Article 42 RGPD : vérifier une certification

Un logo « certifié RGPD » ne répond pas à la question d’un acheteur : quel traitement a été évalué, selon quels critères et avec quelles exclusions ? Avant de retenir un prestataire, demandez le certificat complet et sa référence vérifiable. Une certification peut apporter une preuve utile, sans dispenser de lire le contrat ni de comprendre le service.

Ce que l’article 42 permet de certifier

Les mécanismes de l’Art. 42 portent sur les opérations de traitement des responsables du traitement et des sous-traitants. La démarche est volontaire. Elle repose sur des critères approuvés par l’autorité compétente ou, pour un label européen, par le CEPD. Une certification ne réduit pas la responsabilité de l’organisme concerné ni les pouvoirs des autorités. Source : RGPD, Art. 42(1), (3)–(5).

La bonne unité de lecture est donc le périmètre du certificat : service, version, entité juridique, opérations et rôle. Une certification portant sur un produit d’hébergement ne couvre pas nécessairement les autres outils du groupe. Une attestation de formation du DPO ou une certification de sécurité n’est pas, à elle seule, une certification des traitements au sens de cet article.

Les mécanismes ont évolué en 2026

Le registre du CEPD distingue notamment le mécanisme Europrivacy ordinaire de son Data Importer Extension. Les entrées du 6 août 2026 indiquent que l’extension constitue un outil pour les transferts, alors que le mécanisme ordinaire n’a pas cette fonction. Le registre comporte aussi d’autres mécanismes, dont EuroPriSe et BC 5701:2024. Il est donc inexact de présenter Europrivacy comme l’unique certification approuvée ou d’affirmer qu’aucun mécanisme de certification pour les transferts n’existe. Source : registre officiel du CEPD, critères et portée de chaque mécanisme.

La CNIL avait annoncé en avril 2026 l’approbation des critères du premier outil de certification pour les transferts, destiné aux importateurs hors de l’Union non soumis au RGPD. Cette évolution ne signifie pas que tout certificat Europrivacy autorise désormais tous les transferts. Source : CNIL, avis Europrivacy du 22 avril 2026.

Pour un achat, vérifiez le nom exact du mécanisme et sa version. Puis rapprochez-les du certificat du fournisseur : l’approbation d’un référentiel n’est pas la certification de chaque entreprise qui le cite.

Sept éléments à contrôler dans le certificat

L’article 43 sur les organismes de certification permet de vérifier l’émetteur. Si le vendeur présente plutôt une adhésion à un code de conduite de l’article 40, demandez les preuves propres à ce dispositif.

Durée et surveillance : prévoir le suivi dès l’achat

Le certificat est délivré pour une durée maximale de trois ans. Il peut être renouvelé si les conditions restent remplies et retiré lorsque celles-ci ne le sont plus. Ce plafond ne signifie pas que tous les certificats ont systématiquement trois ans de validité. Source : RGPD, Art. 42(7).

La CNIL décrit une procédure comprenant la demande, l’évaluation, la décision puis la surveillance selon le mécanisme applicable. Des changements importants peuvent nécessiter un examen complémentaire. Il faut donc demander les règles du programme, sans présenter un audit annuel identique comme une obligation universelle. Source : CNIL, procédure de certification.

Dans votre dossier fournisseur, inscrivez la date d’expiration, la personne chargée de la vérification et les événements déclenchant une revue : modification du service, nouveau pays d’hébergement ou changement du traitement certifié. Demandez au fournisseur de vous informer d’une suspension ou d’un retrait pertinent pour votre contrat.

Certification et transferts : vérifier aussi les engagements

Pour utiliser une certification comme garantie de transfert, les conditions des Art. 42(2) et 46(2)(f) doivent être remplies, avec les engagements contraignants et exécutoires de l’importateur. Identifiez les opérations et les destinations couvertes, ainsi que les garanties offertes aux personnes. Le choix doit être documenté dans votre analyse des garanties de l’article 46.

Pour les autres obligations, conservez le contrat de sous-traitance, l’analyse des risques et les éléments expliquant l’usage que vous faites du service. Une certification constitue une pièce de ce dossier ; elle ne résout pas une finalité illicite décidée par votre propre entreprise.

Lire un dossier de certification sans dépasser ce qu’il prouve

Voici un exemple entièrement fictif, qui ne correspond à aucun certificat commercial. L’entreprise Gentiane souhaite utiliser le service de gestion de dossiers Nacre. Le fournisseur lui remet une présentation commerciale, un certificat et une annexe de périmètre. Le projet d’achat comprend le service principal et un module facultatif de rapprochement des documents.

L’équipe doit rapprocher les pièces du besoin réel. Le certificat ne se lit pas isolément du devis, des opérations effectuées et des accès accordés. Une couverture étroite mais clairement établie peut être utile ; une promesse générale sans périmètre ne permet pas la même appréciation.

