Certifier la conformité aux autorisations uniques de la CNIL

• RESUME
  
• Annexe 1 : Contribution à la consultation publique de la Commission européenne sur les contours de la
  
• INTRODUCTION
  
  • 1. Pourquoi ce sujet ?
    
  • 2. Parce qu'il existe un besoin
    
  • 3. Parce que cela présente des avantages
    
  • 4. Parce qu'il est possible de le mettre en oeuvre
    
  • 1. Définitions
    
  • 1.1 Qu'est ce que la normalisation ?
    
  • 1.2 Que signifie certifier ?
    
  • 1. 3 Qu'est-ce que la conformité?
    
  • 1.4 Qu'est-ce qu'une norme?
    
  • 1.5 Quelle différence entre norme et réglementation ?
    
  • 1.6 Qu'est ce qu'une Autorisation Unique ?
    
  • 1.7 Pourquoi des Autorisations uniques ?
    
  • 1.8 Comment les Autorisations uniques sont-elles élaborées ? Deux cas peuvent se présenter :
    
  • 1.9 Quel est le statut juridique des Autorisations Uniques ?
    
  • 1.9.1 Qu'est ce qu'un acte réglementaire ?
    
  • 1.9.2 La place des Autorisations uniques dans la hiérarchie des normes
    
  • 1.10 Quel est le champ d'application des Autorisations uniques ? Le champ d'application des Autorisations uniques est circonscrit soit :
    
  • 1.11 Existe t-il des sanctions spécifiques aux Autorisations uniques ?
    
  • 1.12 Les limites des Autorisations uniques
    
  • 1.12.1 Des déclarations de conformité sans contrôle
    
  • 1.12.2 Une procédure uniquement déclarative
    
  • 1.12.3 Une source d'insécurité juridique pour les entreprises
    
  • 2. Certifier la conformité à une réglementation : une pratique
    
  • 2.1 En France
    
  • 2.3 Au niveau international
    
  • 2.3.1 L'ICPP du Schleswig-Holstein
    
  • 2.3.2 Le PFDPT Suisse
    
  • 2.3.4 Le Privacy framework de l'APEC
    
  • 2.3.5 La loi du 12 mai 2009 en France
    
  • 1. Qu'est ce qu'un référentiel ?
    
  • 1.1 Définition d'un référentiel normatif
    
  • 1.2 Quelle différence entre une norme et un standard ?
    
  • 2. Comment s'élabore un référentiel ?
    
  • 2.1 L'exemple de L'International Standardization Organisation (ISO)
    
  • 2.2 L'exemple de la "nouvelle approche"
    
  • 2.2.1 Le principe de "nouvelle approche"
    
  • 2.3 L'exemple des directives du Préposé à la Protection des Données à caractère personnel suisse
    
  • 2.4 L'exemple du Décret n°2001-272 du 30 mars 2001
    
  • 1. Garantir par des moyens techniques et des procédures appropriés que les données de création de signature électronique :
    
  • 2. N'entraîner aucune altération du contenu de l'acte à signer et ne pas faire obstacle à ce que le signataire en ait une connaissance exacte avant de le signer.
    
  • 2.5 Peut-on considérer les Autorisations uniques comme des référentiels normatifs ?
    
  • 2.5.1 Quel formalisme doit avoir un référentiel normatif ?
    
  • 2.5.1.1 Les recommandations de l'ISO
    
  • 2.5.1.1.1 En termes de contenu
    
  • 2.5.1.1.2 En termes de structuration et de rédaction
    
  • 2.5.1.2 Les recommandations du British Standard Institution (BSI)
    
  • 2.5.1.3 Les exigences de l'article L.115-27 du code de la consommation
    
  • 2.5.2 Qu'est ce qui fait un bon référentiel normatif? Si l'on se réfère aux textes présentés ci-dessus, un bon référentiel normatif :
    
  • 2.6 Les Autorisations uniques sont-elles auditables en l'état ?
    
  • 2.6.1 Un formalisme proche de celui recommandé par les institutions de
    
  • 2.6.2 L'AU-005 est-elle auditable en l'état ?
    
  • 2.6.3 Un travail d'interprétation préalable
    
  • 2.6.4 Une approche «d'auditabilité by design»
    
  • 1. Que signifie évaluer la conformité ?
    
  • 1.1 Evaluer la conformité peut être une obligation
    
  • 1.2 Evaluer la conformité peut être une condition
    
  • 2. Qui peut évaluer la conformité ?
    
  • 2. 1. Un évaluateur indépendant et objectif
    
  • 2. 2 . Un évaluateur compétent
    
  • 2. 3. Un évaluateur dont la compétence a été reconnue
    
  • 2.3.1 L'accréditation : un moyen de reconnaître la compétence
    
  • 2.3.1.1 Qu'est ce que l'accréditation ?
    
  • 2.3.1.2 Qui accrédite-ton ?
    
  • 2.3.1.3 Pourquoi accrédite-t-on ?
    
  • 2.4 Qui a la responsabilité d'accréditer ?
    
  • 2.5 Comment accrédite-t-on ?
    
  • 2.5.1 Les organismes accréditeurs
    
  • 2.5.2 L'accréditation des individus
    
  • 2.5.2.1 La procédure de contrôle des connaissances de l'AMF
    
  • 2.5.2 La procédure d'accréditation des experts EuroPriSe
    
  • 2.5.3 Les avantages et les inconvénients de l'accréditation à titre individuel
    
  • 2.6 Accréditer les organismes certificateurs On distingue deux types d'organismes certificateurs:
    
  • 2.7 Comment accréditer les organismes certificateurs ?
    
