Le code de conduite : utilité et fonctionnement

Définition du code de conduite

Selon l’OCDE, le code de conduite se définit comme un « engagement souscrit volontairement par une entreprise, association ou autre entité qui fixe des normes et des principes pour la conduite des activités des entreprises sur le marché ». En somme, il s’agit d’outils permettant de se conformer aux règles du RGPD et de le démontrer (Accountability). Ces codes de conduites ont notamment pour objet d’harmoniser les pratiques en la matière dans un secteur d’activité donné. Ils intègrent les exigences du RGPD, mais peuvent parfois aller au-delà, tenant compte des bonnes pratiques du secteur.

Le contenu du code de conduite

Qui élabore son contenu ?

Le code de conduite est mis en place par une entité représentative d’un secteur d’activité. Dès lors, son élaboration repose sur une démarche provenant d’une fédération, d’une association ou organisme représentant le secteur. C’est ce qu’on appelle une organisation « porteur de code ». Par exemple, il existe un code de conduite des fournisseurs d’infrastructures cloud, porté par le CISPE.

Les services de la CNIL accompagnent les rédacteurs de codes de conduite. Elle peut apporter des conseils lors de la phase d’élaboration de ce dernier. Sur son site web, la CNIL propose de soumettre vos projets de code afin de donner son avis.

Quel est le contenu du code de conduite ?

Le contenu du code de conduite est dicté par le RGPD et les lignes directrices du CEPD. Il existe des obligations concernant le contenu du code de conduite :

• Il doit répondre aux questions et besoins spécifiques en matière de traitement et protection des données du secteur particulier auquel il est destiné à s’appliquer ;
• Il doit être compréhensible, pratique et doit faciliter l’application effective des règles en vigueur par les adhérents du secteur ;
• Il doit décrire des solutions concrètes et opérationnelles afin de permettre aux adhérents de se conformer au mieux au RGPD ;
• Le code de conduite prévoit des garanties qui limitent les risques relatifs au traitement de données personnelles par les adhérents ;
• Il doit établir des mécanismes de contrôle afin de s’assurer de son application effective par les adhérents. Cela concerne notamment l’organisme en charge du contrôle.

Il existe d’autres éléments obligatoires. Afin de tous les connaitre, rendez-vous sur l’article 40 du RGPD, et sur les lignes directrices 1/2019 relatives aux codes de conduite et aux organismes de suivi au titre du règlement (UE) 2016/679.

Faire approuver son code de conduite

Au niveau national

Le porteur de code de conduite doit saisir la CNIL. Il transfert son projet de code, auquel il sera accusé réception si le dossier est complet. Dès l’envoi, un délai de quatorze mois commence à courir avant une éventuelle approbation. La CNIL analysera le projet de code et échangera avec le porteur afin de répondre au mieux aux exigences.

Au niveau européen

Il faut saisir l’autorité compétente au niveau national (En France, la CNIL), aux fins d’analyses et d’échanges concernant le projet. Ensuite, le dossier sera transféré à deux autorités de contrôle qui procéderont à l’analyse du projet et le commentant. Troisièmement, il faudra que le projet soit communiqué à toutes les autorités de contrôle concernées par le code de conduite en question.

Afin, la CNIL transfère le projet au CEPD pour avis, lequel sera soumis à la Commission européenne qui aura le pouvoir de prononcer l’application du code de conduite au sein de l’Union Européenne.

Le contrôle du code de conduite

Lors de l’élaboration de ce document, le porteur du code doit mettre en place un suivi une fois qu’il a été approuvé. Selon le RGPD, cette tâche peut être confiée à un organisme spécifique dont la mission ne doit pas interférer avec celle des autorités de contrôle. Il est possible de constituer un comité interne au sein de l’entité responsable du code, ou de faire appel à un ou plusieurs organismes tiers.

Le code de conduite doit décrire les mécanismes aidant à l’organisme de contrôle d’accomplir ses missions. L’organisme se basera sur ces mécanismes, notamment pour :

• Effectuer des audits préalables à l’adhésion au code de conduite, ainsi que des audits réguliers après l’adhésion, dans le but de vérifier la bonne application du code par les adhérents ;
• Traiter les réclamations relatives aux violations du code ou à la manière dont le code a été ou est appliqué par un responsable de traitement ou un sous-traitant ;
• Prendre des mesures appropriées en cas de violation du code ;
• Mettre à jour le code de conduite.

Les avantages du code de conduite

Le code de conduite apporte divers avantages aux entreprises qui y adhèrent, notamment :

• Une meilleure image de l’entreprise ;
• Démontrer sa conformité au RGPD ;
• Une harmonisation des bonnes pratiques avec les autres acteurs du secteur ;
• Disposer d’un outil simple afin d’améliorer sa conformité au RGPD.