stagnation à l'horizon des années 2070. ...

L’examen du PLFSS 2026 reporté au lundi 27 octobre

Le projet de loi de financement de la sécurité sociale pour 2026 (PLFSS 2026) devait être examiné en commission des affaires sociales à partir du jeudi 23 octobre 2025. Mais une lettre rectificative concernant l'insertion de la suspension de la réforme des retraites dans le texte impose de revenir à zéro. Le tout nouveau PLFSS 2026 doit donc être réexaminé en conseil des ministres et redéposé à l'Assemblée nationale. Conséquence directe : tout le processus est à...