Certification RGPD : quelles étapes suivre et quels organismes contacter – Mon Expert RGPD

La certification RGPD s’est progressivement imposée comme un instrument de structuration de la conformité, bien au-delà d’un simple signal de marché. Fondée sur le mécanisme prévu à l’article 42 du règlement (UE) 2016/679, elle permet à un organisme de faire attester, par un tiers accrédité, que ses traitements de données personnelles satisfont aux exigences définies dans un référentiel approuvé par la CNIL ou le Comité européen de la protection des données (CEPD). Ce dispositif s’articule avec l’ensemble de l’écosystème documentaire et organisationnel que tout responsable de traitement est censé maintenir : registre des activités, analyse d’impact, politique de sécurité, contrats de sous-traitance. La certification ne se substitue pas à ces obligations — elle les présuppose. Pour une direction juridique ou un DPO interne, l’enjeu est donc moins de savoir si la certification est utile que de comprendre précisément comment elle s’insère dans une démarche de mise en conformité déjà engagée, quels organismes sont habilités à la délivrer, et selon quelle séquence opérationnelle il convient de procéder.

En bref :

• La certification RGPD repose sur l’article 42 du règlement européen et nécessite l’intervention d’un organisme certificateur accrédité par le COFRAC et agréé par la CNIL.
• La cartographie des traitements constitue le point de départ incontournable de toute démarche, avant toute demande d’audit ou de certification.
• L’analyse des écarts entre pratiques actuelles et exigences réglementaires conditionne la construction d’un plan d’actions hiérarchisé par niveau de risque.
• La désignation d’un DPO, obligatoire dans certains cas (RGPD, art. 37), reste fortement recommandée pour piloter la démarche dans tous les contextes.
• Les référentiels de certification sont élaborés par la CNIL en concertation avec les secteurs concernés — leur contenu exact détermine le périmètre auditable.
• La certification a une durée de validité de trois ans et implique des contrôles intermédiaires.

Le cadre réglementaire de la certification RGPD : articles applicables et rôle de la CNIL

Le mécanisme de certification est directement prévu par le RGPD en ses articles 42 et 43. L’article 42 §1 encourage les États membres, les autorités de contrôle, le CEPD et la Commission à promouvoir la mise en place de mécanismes de certification ainsi que de labels et marques en matière de protection des données. L’article 42 §5 précise que la certification est octroyée par les organismes certificateurs visés à l’article 43, ou par l’autorité de contrôle compétente elle-même. Sa durée de validité est fixée à trois ans maximum, avec possibilité de renouvellement sous réserve du maintien des exigences (RGPD, art. 42 §7).

L’article 43 encadre quant à lui les conditions d’accréditation des organismes certificateurs. Ceux-ci doivent être accrédités, soit par l’autorité de contrôle nationale compétente, soit par l’organisme national d’accréditation désigné — en France, le COFRAC (Comité français d’accréditation) — conformément à la norme ISO/IEC 17065/2012, complétée par les exigences additionnelles établies par l’autorité de contrôle (RGPD, art. 43 §1 b). La CNIL publie sur son site la liste des organismes certificateurs agréés, mise à jour au fur et à mesure des accréditations. À ce jour, peu d’organismes sont effectivement habilités à délivrer des certifications RGPD au sens strict de l’article 42, ce qui distingue ce dispositif des labels sectoriels ou des certifications ISO 27001 souvent confondus avec lui.

La CNIL élabore par ailleurs des référentiels de certification, documents techniques qui détaillent les critères que le traitement ou le responsable de traitement doit satisfaire pour obtenir la certification. Ces référentiels sont construits en concertation avec les acteurs du secteur concerné, selon une méthodologie consultative. Il existe notamment un référentiel relatif aux compétences du DPO, adopté par la CNIL en 2019 et révisé depuis. D’autres référentiels couvrent des traitements spécifiques ou des catégories d’organismes. La nature sectorielle ou transversale du référentiel applicable conditionne donc directement le périmètre de l’audit qui précédera la certification.

Un point de vigilance s’impose : la certification au titre de l’article 42 du RGPD ne suffit pas à démontrer la conformité globale d’un organisme. Elle atteste uniquement que les traitements ou les pratiques couverts par le référentiel retenu satisfont aux critères définis. Le responsable de traitement reste tenu de ses obligations pour l’ensemble de ses activités de traitement, y compris celles situées hors du périmètre certifié (RGPD, art. 42 §4).

