La Commission nationale de l'informatique et des libertés,

Vu la loi nº 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;

Vu la loi nº 2009-526 du 12 mai 2009 de simplification et de clarification du droit et d'allégement des procédures ;

Vu le décret nº 2005-1309 du 20 octobre 2005 pris pour l'application de la loi nº 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;

Vu la délibération nº 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Après avoir entendu M. Jean-François Carrez, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;

L'article 11 (3°, c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elle les a reconnus conformes aux dispositions de la loi du 6 janvier 1978 modifiée. Conformément aux dispositions de l'article 13 de la loi susvisée, elle modifie le règlement intérieur afin de préciser les modalités de mise en œuvre de la procédure de labellisation.

La présente délibération modifie le règlement intérieur et fixe la procédure applicable à la délivrance des labels. Les labels sont délivrés pour une durée de trois ans. Leur titulaire est soumis à l'ensemble des dispositions de la présente délibération,

Décide :

Article 1

Il est inséré, après le chapitre IV du règlement intérieur, un chapitre IV bis ainsi rédigé :

» Chapitre IV bis.- » Procédure de labellisation

» Section 1.- » Comité de labellisation

» Article 53-1

Le comité de labellisation est composé de membres de la commission désigné, par le président. Le comité désigne en son sein un président.
» Le président du comité de labellisation préside les réunions du comité, qu'il convoque en tant que de besoin et au moins une fois par an, et dont il fixe l'ordre du jour.
» Le comité de labellisation :
» – propose des orientations relatives à la politique de labellisation, notamment celles relatives aux demandes de création de label adressées par une organisation professionnelle ou à une institution regroupant principalement des responsables de traitements ;
» – élabore les projets de référentiels aux fins de labellisation de produits ou de procédures ;
» – évalue la conformité des demandes de label aux référentiels de labellisation de produits ou de procédure. Il peut auditionner le demandeur ou toute personne susceptible de l'aider dans l'accomplissement de ses missions.
» Le comité est assisté dans ses travaux par les services de la commission qui en assurent le secrétariat.

» Section 2.- » Procédure d'élaboration de référentiels aux fins de labellisation de produits ou de procédures

» Article 53-2

» Conformément à l'article 11 (3°, c) de la loi du 6 janvier 1978 modifiée, il appartient à une organisation professionnelle ou à une institution regroupant principalement des responsables de traitements de demander à la commission de créer un label relatif à des produits ou des procédures.

» Article 53-3

» I. – Le président de la commission, sur proposition du comité de labellisation, informe l'organisation ou l'institution, à l'origine de la demande, de l'opportunité pour la commission de faire suite à cette demande.
» II. – Lorsque le président de la commission estime opportun de faire suite à cette demande, un référentiel définissant les caractéristiques que doit présenter un produit ou une procédure afin que celui-ci soit reconnu conforme aux dispositions de la loi du 6 janvier 1978 modifiée est élaboré. Ce référentiel précise les modalités d'appréciation de cette conformité et, le cas échéant, les particularités relatives aux vérifications subséquentes à la délivrance du label.
» Selon le produit ou la procédure, des référentiels distincts sont adoptés par la commission.
» III. – L'avis des représentants des parties intéressées, et notamment des associations ou organismes représentatifs des professionnels et des usagers, peut être recueilli lors de l'élaboration d'un référentiel.

» Article 53-4

» Chaque délibération portant référentiel aux fins de labellisation de produits ou de procédures est adoptée par la commission réunie en formation plénière.
» Les référentiels sont modifiés par la commission dans les mêmes formes.

» Section 3.- » Procédure d'évaluation de la conformité aux référentiels de labellisation de produits ou de procédures

» Paragraphe 1.- Dépôt et examen de la recevabilité d'un dossier de demande de label

» Article 53-5

» Sur proposition du secrétaire général et après avis du comité de labellisation, le président de la CNIL fixe le modèle de formulaire à utiliser pour demander la délivrance d'un label ainsi que, le cas échéant, les annexes destinées à compléter les informations du formulaire. Cette demande doit préciser le référentiel auquel se rapporte le produit ou la procédure et doit comporter notamment la description du produit ou de la procédure à évaluer ainsi que les objectifs ou garanties particulières en termes de protection des données attestant de la conformité du produit ou de la procédure à ce référentiel.

» Article 53-6

» I. – La demande d'obtention d'un label pour un produit ou une procédure doit être adressée à la commission par lettre remise contre signature.
» Un numéro d'enregistrement est attribué par la commission à chaque demande. Il constitue une référence obligatoire en cas de demandes ultérieures relatives au même produit ou procédure.
» II. – Plusieurs personnes juridiques distinctes peuvent solliciter un label de manière conjointe, aux fins de faire un usage commun du produit ou de la procédure labellisé. Dans une telle hypothèse, le dossier de demande de label comporte l'engagement de ces personnes de maintenir leur collaboration pendant toute la durée du label. En cas d'interruption de la collaboration des organismes ayant obtenu la délivrance d'un label conjoint, le ou les organismes qui souhaiteraient conserver le label doivent déposer une nouvelle demande en ce sens à la commission.

» Article 53-7

» Le président examine la recevabilité de la demande dans un délai de deux mois à compter de l'attribution du numéro d'enregistrement. Afin d'être recevable, la demande doit être complète conformément aux dispositions de la section 4 du présent chapitre, et le produit ou la procédure objet de celle-ci doit correspondre au référentiel auquel il se rapporte.
» Le président notifie au demandeur, par lettre remise contre signature, le caractère recevable ou irrecevable de sa demande.
» Lorsque la demande est recevable, le président informe également le demandeur du délai nécessaire pour procéder à l'évaluation du produit ou de la procédure.
» La demande est réputée rejetée en cas d'absence de réponse du président dans un délai de deux mois à compter de la réception de la demande.