Une fiche de rapprochement renseignée

La date du scénario est illustrative. Elle montre pourquoi « encore valable sur le papier » et « statut effectivement vérifié » sont deux constats différents. Notez la source consultée, la date de la vérification et le résultat. Si le statut reste introuvable, sollicitez l’organisme émetteur par un canal identifiable plutôt que de considérer le silence comme une confirmation.

La conclusion provisoire peut être : « Le certificat présenté concerne le service principal décrit dans son annexe. La correspondance d’identité, le statut et l’habilitation de l’émetteur restent à confirmer. La couverture du module de rapprochement n’est pas établie. » Une telle note rend les questions ouvertes visibles au décideur.

Ce que l’acheteur doit encore vérifier lui-même

Même lorsqu’un certificat pertinent est confirmé, le choix de votre usage reste à examiner. Un outil de gestion de dossiers peut être utilisé pour une finalité légitime ou pour une collecte disproportionnée. Le certificat du fournisseur ne choisit pas votre base légale et ne détermine pas les personnes auxquelles vous donnez accès.

Dans le cas Gentiane, décrivez donc les catégories de dossiers, les données effectivement importées, les utilisateurs et les sorties attendues. Rapprochez-les des instructions et garanties contractuelles. Si le service accepte des champs libres, leur existence technique ne signifie pas que toute information saisie serait nécessaire ou licite.

L’Art. 28(5) permet de tenir compte d’un mécanisme approuvé pour apprécier les garanties du sous-traitant. Cette utilité doit rester visible dans la décision : préciser la pièce prise en compte et les opérations auxquelles elle se rapporte, puis identifier les obligations restant à organiser entre les parties. Il n’est pas nécessaire d’ignorer la certification pour éviter de lui attribuer une portée excessive.

Préparer un changement de service ou un renouvellement

Avant l’activation du module facultatif, demandez ce qui change : opérations, données utilisées, autres prestataires, destinations et instructions. Demandez ensuite si ces changements entrent dans le périmètre évalué et quelle pièce le démontre. Une nouvelle page commerciale reprenant l’ancien logo ne répond pas à cette question.

Une absence de couverture par le certificat ne signifie pas automatiquement que le module est illicite. Elle signifie que cette preuve ne suffit pas pour l’évaluer. L’entreprise peut demander d’autres garanties et apprécier les exigences applicables ; elle ne doit pas présenter le module comme certifié tant que cela n’est pas établi.

Pour l’échéance, prévoyez une revue avant la fin de validité, avec un délai interne adapté au temps nécessaire pour examiner les documents. Une demande de renouvellement en cours n’équivaut pas, à elle seule, à un nouveau certificat délivré. Si la validité expire, actualisez la note fournisseur et les engagements qui en dépendaient, puis décidez des suites à partir des garanties réellement disponibles et du contrat.

Distinguer trois documents pour un transfert

Un dossier de transfert fondé sur la certification doit permettre de retrouver trois éléments distincts : le mécanisme approuvé pour cet usage, le certificat de l’importateur concernant les opérations en cause, et ses engagements contraignants et exécutoires. Une capture du registre européen ne constitue pas le certificat particulier du destinataire.

Le registre aide à éviter une confusion entre mécanisme ordinaire et mécanisme destiné aux importateurs. Il faut ensuite examiner la correspondance avec le transfert envisagé et les conditions de l’article 46. Le simple ajout d’une annexe intitulée « transfert » au contrat ne transforme pas un certificat ordinaire en certification utilisable à cette fin.

Conservez enfin une description du flux réellement retenu et des éléments qui justifient les garanties. Si le destinataire, les opérations ou les accès changent, réexaminez la pertinence du dossier. La certification doit rester liée au traitement qu’elle contribue à documenter, et pas seulement figurer dans une bibliothèque de pièces commerciales.

Ce qu’il faut retenir

• Vérifiez le certificat du traitement acheté et la compétence de son émetteur.
• Sa durée maximale est de trois ans, sous réserve du maintien des conditions.
• En 2026, il faut distinguer Europrivacy ordinaire et son extension pour les transferts.
• La certification ne dispense ni du contrat ni de l’analyse des responsabilités.

FAQ

Une PME doit-elle obtenir une certification RGPD ?

L’article 42 organise une démarche volontaire. Son intérêt dépend du traitement, des attentes contractuelles et de la preuve recherchée ; le RGPD n’impose pas un certificat général à toutes les PME.

Une certification empêche-t-elle une sanction de la CNIL ?

Non. Elle ne réduit pas la responsabilité prévue par le règlement et ne retire aucun pouvoir à la CNIL. Le respect effectif des obligations reste déterminant.

Un logo Europrivacy suffit-il pour transférer des données ?

Non. Il faut vérifier le mécanisme exact, le certificat, le périmètre et les engagements applicables au transfert. Le registre européen distingue expressément les versions utilisables comme outil de transfert.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.