Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448 - 252

D

O

C

T

R

I

N

E

de
management
(mesures
techniques et organisationnelles)
mis en place par des personnes
morales, ce qui la distingue
notamment des programmes
de
certification
dédiés
aux
personnes physiques, tels que les
certifications de compétences
des Délégués à la protection des
données (DPO).
Quelle peut être la valeur ajoutée
de tels programmes pour les
entreprises, administrations et
autres organismes qui souhaiteraient être certifiés  ? «  En tant
qu'entreprise certifiée, l'apport
majeur de cette certification est
d'avoir permis de rassurer nos
clients et de fournir des éléments
concrets
démontrant
notre
engagement dans une démarche
de protection des données personnelles  » a indiqué Yves Rocha,
IT Quality Manager de la société
Mailjet. Une certification dans
ce domaine, si elle ne garantit
pas une parfaite conformité à
la réglementation, confirme la
réalité d'une démarche de mise en
conformité du certifié.
La démarche de certification
s'inscrit en effet dans la logique de
celle d'accountability, promue par
le RGPD. Elle rejoint la nécessité
pour les responsables de traitement
et sous-traitants de documenter les
processus internes mis en place
pour assurer la conformité au
RGPD. Les certifications de ce type
impliquent notamment un effort
de documentation par le certifié
sur la façon dont les traitements de
données à caractère personnel sont
effectivement mis en œuvre au
sein de ces organismes, ainsi que
les processus internes mis en place
pour répondre aux obligations
prévues par le RGPD et aux droits
accordés aux personnes concernées. Cette démarche ne permet
pas seulement de répondre au
principe cardinal d'accountability
mais permet également à l'organisme certifié de mieux connaître
et d'encadrer ses modalités de
fonctionnement et de traitement et

252

d'assurer une meilleure continuité
d'activité.
Pour les DPO, cette démarche peut
être utilisée comme un outil d'aide
à la mise en conformité au RGPD,
selon Tanguy Bourlier, Product
Owner et DPO au sein de la société
Smart-Traffik, en complément de
l'analyse juridique nécessaire. Il
s'agit notamment de permettre la
réalisation d'un état des lieux, puis,
dans le cadre de l'audit par l'organisme de certification, d'évaluer
la maturité de l'organisme par
rapport aux démarches de mise
en conformité, tout en détectant le
cas échéant les écarts. Une certification constitue également un
engagement supplémentaire d'un
organisme dans sa démarche
d'accountability et un signe de
qualité et de sérieux vis-à-vis des
clients. Enfin, conclut Tanguy
Bourlier, le DPO peut utiliser le
processus de certification pour
renforcer la prise en compte en
interne de la démarche de mise en
conformité au RGPD  : obtenir et
maintenir la certification devient
un objectif à atteindre, autour
duquel s'articulent les efforts des
collaborateurs et une véritable
feuille de route. Ainsi, la certification peut aussi être utilisée comme
un moyen d'intégrer la protection
des données comme un élément
de la culture de l'organisme.
Quoi qu'il en soit, le caractère
volontaire et la démonstration d'une action du certifié
pour atteindre et maintenir des
processus visant à la conformité
ne doit pas induire en erreur les
organismes et les personnes sur la
portée de la certification.
Comme
l'a
rappelé
Farid
Bouguettaya, avocat associé au
sein du cabinet Artemont, un
élément essentiel à garder en
mémoire est que toute certification n'assure pas en elle-même
la conformité du traitement au
texte du RGPD. Une certification
est fondamentalement appréciée
au regard du référentiel de certification, qui a vocation à rendre

EXPERTISES Juillet-Août 2019

auditable des points de conformité au regard d'un texte. Si une
démarche de certification constitue une démarche appréciable
de vérification et de contrôle de
la maturité d'un organisme en
termes de conformité au RGPD,
elle ne peut bien évidemment
garantir une parfaite conformité
au RGPD de façon générale11.
Ceci est notamment illustré par
les dispositions du RGPD qui
rappellent que les résultats de
l'audit mené par les organismes de
certification ne lient pas les autorités de protection de données12 . Les
travaux des autorités de protection des données personnelles
devraient permettre, dans l'avenir,
d'apporter de nouveaux éléments.

La certification, un
outil de modernisation
de la sécurité des
données de santé
Dans le domaine de la santé, la
certification
constitue
d'ores
et déjà un outil très prisé, qu'il
s'agisse de certifications rendues
obligatoires par les textes (telle que
la certification des établissements
de santé13) ou facultatives (telle
que la certification des logiciels
d'aide à la prescription ou la
dispensation14).
En ce qui concerne tout particulièrement les données de santé,
la certification a récemment été
choisie par le législateur comme
outil de vérification de la conformité des hébergeurs de données
de santé à caractère personnel15.
Dans son rapport, la Commission
européenne a tout particulièrement étudié ce dispositif16.
La législation française impose en
effet aux professionnels intervenant dans le système de santé
un haut niveau de sécurité des
données de santé des personnes
prises en charge, a souligné
Lorraine Maisnier-Boché, avocat
au sein du cabinet McDermott, Will
& Emery. Ainsi, les professionnels
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448
