Certification DPO : la CNIL publie les référentiels officiels

La première délibération, n°2018-317, porte sur le référentiel d’agrément des organismes de certification. Elle précise les conditions dans lesquelles les organismes certificateurs peuvent être agréés pour délivrer une certification DPO conforme aux exigences de la CNIL.

La seconde délibération, n°2018-318, concerne le référentiel de certification des compétences du DPO. Elle définit les connaissances et compétences attendues du délégué à la protection des données, notamment en matière de conformité RGPD, de protection des données personnelles, de gouvernance des traitements et d’accompagnement des responsables de traitement et sous-traitants.

À la suite de la consultation publique menée par la CNIL en juin 2018, les conditions préalables à la certification ont été adaptées afin de tenir compte du caractère encore récent de la fonction de DPO. Le candidat doit justifier d’au moins deux années d’expérience dans des projets, activités ou tâches en lien avec les missions du DPO, ou justifier de deux années d’expérience professionnelle et avoir suivi une formation d’au moins 35 heures en matière de protection des données personnelles.

Le référentiel a également été complété afin d’intégrer la connaissance du cadre juridique applicable à la sous-traitance. Cette évolution renforce l’importance des relations entre responsables de traitement, sous-traitants et délégués à la protection des données dans la mise en conformité RGPD.

Le dispositif de certification DPO fera l’objet d’une évaluation dans un délai maximal de deux ans afin, le cas échéant, d’adapter les exigences du référentiel. À ce jour, la certification DPO n’est pas obligatoire pour exercer les fonctions de délégué à la protection des données, mais elle constitue un outil de reconnaissance des compétences et de valorisation de l’expertise en protection des données personnelles.