Critère 3 : Protection des données et activité formation
Publié le 5 mai 2022
Mis à jour le 21 février 2023
Le niveau attendu
Le prestataire définit, met en œuvre et maintient à jour des procédures permettant de démontrer le respect des règles relatives à la protection des données pour les traitements qu’il met en œuvre dans le cadre de son activité de formation à la protection des données à caractère personnel. Est notamment couverte par ces procédures la mise en œuvre des mesures de protection des données dans le cadre des traitements de données réalisés pour :
- l’évaluation des compétences des intervenants et des apprenants ;
- les actions de communication du prestataire à destination du public.
Les exemples de preuves
- Tout document ou preuve permettant de justifier d’une procédure de mise en œuvre et de révision d’une politique de protection des données à caractère personnel : politique datée et signée par le responsable, synthèse de l’avancée du plan d’actions, ordre du jour et relevé des décisions des réunions de gouvernance de la protection des données à caractère personnel, etc.
- Tout document ou preuve permettant de justifier d’une procédure liée à la tenue d’un registre des activités de traitement : registre, fiche de poste ou contrat prévoyant la mission de tenue du registre, sensibilisation/formation du personnel à l’identification des nouvelles activités de traitement, etc.
- Mentions d’informations utilisées dans le cadre des actions de communication faisant la promotion des formations à la protection des données à caractère personnel : formulaire de demande d’informations, courriers, courriels, etc.
- Pour le traitement des données à caractère personnel des apprenants, formateurs et concepteurs : support type de contractualisation, formulaires de renseignement, fiches d’évaluation, etc.
- Pour les mesures de protection appliquées à l’activité réalisée par les formateurs : fiches transmises aux formateurs pour la personnalisation de leurs interventions, charte de confidentialité, guide à destination des formateurs pour l’application des mesures de protection des données à caractère personnel prévues par le prestataire, etc.
Les modalités d’évaluation
Examen documentaire (politique de protection des données, registre, documentation client et documentation formateur), vérification des mentions d’informations du site internet du prestataire et d’au moins 1 autre type de support de communication disponible, entretien avec le délégué à la protection des données ou avec la personne chargée de la mise en œuvre de la politique de protection des données.
