JORF n°0220 du 20 septembre 2017

Délibération n°2017-220 du 13 juillet 2017

La Commission nationale de l'informatique et des libertés,

Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ce données, et abrogeant la directive 95/46/CE ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;

Après avoir entendu M. Maurice RONAI, commissaire, président du Comité de labellisation, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ».
Depuis le 6 octobre 2011, la commission peut délivrer des labels en matière de formations tendant à la protection des personnes à l'égard du traitement des données à caractère personnel.
Or, à l'entrée en application du règlement européen, le 25 mai 2018, le référentiel de labellisation ne sera plus en conformité avec la règlementation en vigueur.
Aussi, pour pouvoir continuer à délivrer un label prenant en compte l'ensemble des règles applicables en matière de protection des données, la commission a décidé de faire évoluer son référentiel dès à présent pour prendre en considération les dispositions du règlement européen.
Par conséquent, la présente délibération fixe le référentiel modifié d'évaluation des formations relative à la protection des personnes à l'égard du traitement des données à caractère personnel.
Décide :
De l'adoption du référentiel annexé à la présente délibération permettant l'évaluation des demandes de label relatives à des formations relatives à la protection des personnes à l'égard du traitement des données à caractère personnel.
Cette délibération abroge la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel.
Les labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel délivrés au regard de la délibération du 6 octobre 2011 restent valides jusqu'au 25 mai 2018. Les organismes titulaires de ces labels souhaitant se mettre en conformité avec le référentiel annexé à la présente délibération doivent présenter une nouvelle demande de label. Celui-ci pourra leur être délivré pour une durée de trois ans.
Cette délibération sera publiée au Journal officiel de la République française

La Présidente

I. Falque-Pierrotin