  • 2.8 Quelle différence entre accréditation et agrément ? 2.8.1 Un statut et une origine différente
    
  • 2.8.2 Une démarche et une finalité similaire
    
  • 2.8.3 Pourquoi un agrément plutôt qu'une accréditation?
    
  • 3. Faut-il des évaluateurs spécifiques pour les Autorisations uniques ?
    
  • 3.1 L'exemple suisse
    
  • 3.2 Est-ce un rôle pour Le Correspondant Informatique et Libertés (CIL) ?
    
  • 3.3 Est-ce un rôle pour des experts indépendants ?
    
  • 3.4 Est-ce un nouveau marché pour les organismes de certification ?
    
  • 4. Comment accréditer les évaluateurs de la conformité aux Autorisations
    
  • 4.1 Quel organisme responsable doit être désigné ?
    
  • 4.2 Une accréditation sur quels fondements ?
    
  • 4.3 Une accréditation sur quel périmètre ?
    
  • 4.4 Quelle procédure de délivrance pour l'accréditation ?
    
  • 1. Qu'entend-on par audit de conformité ?
    
  • 1.2.1 Les propositions de la norme CWA 15499-1 du CEN
    
  • 1.2.2 Les propositions de la norme CWA 15499-2 du CEN
    
  • 1.2.3 L'exemple de l' EuroPriSe Criteria
    
  • 2. Quelle méthodologie pour évaluer la conformité au Autorisations uniques ?
    
  • 2.1 Quel référentiel d'évaluation ?
    
  • 2.2 Quelles sont les spécificités à prendre en compte ?
    
  • 2.3 Faut-il un ou plusieurs référentiels ?
    
  • 2.4 A qui appartient-il d'élaborer ce référentiel d'évaluation ?
    
  • 3. Quelle procédure pour évaluer la conformité aux Autorisations uniques ?
    
  • 3.1 Quel périmètre ?
    
  • 3.2 Evaluer à quel moment ?
    
  • 3.3 Contrôler l'évaluation de la conformité
    
  • 3.3.1 Quel contenu pour le rapport d'audit ?
    
  • 1. Qu'est ce qu'un titre de certification ?
    
  • 2. Quelle forme un titre de certification peut-il prendre ?
    
  • 2.1 Les labels
    
  • 2.1.1 Définition d'un label en France
    
  • 2.1.2 Les différents types de labels
    
  • 2.1.2.1 Les labels patrimoniaux
    
  • 2.1.2.2 Les labels d'origine
    
  • 2.1.2.3 Les labels de qualité
    
  • 2.1.2.4 Les labels de conformité
    
  • 2.1.2.4.1 Le marquage «CE»
    
  • 2.1.2.4.2 Le «Gutesiegel»184 de l'Independent Centre for Privacy Protection du Schleswig-Holstein (ICPP)
    
  • 2.1.2.4.3 Le label EuroPriSe
    
  • 2.1.2.4.3 Le label «GoodPriv@cy»
    
  • 2.2 Les certificats
    
  • 2.2.1 Les certificats de conformité émanant d'organismes de certifications privés
    
  • 2.2.1.1 La marque «Normalisé Français» (NF)
    
  • 2.2.1.2 L'association française pour l'amélioration et le management de la qualité (AFAQ)
    
  • 2.2.2 Les certificats issus d'une réglementation
    
  • 2.2.2.1 Le certificat de conformité au Décret n° 2002-535 du 18 avril 2002
    
  • 2.2.2.2 L'Ordonnance suisse sur les certifications en matière de protection
    
  • 3. Quel titre décerner pour la conformité aux autorisations uniques ?
    
  • 3.1 Intégrer un programme de certification existant
    
  • 3.1.1 Participer au programme « Good Priv@cy »
    
  • 3.1.2 Participer au label EuroPriSe
    
  • 3.1.4 Participer aux programmes de certification d'assurance qualité
    
  • 3.1.5 Participer à plusieurs programmes
    
  • 3.2 Créer un titre de certification
    
  • 3.2.1 Quels privilèges associer à ce titre ?
    
  • 3.2.2 Quel titre de certification
    
  • 3.2.2.1 Un titre générique ou un titre spécifique ?
    
  • 3.2.2.2 Un label ou un certificat
    
  • 3.2.2.3 Le périmètre de certification
    
  • 3.2.2.4 La procédure de délivrance
    
  • 3.2.2.4.1 Les documents d'admission
    
  • 3.2.2.4.2 La durée de validité
    
  • 3.2.2.4.3 Les conditions de renouvellement
    
  • 3.2.2.4.4 Les conditions de révocation
    
  • 3.2.2.5 Le responsable de la délivrance du titre
    
• Conclusion
  
  • 1. Notre proposition
    
  • 1.1 Le principe
    
  • 1.2 La procédure
    
  • 1.3 Les fondements juridiques et normatifs
    
  • 2. Certifier : quel intérêt ?
    
  • 2.1 Des avantages pour les différentes parties prenantes
    
  • 2.1.1 Les avantages pour les entreprises
    
  • 2.1.2 Les avantages pour les autorités de contrôle
    
  • 2.2 Une volonté des autorités d'explorer de nouvelles voies de régulation
    
  • 2.3 L'auto-régulation ne fonctionne pas
    
  • 2.4 Le cadre réglementaire présente des lacunes
    
  • 2.5 L'approche géographique qui sous-tend la régulation est dépassée
    
  • 3. Des questions en suspends
    
• Bibliographie