Le RGPD continue de faire parler de lui depuis son entrée en vigueur le 25 mai dernier avec la publication de référentiels dédiés au délégué à la protection des données, ou DPO. En effet, la CNIL vient de publier deux référentiels dédiés d’une part à l’agrément des organismes de certification des compétences des DPO, d’autre part aux critères de certification des compétences des DPO.
Ces deux référentiels entrent en vigueur immédiatement et permettront à la fonction de DPO de se développer dans un cadre défini. Rappelons que la désignation du délégué à la protection des données est obligatoire dans certains cas mais reste conseillée dans tous les cas de figure.
L’agrément des organismes de certification des compétences du DPO
Le premier référentiel adopté par la CNIL concerne l’agrément des organismes de certification. On compte au total 21 exigences prévues par ce référentiel.
Ainsi, l’une des exigences concerne l’organisation d’un QCM de 100 questions minimum dont au moins 30% sont des cas pratiques. Pour réussir l’épreuve, le candidat DPO doit obtenir 75% de réponses exactes mais il faut aussi que 50% des réponses soient exactes dans chacun des 3 domaines de compétences. Ces conditions cumulatives ne peuvent pas être écartées.
La certification délivrée par l’organisme est valable 3 ans et peut être renouvelée avant son terme par la personne certifiée. Chose intéressante, l’annexe de la délibération propose le programme de l’évaluation écrite avec les 3 domaines d’aptitude : la réglementation générale sur la protection des données et les mesures de mise en conformité, la responsabilité, et les mesures techniques et organisationnelles pour la sécurité des données au regard des risques.
Les critères de certification du DPO
Le second référentiel adopté par la CNIL concerne la certification des compétences du délégué à la protection des données. On apprend en premier lieu que tout le monde ne peut pas accéder à la phase d’évaluation de ses compétences : il faut soit justifier d’une expérience professionnelle d’au moins 2 ans dans des activités liées aux missions du DPO, soit justifier d’une expérience professionnelle d’au moins 2 ans associée à une formation d’au moins 35 heures sur la protection des données personnelles.
Une fois ce prérequis validé, le référentiel propose la liste des 17 compétences et savoir-faire parmi lesquels on retrouve l’identification de la base juridique d’un traitement, la connaissance du cadre juridique de la sous-traitance de traitement de données personnelles, ou encore l’identification de violations de données personnelles nécessitant une notification à la CNIL et celles nécessitant une communication aux personnes concernées.
Les délégués à la protection des données n’ont plus qu’à se préparer à passer les certifications qui les mettront en valeur : les premiers organismes de certification devraient bientôt être agréés.
