GDPR : une obligation pour tous, une certification seulement pour les traitements.
Le GDPR s’applique à quiconque traite des données personnelles. Il n’existe pas de « certification GDPR » de l’entreprise : l’art. 42 prévoit des certifications volontaires des traitements, avec des schémas approuvés. Europrivacy a été le premier label européen approuvé par l’EDPB, et en Italie Accredia accrédite les organismes qui le délivrent.
Ce que c’est
Des données traitées sur une base légale, protégées, et des droits respectés.
Le GDPR fixe les règles pour traiter les données personnelles : principes, bases juridiques, droits des personnes concernées, sécurité, transferts hors de l’Union. Une certification au titre de l’art. 42 porte sur les traitements, pas sur l’entreprise dans son ensemble, et ne réduit pas la responsabilité du responsable du traitement.
À qui elle sert
- Quiconque traite des données personnelles de clients, de salariés ou de patients
- Ceux qui traitent des données pour le compte d’autrui, en tant que sous-traitants
- Ceux qui veulent démontrer un traitement avec une certification approuvée
- Ceux qui ont l’ISO/IEC 27001 et veulent savoir ce qu’elle couvre et ce qu’elle ne couvre pas
Ce qu’il exige, et ce que vous risquez
Sanctions jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les principes, les bases juridiques, les droits et les transferts ; jusqu’à 10 millions ou 2 % pour les autres obligations.
Reg. (UE) 2016/679, art. 83(4) et 83(5)Une certification approuvée peut servir au responsable du traitement pour démontrer qu’il respecte ses obligations, et l’autorité en tient compte quand elle décide d’une sanction.
Reg. (UE) 2016/679, art. 24(3) et art. 83(2)(j)Europrivacy a été le premier label européen approuvé par l’EDPB ; en Italie, Accredia accrédite les organismes qui le délivrent.
EDPB, avis 28/2022; Accredia, Europrivacy
Le parcours
Ce que vous devez faire, dans l’ordre.
- 1
Cartographier les traitements
Quelles données, de qui, pour quoi, sur quelle base juridique et pour combien de temps.
- 2
Mesures de sécurité
Des mesures techniques et organisationnelles adaptées au risque, et les analyses d’impact là où elles sont nécessaires.
- 3
Droits et violations
Des réponses aux personnes concernées dans les délais, et les violations de données notifiées au Garante sous 72 heures quand c’est nécessaire.
- 4
La certification, si vous la voulez
Pour des traitements précis, avec un schéma approuvé au titre de l’art. 42 et un organisme accrédité. Elle dure trois ans au maximum.
10ISO
Comment 10ISO vous aidera
Le travail qui se répète, ce sont les agents qui le feront ; les décisions restent à vous et à ceux qui vous accompagnent. 10ISO arrive bientôt : voici ce que nous construisons.
- Registre des traitements, désignations et analyses d’impact : ils arriveront avec 10DPO, l’extension de 10Safety pour la protection des donnéesBientôt disponible
- Les preuves en commun avec l’ISO/IEC 27001, chargées une foisBientôt disponible
- Les violations de données enregistrées avec les délais de notificationBientôt disponible
- Le parcours vers une certification au titre de l’art. 42, traitement par traitementBientôt disponible
Questions
Les premières questions que l’on pose sur GDPR.
Existe-t-il une « certification GDPR » de l’entreprise ?
Non : on certifie les traitements, avec des schémas approuvés au titre de l’art. 42. Europrivacy a été le premier label européen approuvé par l’EDPB, et en Italie Accredia accrédite les organismes qui le délivrent.
Si je suis certifié, est-ce que j’évite les sanctions ?
Non : la certification ne réduit pas la responsabilité du responsable du traitement. L’autorité en tient toutefois compte quand elle décide du montant d’une sanction.
ISDP©10003 vaut-elle comme certification GDPR ?
C’est un schéma accrédité par Accredia, mais au 28/09/2026 il ne figure pas dans le registre de l’EDPB des mécanismes approuvés au titre de l’art. 42 : il n’a donc pas cette valeur.
Sources
Chaque référence de cette fiche provient de l’une de ces sources, vérifiées le 28/09/2026. Si une loi ou une norme change, la fiche est mise à jour.
Sources
- Regulation (EU) 2016/679, GDPR (EUR-Lex) (s’ouvre dans un nouvel onglet)
- Garante privacy — certificazione e accreditamento (s’ouvre dans un nouvel onglet)
- EDPB — Opinion 28/2022 on the Europrivacy criteria of certification (s’ouvre dans un nouvel onglet)
- EDPB — Register of certification mechanisms, seals and marks (s’ouvre dans un nouvel onglet)
- Accredia — Europrivacy (s’ouvre dans un nouvel onglet)
- Accredia — protezione dei dati personali (ISDP©10003) (s’ouvre dans un nouvel onglet)
Liste d’attente
Nous vous écrirons quand 10ISO ouvrira.
Une minute : qui vous êtes, votre e-mail et la norme qui vous intéresse. Ce n’est pas un abonnement et nous ne vous demandons pas de carte.