» Paragraphe 2.- » Evaluation du produit ou de la procédure

» Article 53-8

» L'instruction de la demande consiste à évaluer la conformité du produit ou de la procédure au référentiel auquel il se rapporte. Cette évaluation est réalisée par les services de la commission qui peuvent soumettre le produit ou la procédure à des tests visant à vérifier sa conformité au référentiel.
» Dans le cadre de cette évaluation, les services peuvent demander communication de toutes pièces utiles et entendre toutes personnes susceptibles de fournir les informations nécessaires relatives au produit ou à la procédure évaluée.
» Le demandeur peut, à tout moment, modifier ou retirer sa demande initiale par voie postale.

» Article 53-9

» Au terme de la période d'instruction, le ou les rapporteurs désignés parmi les membres du comité de labellisation établissent un rapport concluant, ou non, à la conformité du produit ou de la procédure évaluée au référentiel auquel il se rapporte.
» Le rapport et le projet de délibération correspondant sont inscrits à l'ordre du jour de la séance plénière de la commission.

» Article 53-10

» Si la commission réunie en formation plénière reconnaît que le produit ou la procédure est conforme au référentiel auquel il se rapporte, elle délivre un label. Dans le cas contraire, le label est refusé.

» Paragraphe 3.- » Délibération portant délivrance d'un label

» Article 53-11

» Les labels délivrés par la commission le sont pour une durée de trois ans renouvelable dans les conditions prévues au présent chapitre.

» Article 58-12

» La délibération portant délivrance ou de refus d'un label est notifiée par lettre remise contre signature, dans un délai de huit jours à compter de la décision de la commission. En cas de délivrance, elle indique les conditions d'utilisation du logo «label CNIL». En cas de refus, elle indique les voies et délais de recours applicables.

» Paragraphe 4.- » Modification d'un produit ou d'une procédure labellisé

» Article 53-13

» La commission doit être informée sans délai de toute modification d'un produit ou d'une procédure labélisé.
» Les services de la commission peuvent demander communication de tout document leur permettant d'apprécier si les modifications sont de telle nature qu'elles nécessitent une nouvelle évaluation.
» Le président notifie au titulaire par lettre remise contre signature la suite donnée à l'instruction de sa demande.
» Dans les cas où une nouvelle évaluation du produit ou de la procédure est nécessaire, elle est réalisée dans les conditions décrites aux articles 53-8 à 53-12 de la présente délibération.

» Article 53-14

» Dans les cas où la commission, suite à la nouvelle procédure d'évaluation, décide de délivrer le label, celui-ci est valable pendant une durée de trois ans, conformément à l'article 53-11 de la présente délibération.

» Section 4.- » Vérification du respect du label, retrait et renouvellement

» Paragraphe 1.- » Vérification et retrait d'un label

» Article 53-15

» La commission peut vérifier à tout moment que le produit ou la procédure labellisé respecte les conditions définies dans le référentiel.
» Toute personne ayant recours à un produit ou à une procédure labellisé et qui constaterait que celui-ci ne semble pas conforme au référentiel peut le signaler à la commission.

» Article 53-16

» Si des faits ou des circonstances susceptibles de remettre en cause la conformité d'un produit ou d'une procédure labellisé parviennent à la connaissance de la commission, le président en informe le titulaire qui dispose d'un délai d'un mois pour transmettre ses observations.
» A l'expiration de ce délai d'un mois, si aucune information satisfaisante n'a été communiquée par le titulaire, le président en informe le comité de labellisation qui désigne en son sein un rapporteur. Le rapporteur procède à l'instruction du dossier, assisté des services de la commission. A l'issue de son instruction, il établit un rapport ainsi qu'un projet de délibération qu'il présente en séance plénière.
» La commission réunie en séance plénière peut décider de retirer le label précédemment délivré.

» Article 53-17

» La délibération portant retrait d'un label de la commission est notifiée par lettre remise contre signature, dans un délai de huit jours. Le courrier de notification mentionne les voies et délais de recours.
» Dans le cas contraire, la procédure est close par l'envoi d'une lettre du président ou du vice-président délégué au titulaire du label.

» Paragraphe 2.- » Renouvellement du label délivré à un produit ou à une procédure

» Article 53-18

» Au moins six mois avant la date d'échéance d'un label, son titulaire transmet à la commission une demande de renouvellement à l'aide du formulaire et des annexes préalablement fixés par le président. La demande est instruite conformément aux articles 53-8 à 53-12 de la présente délibération.
» Lorsqu'une demande de renouvellement a été déposée, le label est prolongé jusqu'à ce que la commission se soit prononcée.

» Section 5.- » Publicité

» Article 53-19

» Les décisions de délivrance d'un label, de retrait ou de reconduction d'un label sont rendues publiques.

» Article 53-20

» La commission tient à la disposition du public, sur son site, la liste des produits ou procédures labellisés. Cette liste précise la date à laquelle expire le label ainsi que le nom de son titulaire. «

Article 2

L'article 69 du règlement intérieur est ainsi modifié :

Après les mots : » les recommandations «, sont insérés les mots : » les référentiels aux fins de labellisation de produits ou de procédures «.

Article 3

La présente délibération est publiée au Journal officiel de la République française.

Fait le 8 septembre 2011.

Le président, A. Türk