Certification RGPD : une entreprise ou un logiciel peut-il être certifié conforme ?

Beaucoup de dirigeants se demandent s'ils peuvent faire « certifier RGPD » leur entreprise, comme on fait certifier un système qualité. La réponse est oui, mais avec deux limites importantes : la certification porte sur un objet précis (un logiciel, un service, un processus, un traitement de données), pas sur l'entreprise entière, et elle ne dispense d'aucune obligation.

Cet article traite de la certification d'un produit, d'un service ou d'une organisation. Pour la certification d'une personne, consultez notre article sur la certification des compétences du DPO.

Ce que prévoit le RGPD

Le RGPD consacre deux articles à la certification. L'article 42 demande aux autorités d'encourager des mécanismes de certification, des labels et des marques, qui servent à démontrer que des traitements de données respectent le règlement. L'article 43 fixe les règles pour les organismes qui délivrent ces certifications.

Volontairele recours à la certification n'est pas obligatoire (article 42, paragraphe 3)

3 ansau maximum : la durée de validité d'une certification, renouvelable (article 42, paragraphe 7)

5 ansau maximum : la durée de l'agrément d'un organisme certificateur (article 43, paragraphe 4)

Le texte ajoute plusieurs règles utiles :

la certification est délivrée par un organisme certificateur agréé, ou par l'autorité de contrôle, selon des critères approuvés par cette autorité ou par le Comité européen de la protection des données (CEPD) ;
en France, l'organisme est agréé par la CNIL, ou par le Cofrac (l'organisme national d'accréditation) lorsque la CNIL le prévoit ;
la certification peut être retirée si les critères ne sont plus respectés ;
quand le CEPD approuve des critères pour toute l'Union, la certification peut prendre la forme d'un « label européen de protection des données » ;
le CEPD tient un registre public de tous les mécanismes de certification, labels et marques (article 42, paragraphe 8).

Que peut-on faire certifier ?

Avant toute démarche, il faut définir l'objet de la certification. La CNIL donne plusieurs exemples :

Un produit

Un éditeur peut faire certifier son logiciel.

Un service

Une banque peut faire certifier son service en ligne de gestion des comptes.

Un processus ou un traitement

Par exemple le processus d'authentification d'un site de commerce en ligne, ou un ou plusieurs traitements de données.

La CNIL précise aussi qu'une PME qui utilise un logiciel certifié ne peut pas en déduire que sa propre gestion de la clientèle est certifiée. Seule une certification obtenue par l'entreprise elle-même couvre ses propres traitements. Enfin, la certification n'est possible que si l'objet entre dans le champ d'un mécanisme approuvé.

Les certifications disponibles en 2026

La CNIL publie la liste des mécanismes de certification approuvés. À la date de consultation, le 6 novembre 2026, on y trouve, pour les entreprises et les organismes :

Europrivacy Un label européen approuvé par le CEPD en octobre 2022 (avis 28/2022). Il s'adresse aux responsables de traitement et aux sous-traitants, publics ou privés, établis dans l'Union. Selon la CNIL, les candidatures sont possibles auprès d'un organisme certificateur figurant sur sa liste.

Certification RGPD Lexing Un mécanisme national approuvé par la CNIL, pour les responsables de traitement établis en France, ou dans un autre pays de l'Union s'ils visent des personnes en France. La CNIL indique qu'il n'est pas encore possible de candidater : aucun organisme certificateur n'est encore accrédité.

La CNIL signale aussi une certification destinée aux sous-traitants, encore en cours d'examen par le CEPD, ainsi qu'une certification des prestataires de formation à la protection des données. Le registre du CEPD recense par ailleurs d'autres labels européens, comme EuroPriSe ou BC 5701:2024, et des mécanismes nationaux approuvés dans d'autres pays.

Mars 2018La CNIL cesse de traiter les demandes de labels. Les labels qu'elle délivrait avant le RGPD restent valables jusqu'à leur échéance, puis laissent place à la certification par des organismes agréés.
Octobre 2022Le CEPD approuve les critères Europrivacy comme label européen de protection des données.
Janvier 2026La certification RGPD Lexing, approuvée par la CNIL, est publiée au registre du CEPD.
Avril 2026Le CEPD approuve une extension d'Europrivacy utilisable pour encadrer des transferts de données hors de l'Union (avis 15/2026). C'est la première fois qu'un label européen est reconnu pour cet usage.

Les codes de conduite, une autre voie

L'article 40 du RGPD prévoit une autre forme de reconnaissance : le code de conduite. Il est rédigé par une fédération ou une association professionnelle pour un secteur, puis approuvé par l'autorité de contrôle. Une entreprise y adhère, et un organisme de contrôle agréé par la CNIL vérifie qu'elle respecte ses engagements.