La cartographie des traitements comme préalable indispensable à toute démarche de certification RGPD

Aucun organisme ne peut sérieusement envisager une certification RGPD sans avoir préalablement établi une cartographie complète de ses traitements de données personnelles. Cette exigence découle directement de l’obligation de tenir un registre des activités de traitement (RGPD, art. 30), mais elle va au-delà du seul inventaire formel : il s’agit de comprendre la réalité opérationnelle des flux de données, depuis leur collecte jusqu’à leur suppression.

La cartographie se décompose en quatre diagnostics distincts. Le premier porte sur les dispositifs de collecte : formulaires, cookies et traceurs, API, partenaires tiers. Il s’agit de vérifier que chaque point de collecte est associé à une base légale identifiée (RGPD, art. 6), que le consentement, lorsqu’il est requis, est recueilli dans des conditions valides (RGPD, art. 7), et que les mentions d’information satisfont aux exigences des articles 13 et 14. Sur ce dernier point, la CNIL a publié des exemples pratiques de mentions d’information qui constituent une référence utile pour évaluer la conformité des pratiques existantes.

Le deuxième diagnostic concerne les lieux de stockage et les flux de données dans le système d’information. Quelles bases de données hébergent des données personnelles ? Existe-t-il des transferts vers des sous-traitants ou vers des pays tiers ? Ce point est particulièrement sensible lorsqu’un organisme utilise des solutions cloud dont les serveurs sont localisés hors de l’Union européenne. La question des transferts hors EEE (RGPD, chapitre V) doit être documentée avec précision : mécanisme de transfert applicable (clauses contractuelles types adoptées par la Commission le 4 juin 2021, décision d’adéquation, règles d’entreprise contraignantes), évaluation du niveau de protection dans le pays destinataire.

Le troisième diagnostic qualifie les finalités des traitements. La limitation des finalités est un principe cardinal du RGPD (art. 5 §1 b) : les données collectées pour une finalité déterminée ne peuvent être réutilisées pour des fins incompatibles. Ce diagnostic aboutit à la production d’une cartographie des traitements, document qui alimentera directement le registre prévu à l’article 30. Prenons l’exemple d’une entreprise de taille intermédiaire dans le secteur des ressources humaines : ses traitements couvrent typiquement la gestion de la paie, le recrutement, la formation, la gestion des accès aux systèmes d’information et potentiellement des données de santé dans le cadre de la médecine du travail — chacun de ces traitements a une finalité distincte et implique des durées de conservation différentes.

Le quatrième diagnostic porte précisément sur les durées de conservation. Les données personnelles ne peuvent être conservées indéfiniment (RGPD, art. 5 §1 e). Les durées doivent être fixées par le responsable de traitement en fonction de la finalité du traitement et, le cas échéant, des obligations légales de conservation ou des délais de prescription applicables. La CNIL a publié des recommandations sectorielles sur ce point, qui constituent des repères utiles sans avoir valeur contraignante propre.

L’analyse des écarts et la construction du plan d’actions de mise en conformité

Une fois la cartographie établie, l’audit RGPD proprement dit consiste à mesurer les écarts entre les pratiques documentées et les exigences du règlement. Cette phase est méthodologiquement distincte de la cartographie : là où la première décrit l’existant, l’analyse des écarts évalue sa conformité. Pour une mise en conformité RGPD structurée, cette distinction est fondamentale.

Le plan d’actions qui résulte de cette analyse doit hiérarchiser les chantiers selon leur niveau de risque résiduel. Les traitements portant sur des données sensibles au sens de l’article 9 du RGPD — données de santé, données révélant l’origine raciale ou ethnique, données biométriques aux fins d’identification, etc. — doivent faire l’objet d’une attention prioritaire. De même, les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées doivent avoir fait l’objet d’une analyse d’impact relative à la protection des données (AIPD) avant leur mise en œuvre (RGPD, art. 35). L’absence d’AIPD dans les cas où elle est obligatoire constitue une non-conformité susceptible de bloquer toute démarche de certification.

