La faisabilité des schémas de certification de protection de la vie privée

(II) Le pouvoir de labellisation de la CNIL

-L'article 11 n'exclut pas la coexistence de labels délivrés par la CNIL avec d'autres schémas de certification de protection des DP;

-La CNIL a énoncé qu'elle procéderait par étape en commençant par la labellisation de « procédures d'audit » initiées par des professionnels de la protection des DP et de « formations » au cours de l'année 2011.

Plusieurs questions méritent néanmoins d'être soulevées.

-L'article fait expressément référence à la prise en charge du coût de l'éventuelle évaluation « par l'entreprise ».

Après avoir longtemps fait débat, il semble aujourd'hui reconnu que les avocats peuvent exercer une activité économique au travers de conseils. Rien ne s'oppose donc à ce que la CNIL labellise des procédures d'audit proposées par un avocat. On s'interrogera tout de même sur l'esprit de la lettre prévoyant que le coût de l'évaluation soit pris en charge par « l'entreprise ». D'après les comptes rendus des débats au Sénat, l'intention du législateur était de modifier la loi de 1978 afin «  d'ouvrir la possibilité pour le président de la CNIL de recourir aux services d'un expert indépendant, dont le rapport sera transmis à la commission qui décidera ou non de délivrer le label ». ^{(*)REF _Ref278271812 \r \h \* MERGEFORMAT}

La labellisation de procédures d'audit présentées par des cabinets d'audit et des avocats s'apparente en pratique à la reconnaissance officieuse des personnes morales auteurs des procédures labellisées.

On rappellera la nécessaire condition d'impartialité de l'organisme certificateur et les risques de conflit d'intérêts avec des activités de conseil et de formation (cf. ISO 17021).

Il devrait en aller de même pour l'instance d'évaluation afin d'éviter le risque de collision. Dans le cas contraire, l'évaluateur pourrait difficilement remettre en cause les mesures appliquées par l'entreprise et préconisées par ses soins.

- La CNIL pourrait choisir d'émettre une procédure d'audit standard labellisée ;

-Si la CNIL entendait s'arrêter à la labellisation de procédures proposées par des professionnels, sur quel fondement pourrait-elle refuser d'étudier la labellisation de procédures mises en place au sein d'entreprises? Les personnes interrogées lors de l'enquête de terrain ont en effet manifesté leur intérêt pour ce type de démarche. ^{(*)REF _Ref278271812 \r \h \* MERGEFORMAT}

-Pour assurer la qualité des évaluateurs, la CNIL entend décider elle-même de la qualification des évaluateurs reconnus en fonction de critères conformes à l'ISO 19011 ;

-Rappelons qu'ès qualité d'autorité administrative, la CNIL veille à ce que les traitements de données à caractère personnel soient mis en oeuvre conformément aux dispositions de la loi informatique et libertés. A ce titre elle dispose d'un pouvoir de vérification et de sanction (Art. 44 et 45 de la loi).

Par ordonnance de référé rendue 19 février 2008, elle a été qualifié d'autorité judiciaire par le Conseil d'État précisant que la Commission, « eu égard à sa nature, à sa composition et à ses attributions » doit « être qualifiée de tribunal au sens de l'article 6-1 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ». Elle lui impose notamment qu'elle agisse comme un tribunal indépendant et impartial et que ses audiences soient - sous certaines conditions - rendues publiques.

La délivrance d'un label pourrait s'avérer problématique si lors d'un contrôle de la CNIL celle-ci était amenée à relever des éléments de non-conformité passibles de sanction.

-De plus, si une organisation s'engage dans une démarche de certification elle s'attend à un gain en retour qui peut être celui d'une meilleure image de marque, de moindres formalités ou d'une présomption de conformité; elle doit donc pouvoir communiquer sur cette démarche et l'afficher. Au travers du label, l'organisation affiche « un choix et un engagement». En labellisant des procédures d'audit de professionnels des protections des DP, la CNIL autorisera bien ces derniers à utiliser son label mais qu'en sera-t-il de l'entreprise évaluée et pour laquelle le coût de la procédure engagée n'aura pas de contrepartie  « visuelle » d'un logo extrêmement importante en termes d'image selon le secteur d'activité.

Selon un sondage de Ponemon ^{(*)REF _Ref278271812 \r \h \* MERGEFORMAT} , la perception de la protection de la vie privée et des DP par les individus dépend d'un certain nombre de facteurs et la confiance accordée ne reflète pas forcément les pratiques et les efforts entrepris par les entreprises.

Parmi les facteurs d'influence de la perception par les individus, l'image de marque est importante ainsi que la façon dont sont perçus les messages publicitaires notamment s'ils font référence à la protection des DP.

* REF _Ref278271812 \r \h \* MERGEFORMAT Question écrite n° 06628 de M. Alex Türk publiée dans le JO Sénat du 11/12/2008 - page 2478 ; réponse du Ministère de la Justice publiée dans le JO Sénat du 01/01/2009 - page 38.
La question et la réponse sont disponibles sur Internet : http://www.senat.fr/questions/base/2008/qSEQ081206628.html

* REF _Ref278271812 \r \h \* MERGEFORMAT
Voir Titre III section 4

* REF _Ref278271812 \r \h \* MERGEFORMAT
« Most Trusted Companies for Privacy: U.S. Consumers », Ponemon février 2010