Elles l'ont été et ont permis d'établir le référentiel de sécurité qui a été présenté à la CNIL, qui l'a approuvé en y apportant quelques compléments en matière de contrôle – une fonction essentielle à la sécurisation de tout système d'information. La protection des données ne se décrète pas ; elle doit se démontrer.