Le tableau ci-dessous illustre la logique de priorisation applicable aux principaux chantiers de mise en conformité :

Chantier	Fondement réglementaire	Niveau de priorité	Déclencheur d’AIPD
Traitements de données de santé	RGPD, art. 9 §1 et art. 35	Critique	Oui (systématique)
Profilage à grande échelle	RGPD, art. 22 et art. 35 §3 a	Critique	Oui
Transferts hors EEE sans mécanisme adéquat	RGPD, chapitre V	Élevé	Cas par cas
Absence de mentions d’information	RGPD, art. 13-14	Élevé	Non
Contrats sous-traitants non conformes	RGPD, art. 28 §3	Moyen	Non
Durées de conservation non définies	RGPD, art. 5 §1 e	Moyen	Non
Registre des traitements incomplet	RGPD, art. 30	Moyen	Non

Chaque chantier doit être confié à un responsable identifié, avec un calendrier de réalisation. L’affectation de la responsabilité opérationnelle est un facteur déterminant de réussite : les projets de conformité qui échouent sont le plus souvent ceux dans lesquels la charge repose sur un seul acteur sans autorité transversale. Le DPO, lorsqu’il est désigné, joue un rôle de conseil et de surveillance — il n’est pas le seul responsable opérationnel de la mise en œuvre (RGPD, art. 39).

La gestion des relations avec les sous-traitants mérite une mention particulière. L’article 28 §3 du RGPD impose que tout traitement confié à un sous-traitant soit encadré par un contrat ou un autre acte juridique qui stipule notamment : l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées, les obligations et droits du responsable du traitement. La vérification de la conformité de l’ensemble des contrats de sous-traitance existants est une tâche chronophage mais incontournable avant toute démarche de certification. Un accord de protection des données (DPA) mal rédigé ou absent peut constituer un motif de refus de certification.

Le rôle du DPO dans la démarche de certification et les obligations associées

La désignation d’un délégué à la protection des données est obligatoire dans trois hypothèses définies à l’article 37 §1 du RGPD : lorsque le traitement est effectué par une autorité ou un organisme public (à l’exception des juridictions), lorsque les activités de base du responsable ou du sous-traitant consistent en des opérations de traitement qui exigent un suivi régulier et systématique des personnes concernées à grande échelle, et lorsque les activités de base portent sur le traitement à grande échelle de catégories particulières de données (art. 9) ou de données relatives aux condamnations pénales (art. 10).

En dehors de ces hypothèses d’obligation, la désignation volontaire d’un DPO reste juridiquement possible (RGPD, art. 37 §4) et présente des avantages pratiques certains dans le cadre d’un projet de certification. Le DPO est en effet l’interlocuteur privilégié de la CNIL (RGPD, art. 39 §1 e) et dispose d’une vision transversale des traitements de l’organisme. Sa désignation est par ailleurs exigée par certains référentiels de certification, notamment le référentiel relatif à la certification des compétences du DPO publié par la CNIL.

Les compétences requises d’un DPO sont précisément encadrées. L’article 37 §5 du RGPD prévoit qu’il est désigné sur la base de ses qualités professionnelles et, notamment, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données. La CNIL a traduit cette exigence en critères mesurables dans son référentiel de certification. Pour les organismes qui souhaitent aller plus loin dans la professionnalisation de leur fonction DPO, des ressources détaillées sur les compétences clés du délégué à la protection des données permettent d’objectiver les attendus du poste.

La question du DPO externe est fréquemment soulevée dans les structures de taille intermédiaire. Le RGPD autorise explicitement le recours à un DPO externe (RGPD, art. 37 §6), sous réserve que l’organisme s’assure de l’absence de conflits d’intérêts (RGPD, art. 38 §6). Dans le cadre d’une démarche de certification, le DPO externe doit être en mesure de produire les documents attestant de sa désignation formelle, de son périmètre de mission et de son accès effectif aux informations nécessaires à l’exercice de ses fonctions.

Les organismes de certification agréés : critères de sélection et processus d’audit

La sélection d’un organisme certificateur ne relève pas d’une démarche commerciale ordinaire. L’organisme doit impérativement figurer sur la liste publiée par la CNIL des organismes agréés, et son accréditation par le COFRAC doit couvrir le référentiel pertinent pour le traitement ou l’activité que l’organisme souhaite faire certifier. Un organisme accrédité sur un référentiel DPO n’est pas nécessairement habilité à certifier des traitements relevant d’un autre référentiel sectoriel.

