L’essentiel : La mise en place d’un code de conduite en matière de données personnelles est essentielle pour garantir la conformité au RGPD. La CNIL a élaboré un référentiel pour l’agrément des organismes de contrôle, qui doivent assurer le suivi et la vérification de l’application du code. Ces organismes doivent être indépendants, posséder un niveau d’expertise adéquat et mettre en place des procédures de contrôle régulières. Pour devenir organisme de contrôle, il est nécessaire d’être identifié dans le code de conduite, de respecter les exigences du référentiel et d’attendre l’approbation finale de la CNIL.

Si vous avez décidé de mettre en place un code de conduite en matière de données personnelles, la CNIL a publié son référentiel sur l’agrément des organismes de contrôle de votre code de conduite.  Les codes de conduite permettent à un secteur d’activité d’accompagner la mise en conformité des professionnels concernés et nécessitent d’être contrôlés par des organismes tiers. Ce référentiel permet d’agréer ces organismes. Voici également les documents à produire pour la demande d’agrément.

Un outil de conformité

Pour rappel, les codes de conduite font partie des outils de conformité prévus par le règlement général sur la protection des données (RGPD). Ils permettent à un secteur d’activité d’accompagner la mise en conformité des professionnels concernés via des recommandations pratiques et opérationnelles. Lorsqu’elle élabore un code de conduite, l’association ou la fédération représentant les professionnels doit organiser le suivi du code après son approbation. À cette fin, le RGPD prévoit l’intervention d’un organisme tiers qui doit être agréé par la CNIL pour pouvoir remplir cette mission.

Les principales exigences du référentiel

Le référentiel d’agrément, qui a fait l’objet d’un avis favorable du Comité européen à la protection des données (CEPD), permet de vérifier que le futur organisme de contrôle apporte toutes les garanties nécessaires pour remplir sa mission. Ces exigences, qui peuvent être générales ou particulières, portent notamment sur :

• l’indépendance de l’organisme de contrôle, ainsi que l’absence de conflit d’intérêts ;
• le niveau d’expertise adéquat des auditeurs ;
• des mesures de sécurité spécifiques ;
• un traitement transparent des plaintes ;
• des procédures de contrôle régulières ; et
• des procédures d’adoption de sanctions et autres mesures correctrices.

Quel est le rôle de l’organisme de contrôle ?

Lors de l’élaboration d’un code de conduite, le porteur du code doit organiser le suivi du code après son approbation. Le RGPD précise que cette activité peut être confiée à un organisme dédié dont la mission n’interfère pas avec celle des autorités de contrôle. Il est possible de recourir à un comité interne au porteur du code ou à un ou plusieurs organismes tiers. Les lignes directrices relatives aux codes de conduite adoptées par Comité européen à la protection des données (CEPD) fournissent également explications et exemples pratiques quant aux conditions de désignation de cet organisme. Le code de conduite doit nécessairement décrire les mécanismes permettant à l’organisme de contrôle de mener à bien ses missions. L’organisme tiers va se baser sur de ces mécanismes pour créer les procédures qu’il mettra en œuvre aux fins :

• d’effectuer les audits préalables à l’adhésion au code de conduite ou encore des audits réguliers après adhésion au code de conduite et ce pour veiller à la bonne application du code par les adhérents ;
• de traiter les réclamations relatives aux violations du code ou à la manière dont le code a été ou est appliqué par un responsable du traitement ou un sous-traitant ;
• de prendre des mesures appropriées en cas de violation du code telles que la suspension ou l’exclusion de l’adhérent au code ;
• de participer à la mise à jour du code de conduite.

Comment devenir organisme de contrôle ?

Vous pouvez déposer un dossier de demande d’agrément si les trois critères suivants sont remplis :

• Le code de conduite vous identifie comme organisme de contrôle
• Vous remplissez les exigences définies par le référentiel d’agrément de la CNIL
• Le code de conduite de référence est dans sa phase finale d’approbation par la CNIL ou, pour les codes européens, a fait l’objet d’un avis favorable du Comité européen à la protection des données

Q/R juridiques soulevées :

Qu’est-ce qu’un code de conduite en matière de données personnelles ?

Un code de conduite en matière de données personnelles est un ensemble de règles et de recommandations élaborées pour aider un secteur d’activité à se conformer aux exigences du règlement général sur la protection des données (RGPD). Ces codes visent à fournir des lignes directrices pratiques et opérationnelles aux professionnels concernés, facilitant ainsi leur mise en conformité. Ils doivent être suivis et contrôlés par des organismes tiers agréés par la CNIL, garantissant ainsi leur efficacité et leur respect des normes établies.

Quel est l’objectif principal des codes de conduite ?

L’objectif principal des codes de conduite est d’accompagner les professionnels d’un secteur d’activité dans leur mise en conformité avec le RGPD. Ils offrent des recommandations pratiques qui aident à clarifier les obligations légales et à instaurer des bonnes pratiques en matière de protection des données. En facilitant la compréhension et l’application des règles, ces codes contribuent à renforcer la confiance des consommateurs et à protéger les droits des individus.

Quelles sont les principales exigences du référentiel d’agrément ?

Le référentiel d’agrément de la CNIL impose plusieurs exigences essentielles pour les organismes de contrôle. Ces exigences incluent l’indépendance de l’organisme, l’absence de conflit d’intérêts, et un niveau d’expertise adéquat des auditeurs. De plus, des mesures de sécurité spécifiques doivent être mises en place, ainsi qu’un traitement transparent des plaintes et des procédures de contrôle régulières. Enfin, des procédures d’adoption de sanctions et d’autres mesures correctrices sont également requises pour garantir l’efficacité du contrôle.

Quel est le rôle de l’organisme de contrôle ?

L’organisme de contrôle joue un rôle crucial dans la mise en œuvre et le suivi des codes de conduite. Il est chargé d’effectuer des audits préalables et réguliers pour s’assurer que les adhérents respectent le code. L’organisme traite également les réclamations concernant les violations du code et peut prendre des mesures appropriées, telles que la suspension ou l’exclusion d’un adhérent en cas de non-conformité. De plus, il participe à la mise à jour du code de conduite pour s’assurer qu’il reste pertinent et efficace.

Comment devenir un organisme de contrôle agréé ?

Pour devenir un organisme de contrôle agréé, il est nécessaire de remplir trois critères spécifiques. Tout d’abord, le code de conduite doit vous identifier comme organisme de contrôle. Ensuite, vous devez satisfaire aux exigences définies par le référentiel d’agrément de la CNIL. Enfin, le code de conduite de référence doit être dans sa phase finale d’approbation par la CNIL ou avoir reçu un avis favorable du Comité européen à la protection des données. Une fois ces conditions remplies, vous pouvez déposer un dossier de demande d’agrément.