Article 43 RGPD - Organismes de certification

1. Sans préjudice des missions et des pouvoirs de l’autorité de contrôle compétente au titre des articles 57 et 58, les organismes de certification disposant d’un niveau d’expertise approprié en matière de protection des données délivrent et renouvellent les certifications, après en avoir informé l’autorité de contrôle pour qu’elle puisse exercer au besoin les pouvoirs qui lui sont dévolus en vertu de l’article 58, paragraphe 2, point h). Les États membres veillent à ce que ces organismes de certification soient agréés par une des entités suivantes ou les deux:
a) l’autorité de contrôle qui est compétente en vertu de l’article 55 ou 56;
b) l’organisme national d’accréditation désigné conformément au règlement (CE) n º 765/2008 du Parlement européen et du Conseil, conformément à la norme EN-ISO/IEC 17065/2012 et aux exigences supplémentaires établies par l’autorité de contrôle qui est compétente en vertu de l’article 55 ou 56.
2. Les organismes de certification visés au paragraphe 1 ne sont agréés conformément audit paragraphe que lorsqu’ils ont:
a) démontré, à la satisfaction de l’autorité de contrôle compétente, leur indépendance et leur expertise au regard de l’objet de la certification;
b) pris l’engagement de respecter les critères visés à l’article 42, paragraphe 5, et approuvés par l’autorité de contrôle qui est compétente en vertu de l’article 55 ou 56 ou par le comité, en vertu de l’article 63;
c) mis en place des procédures en vue de la délivrance, de l’examen périodique et du retrait d’une certification, de labels et de marques en matière de protection des données;
d) établi des procédures et des structures pour traiter les réclamations relatives aux violations de la certification ou à la manière dont la certification a été ou est appliquée par un responsable du traitement ou un sous-traitant, et pour rendre ces procédures et structures transparentes à l’égard des personnes concernées et du public; et
e) démontré, à la satisfaction de l’autorité de contrôle compétente, que leurs tâches et leurs missions n’entraînent pas de conflit d’intérêts.
3. L’agrément des organismes de certification visés aux paragraphes 1 et 2 du présent article se fait sur la base d’exigences approuvées par l’autorité de contrôle qui est compétente en vertu de l’article 55 ou 56 ou par le comité en vertu de l’article 63. En cas d’agrément en application du paragraphe 1, point b), du présent article, ces exigences complètent celles prévues dans le règlement (CE) n º 765/2008 et les règles techniques qui décrivent les méthodes et procédures des organismes de certification.
4. Les organismes de certification visés au paragraphe 1 sont chargés de procéder à l’évaluation appropriée conduisant à la délivrance de la certification ou au retrait de cette certification, sans préjudice de la responsabilité du responsable du traitement ou du sous-traitant en ce qui concerne le respect du présent règlement. L’agrément est délivré pour une durée maximale de cinq ans et peut être renouvelé dans les mêmes conditions tant que l’organisme de certification satisfait aux exigences énoncées au présent article.
5. Les organismes de certification visés au paragraphe 1 communiquent aux autorités de contrôle compétentes les raisons de la délivrance ou du retrait de la certification demandée.
6. Les exigences visées au paragraphe 3 du présent article et les critères visés à l’article 42, paragraphe 5, sont publiés par les autorités de contrôle sous une forme aisément accessible. Les autorités de contrôle transmettent aussi ces exigences et ces critères au comité.
7. Sans préjudice du chapitre VIII, l’autorité de contrôle compétente ou l’organisme national d’accréditation révoque l’agrément d’un organisme de certification en application du paragraphe 1 du présent article si les conditions d’agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l’organisme de certification constituent une violation du présent règlement.
8. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 92, aux fins de préciser les exigences à prendre en considération en ce qui concerne les mécanismes de certification en matière de protection des données visés à l’article 42, paragraphe 1.
9. La Commission peut adopter des actes d’exécution visant à fixer des normes techniques pour les mécanismes de certification, les labels et les marques en matière de protection des données, ainsi que les mécanismes aux fins de la promotion et de la reconnaissance de ces mécanismes de certification, labels et marques. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2.

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

En vertu de l’article 43, paragraphe 1, les États membres veillent à ce que les organismes de certification soient agréés par l’autorité de contrôle compétente en vertu de l’article 55 ou 56, par l’organisme national d’accréditation désigné conformément au règlement (CE) n° 765/2008, conformément à la norme EN-ISO/IEC 17065/2012 et aux exigences supplémentaires établies par l’autorité de contrôle compétente, ou par les deux. Avant de délivrer ou de renouveler une certification, l’organisme doit en informer l’autorité de contrôle pour qu’elle puisse exercer au besoin les pouvoirs qui lui sont dévolus en vertu de l’article 58, paragraphe 2, point h).

Le paragraphe 2 exige de l’organisme qu’il démontre, à la satisfaction de l’autorité de contrôle compétente, son indépendance et son expertise au regard de l’objet de la certification, qu’il prenne l’engagement de respecter les critères visés à l’article 42, paragraphe 5, qu’il mette en place des procédures en vue de la délivrance, de l’examen périodique et du retrait des certifications, labels et marques, qu’il établisse des procédures et des structures transparentes pour traiter les réclamations, et qu’il démontre l’absence de conflit d’intérêts. Ces conditions sont cumulatives.

L’agrément est délivré pour une durée maximale de cinq ans et peut être renouvelé dans les mêmes conditions tant que l’organisme satisfait aux exigences énoncées à l’article, en vertu du paragraphe 4. Le paragraphe 7 oblige l’autorité de contrôle compétente ou l’organisme national d’accréditation à révoquer l’agrément si les conditions d’agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l’organisme constituent une violation du règlement, sans préjudice du chapitre VIII.

Non. Le paragraphe 4 charge l’organisme de certification de procéder à l’évaluation appropriée conduisant à la délivrance ou au retrait de la certification, mais expressément sans préjudice de la responsabilité du responsable du traitement ou du sous-traitant en ce qui concerne le respect du règlement. Cette solution fait écho à l’article 42, paragraphe 4, selon lequel une certification ne diminue pas cette responsabilité.

Les organismes de certification doivent communiquer aux autorités de contrôle compétentes les raisons de la délivrance ou du retrait de la certification en vertu du paragraphe 5, et, en vertu du paragraphe 6, l’autorité de contrôle publie les exigences relatives à l’agrément et les critères visés à l’article 42, paragraphe 5, sous une forme aisément accessible et les transmet au comité. Les paragraphes 8 et 9 habilitent en outre la Commission à adopter des actes délégués précisant les exigences applicables aux mécanismes de certification et des actes d’exécution fixant des normes techniques ainsi que les mécanismes aux fins de la promotion et de la reconnaissance de ces mécanismes.