Le processus d’audit précédant la délivrance de la certification suit une séquence standardisée. Une phase documentaire permet à l’auditeur d’examiner le registre des traitements, les politiques de confidentialité, les contrats de sous-traitance, les procédures de gestion des droits des personnes concernées et les analyses d’impact réalisées. Une phase terrain comprend des entretiens avec les équipes opérationnelles et, selon le référentiel, des tests techniques portant sur la sécurité des systèmes d’information. La sécurité des données est un axe systématiquement audité : le responsable du traitement est soumis à une obligation de sécurité (RGPD, art. 32) qui implique la mise en œuvre de mesures techniques et organisationnelles appropriées au regard des risques.

Les principales étapes du processus de certification peuvent être synthétisées comme suit :

• Identification du référentiel applicable : sélectionner le référentiel CNIL correspondant au périmètre visé (DPO, traitement spécifique, secteur d’activité).
• Choix de l’organisme certificateur : vérifier l’accréditation COFRAC et l’agrément CNIL pour le référentiel retenu.
• Audit documentaire : transmission des pièces justificatives (registre, contrats, politiques, AIPD).
• Audit terrain : entretiens, vérifications techniques, contrôle des procédures effectives.
• Rapport d’audit : identification des non-conformités éventuelles avec délai de mise en conformité.
• Décision de certification : octroi ou refus, avec motivation écrite.
• Surveillance : contrôles intermédiaires sur la durée de validité de trois ans.
• Renouvellement : nouvel audit à l’échéance de la certification.

Le coût d’une certification RGPD varie significativement selon la taille de l’organisme, la complexité des traitements et le référentiel applicable. Les estimations disponibles sur le marché font état de montants allant de quelques milliers d’euros pour les structures simples à plusieurs dizaines de milliers d’euros pour les organisations dont les traitements sont nombreux et techniquement complexes. Une ressource comparative sur la certification RGPD pour les entreprises permet d’objectiver ces fourchettes en fonction du profil de l’organisme.

Un point souvent négligé concerne la gestion des droits des personnes concernées dans le cadre de l’audit. L’organisme doit démontrer que ses procédures de réponse aux demandes d’accès, de rectification, d’effacement, de portabilité et d’opposition sont opérationnelles et respectent les délais imposés par le RGPD (art. 12 §3 : réponse dans un délai d’un mois, prorogeable de deux mois supplémentaires dans les cas complexes). L’absence de procédure formalisée ou documentée est fréquemment relevée lors des audits de certification comme source de non-conformité.

Pour les organismes souhaitant s’engager dans une démarche complète de certification RGPD, les ressources disponibles sur Mon Expert RGPD offrent un cadre de référence structuré pour préparer l’audit et identifier les points de vigilance prioritaires avant de solliciter un organisme certificateur agréé.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »La certification RGPD est-elle obligatoire pour les entreprises ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non, la certification RGPD au sens de l’article 42 du ru00e8glement (UE) 2016/679 est volontaire. Elle constitue un outil de du00e9monstration de la conformitu00e9, non une obligation lu00e9gale autonome. Certaines obligations restent en revanche impu00e9ratives indu00e9pendamment de toute certification : tenue du registre des activitu00e9s de traitement (art. 30), ru00e9alisation d’analyses d’impact (art. 35), du00e9signation d’un DPO dans les hypothu00e8ses pru00e9vues u00e0 l’article 37 u00a71. »}},{« @type »: »Question », »name »: »Quelle est la diffu00e9rence entre une certification ISO 27001 et une certification RGPD au sens de l’article 42 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La norme ISO 27001 est une certification de systu00e8me de management de la su00e9curitu00e9 de l’information (SMSI). Elle couvre la su00e9curitu00e9 informatique au sens large et n’est pas spu00e9cifique aux obligations du RGPD. La certification RGPD au titre de l’article 42 atteste quant u00e0 elle que des traitements de donnu00e9es personnelles du00e9terminu00e9s satisfont aux critu00e8res d’un ru00e9fu00e9rentiel approuvu00e9 par la CNIL ou le CEPD. Ces deux du00e9marches sont complu00e9mentaires mais distinctes dans leur objet et leur gouvernance. »}},{« @type »: »Question », »name »: »Combien de temps dure une certification RGPD et quelles sont les conditions de renouvellement ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La duru00e9e maximale de validitu00e9 d’une certification du00e9livru00e9e au titre de l’article 42 du RGPD est de trois ans (RGPD, art. 42 u00a77). Durant cette pu00e9riode, l’organisme certificateur peut procu00e9der u00e0 des contru00f4les intermu00e9diaires. La certification peut u00eatre retiru00e9e si les conditions d’obtention ne sont plus satisfaites. Le renouvellement suppose un nouvel audit complet u00e0 l’u00e9chu00e9ance des trois ans. »}},{« @type »: »Question », »name »: »Un organisme certifiu00e9 RGPD peut-il u00eatre sanctionnu00e9 par la CNIL ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui. La certification au sens de l’article 42 du RGPD ne confu00e8re pas d’immunitu00e9 vis-u00e0-vis des contru00f4les ou des sanctions de la CNIL. Elle peut toutefois u00eatre prise en compte comme u00e9lu00e9ment d’appru00e9ciation de la bonne foi et des efforts de conformitu00e9 dans le cadre d’une procu00e9dure de sanction (RGPD, art. 83 u00a72 j). La CNIL conserve l’ensemble de ses pouvoirs d’investigation et de sanction indu00e9pendamment de la certification obtenue. »}},{« @type »: »Question », »name »: »Quels documents faut-il pru00e9parer avant de solliciter un organisme certificateur ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les documents essentiels comprennent : le registre des activitu00e9s de traitement (RGPD, art. 30), les analyses d’impact ru00e9alisu00e9es (RGPD, art. 35), les contrats de sous-traitance conformes u00e0 l’article 28 u00a73, les politiques d’information des personnes concernu00e9es (art. 13-14), les procu00e9dures de gestion des droits des personnes, la documentation relative u00e0 la su00e9curitu00e9 des systu00e8mes (art. 32), et la preuve de du00e9signation du DPO le cas u00e9chu00e9ant (art. 37). L’absence ou l’insuffisance de l’un de ces u00e9lu00e9ments constitue un motif fru00e9quent de non-conformitu00e9 lors des audits. »}}]}

