Délégué à la protection des données (DPO) : deux référentiels de la CNIL sont publiés

Le RGPD continue de faire parler de lui depuis son entrée en vigueur le 25 mai dernier avec la publication de référentiels dédiés au délégué à la protection des données, ou DPO. En effet, la CNIL vient de publier deux référentiels dédiés d’une part à l’agrément des organismes de certification des compétences des DPO, d’autre part aux critères de certification des compétences des DPO.

Ces deux référentiels entrent en vigueur immédiatement et permettront à la fonction de DPO de se développer dans un cadre défini. Rappelons que la désignation du délégué à la protection des données est obligatoire dans certains cas mais reste conseillée dans tous les cas de figure. 

L’agrément des organismes de certification des compétences du DPO

Le premier référentiel adopté par la CNIL concerne l’agrément des organismes de certification. On compte au total 21 exigences prévues par ce référentiel. 

Ainsi, l’une des exigences concerne l’organisation d’un QCM de 100 questions minimum dont au moins 30% sont des cas pratiques. Pour réussir l’épreuve, le candidat DPO doit obtenir 75% de réponses exactes mais il faut aussi que 50% des réponses soient exactes dans chacun des 3 domaines de compétences. Ces conditions cumulatives ne peuvent pas être écartées. 

La certification délivrée par l’organisme est valable 3 ans et peut être renouvelée avant son terme par la personne certifiée. Chose intéressante, l’annexe de la délibération propose le programme de l’évaluation écrite avec les 3 domaines d’aptitude : la réglementation générale sur la protection des données et les mesures de mise en conformité, la responsabilité, et les mesures techniques et organisationnelles pour la sécurité des données au regard des risques. 

Les critères de certification du DPO

Le second référentiel adopté par la CNIL concerne la certification des compétences du délégué à la protection des données. On apprend en premier lieu que tout le monde ne peut pas accéder à la phase d’évaluation de ses compétences : il faut soit justifier d’une expérience professionnelle d’au moins 2 ans dans des activités liées aux missions du DPO, soit justifier d’une expérience professionnelle d’au moins 2 ans associée à une formation d’au moins 35 heures sur la protection des données personnelles. 

Une fois ce prérequis validé, le référentiel propose la liste des 17 compétences et savoir-faire parmi lesquels on retrouve l’identification de la base juridique d’un traitement, la connaissance du cadre juridique de la sous-traitance de traitement de données personnelles, ou encore l’identification de violations de données personnelles nécessitant une notification à la CNIL et celles nécessitant une communication aux personnes concernées. 

Les délégués à la protection des données n’ont plus qu’à se préparer à passer les certifications qui les mettront en valeur : les premiers organismes de certification devraient bientôt être agréés.

A propos Leo Guittet 181 Articles
Juriste spécialisé dans les données de santé à Tripalio depuis 2014, j'écris quotidiennement des articles sur le thème de la protection sociale collective et des données de santé. Actuellement en thèse CIFRE sur le sujet de l'accès aux données de santé en France, je suis intéressé par tous les sujets qui touchent aux avancées technologiques et juridiques sur ce thème.

Soyez le premier à commenter

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée.


*


Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Lire les articles précédents :
Un rat Bitcoin géant défie Wall-Street

Nelson Saiers, ex-directeur chez la Deutsch Bank AG, a érigé un rat géant devant Wall-Street. Un hommage au Bitcoin et...

Fermer