En France, la CNIL a approuvé trois codes : celui de CISPE pour les fournisseurs d'infrastructure cloud (2021), celui d'EUCROF pour les prestataires de recherche clinique (2024) et celui de l'Alliance du Commerce pour le commerce de détail (février 2026). Si votre secteur dispose d'un code, c'est souvent une voie plus adaptée qu'une certification.

ISO 27001 et ISO 27701 : utiles, mais pas des certifications RGPD

Deux normes internationales sont souvent citées à propos du RGPD :

ISO/IEC 27001 fixe les exigences d'un système de management de la sécurité de l'information ;
ISO/IEC 27701, dont la deuxième édition date d'octobre 2025, fixe les exigences d'un système de management de la protection de la vie privée. L'ISO la présente comme une aide pour démontrer le respect de réglementations comme le RGPD.

Ces normes peuvent structurer une démarche de conformité. Mais elles ne figurent ni sur la liste des mécanismes approuvés par la CNIL, ni au registre du CEPD. Une certification ISO 27001 ou ISO 27701 n'est donc pas, à ce jour, une certification au sens de l'article 42 du RGPD.

Ce qu'une certification ne prouve pas

Une certification ne dispense d'aucune obligation. Selon l'article 42, paragraphe 4, elle ne diminue pas la responsabilité du responsable de traitement ou du sous-traitant, et ne limite pas les pouvoirs de la CNIL. La CNIL rappelle qu'un organisme certifié peut toujours être sanctionné, et qu'un référentiel ne couvre pas toutes les obligations du RGPD.

La certification démontre la conformité sur un périmètre précis : celui de l'objet certifié. Le registre des traitements, l'information des personnes, la sécurité des autres traitements ou la désignation d'un DPO quand elle est obligatoire restent à la charge de l'entreprise.

Prudence aussi avec certains « certificats RGPD » proposés en ligne, par exemple après un simple questionnaire. Ils peuvent avoir un intérêt pédagogique, mais seuls les mécanismes approuvés par la CNIL ou par le CEPD relèvent de l'article 42. Avant de payer, vérifiez :

Le mécanisme est-il approuvé ?Il doit figurer sur la liste des mécanismes de certification approuvés publiée par la CNIL, ou au registre du CEPD.
L'organisme est-il agréé ?Il doit être agréé ou accrédité pour ce mécanisme précis. La CNIL publie la liste des organismes qui délivrent les certifications.
Quel est le périmètre ?Le certificat doit indiquer clairement le produit, le service ou les traitements couverts.
Quelle durée ?Une certification au sens du RGPD vaut trois ans au plus et prévoit un suivi pendant cette période.

En résumé

Le RGPD permet de certifier un produit, un service, un processus ou des traitements, pas une entreprise dans son ensemble.
La certification est volontaire, délivrée par un organisme agréé, pour trois ans au maximum.
En 2026, Europrivacy est un label européen approuvé par le CEPD. La certification RGPD Lexing, approuvée par la CNIL, n'est pas encore accessible faute d'organisme accrédité.
ISO 27001 et ISO 27701 ne sont pas, à ce jour, des certifications au sens de l'article 42.
Aucune certification ne dispense des obligations du RGPD.

Pour faire le point sur votre conformité avant toute certification, consultez les prestataires d'audit RGPD ou le classement des DPO externes. Pour la certification d'une personne, lisez notre article sur la certification DPO.

Sources (consultées le 6 novembre 2026) : RGPD, articles 40, 42 et 43 (texte publié par la CNIL, « Chapitre IV : Responsable du traitement et sous-traitant ») ; CNIL, « Liste des mécanismes de certification approuvés » (mise à jour du 14 janvier 2026) ; CNIL, « Qu'est-il possible de faire certifier ? » ; CNIL, « Ce qu'il faut savoir sur la certification » ; CNIL, « Comment obtenir une certification ? » ; CNIL, « Transition vers le RGPD : des labels à la certification » (23 février 2018) ; CNIL, « Liste des codes de conduite approuvés par la CNIL » ; CEPD, « Avis 28/2022 sur les critères de certification Europrivacy » (10 octobre 2022) ; CEPD, « Opinion 15/2026 on the Europrivacy certification criteria regarding their approval by the Board as European Data Protection Seal to be used as tool for transfers pursuant to Articles 42 and 46 GDPR » ; CEPD, registre « Certification mechanisms and data protection seals and marks » ; ISO, fiches « ISO/IEC 27701:2025 » et « ISO/IEC 27000 ».