La certification RGPD est-elle obligatoire pour les entreprises ?

Non, la certification RGPD au sens de l’article 42 du règlement (UE) 2016/679 est volontaire. Elle constitue un outil de démonstration de la conformité, non une obligation légale autonome. Certaines obligations restent en revanche impératives indépendamment de toute certification : tenue du registre des activités de traitement (art. 30), réalisation d’analyses d’impact (art. 35), désignation d’un DPO dans les hypothèses prévues à l’article 37 §1.

Quelle est la différence entre une certification ISO 27001 et une certification RGPD au sens de l’article 42 ?

La norme ISO 27001 est une certification de système de management de la sécurité de l’information (SMSI). Elle couvre la sécurité informatique au sens large et n’est pas spécifique aux obligations du RGPD. La certification RGPD au titre de l’article 42 atteste quant à elle que des traitements de données personnelles déterminés satisfont aux critères d’un référentiel approuvé par la CNIL ou le CEPD. Ces deux démarches sont complémentaires mais distinctes dans leur objet et leur gouvernance.

Combien de temps dure une certification RGPD et quelles sont les conditions de renouvellement ?

La durée maximale de validité d’une certification délivrée au titre de l’article 42 du RGPD est de trois ans (RGPD, art. 42 §7). Durant cette période, l’organisme certificateur peut procéder à des contrôles intermédiaires. La certification peut être retirée si les conditions d’obtention ne sont plus satisfaites. Le renouvellement suppose un nouvel audit complet à l’échéance des trois ans.

Un organisme certifié RGPD peut-il être sanctionné par la CNIL ?

Oui. La certification au sens de l’article 42 du RGPD ne confère pas d’immunité vis-à-vis des contrôles ou des sanctions de la CNIL. Elle peut toutefois être prise en compte comme élément d’appréciation de la bonne foi et des efforts de conformité dans le cadre d’une procédure de sanction (RGPD, art. 83 §2 j). La CNIL conserve l’ensemble de ses pouvoirs d’investigation et de sanction indépendamment de la certification obtenue.

Quels documents faut-il préparer avant de solliciter un organisme certificateur ?

Les documents essentiels comprennent : le registre des activités de traitement (RGPD, art. 30), les analyses d’impact réalisées (RGPD, art. 35), les contrats de sous-traitance conformes à l’article 28 §3, les politiques d’information des personnes concernées (art. 13-14), les procédures de gestion des droits des personnes, la documentation relative à la sécurité des systèmes (art. 32), et la preuve de désignation du DPO le cas échéant (art. 37). L’absence ou l’insuffisance de l’un de ces éléments constitue un motif fréquent de non-conformité lors des audits.