Section 2 Objets et procédure de certification

¹Peuvent faire l’objet d’une certification:

a.

les systèmes de gestion;

b.

les produits, les services et les processus.

²La certification des systèmes de gestion peut porter sur l’ensemble du système, sur certaines parties de l’organisation ou sur certaines procédures déterminées.

³La certification des produits, des services et des processus peut porter sur:

a.

les produits servant principalement au traitement de données personnelles ou générant, lors de leur utilisation, des données personnelles;

b.

les services ou les processus servant principalement au traitement de données personnelles ou générant des données personnelles.

¹Le programme de certification doit au moins régler:

a.

les critères d’évaluation ainsi que les exigences en découlant que doivent respecter les objets à certifier;

b.

les modalités du déroulement de la procédure, notamment les mesures à prendre si des irrégularités sont constatées.

²Lors de l’élaboration du programme de certification, il doit être tenu compte des points suivants:

a.

les données personnelles à traiter;

b.

les infrastructures électroniques utilisées pour le traitement des données personnelles;

c.

les mesures organisationnelles liées au traitement des données personnelles.

³Les critères d’évaluation doivent respecter tous les principes de l’art. 6 LPD.

⁴Le programme de certification doit respecter les normes applicables selon l’annexe 2 de l’OAccD³, ainsi que d’autres normes techniques applicables.

¹L’évaluation du système de gestion porte notamment sur:

a.

la politique en matière de protection des données;

b.

la documentation concernant les objectifs, les risques et les mesures visant à garantir la protection et la sécurité des données;

c.

les dispositions techniques et organisationnelles nécessaires à la mise en œuvre des objectifs et des mesures fixés, notamment pour remédier aux manquements.

²Le PFPDT émet des directives sur les exigences minimales qu’un système de gestion doit remplir. Il tient compte des critères internationaux relatifs à l’installation, à l’exploitation, à la surveillance et à l’amélioration de tels systèmes et en particulier des normes techniques suivantes⁴:

a.

SN EN ISO 9001, systèmes de management de la qualité, exigences;

b.

SN EN ISO/IEC 27001, technologies de l’information, techniques de sécurité, système de management de la sécurité de l’information, exigences;

c.

SN EN ISO/IEC 27701, techniques de sécurité, extension d’ISO/IEC 27001 et ISO/IEC 27002 au management de la protection de la vie privée, exigences et lignes directrices.

¹L’évaluation des produits, des services et des processus permet notamment de garantir:

a.

la confidentialité, l’intégrité, la disponibilité et la traçabilité des données personnelles traitées;

b.

la prévention de tout traitement de données personnelles inutile au vu des finalités du produit, du service ou du processus;

c.

la transparence du traitement des données personnelles;

d.

les mesures techniques permettant à l’utilisateur de respecter d’autres principes et obligations en matière de protection de données, notamment les droits des personnes concernées.

²Le PFPDT émet des directives fixant d’autres critères en matière de protection des données dont il doit être tenu compte lors de l’évaluation.

¹L’organisme de certification certifie le système de gestion, le produit, le service ou le processus si les exigences prévues par le droit de la protection des données et les conditions prévues par la présente ordonnance, par les directives émises par le PFPDT ou par toute autre norme équivalente sont respectées. L’octroi de la certification peut être assorti de charges.

²La durée de validité de la certification est de trois ans. Chaque année, l’organisme de certification vérifie que les conditions de la certification sont remplies.

Après avoir consulté le SAS, le PFPDT reconnaît les certifications étrangères, pour autant que le respect des exigences de la législation suisse soit garanti.

Le responsable du traitement privé ne peut renoncer à établir une analyse d’impact relative à la protection des données personnelles, conformément à l’art. 22, al. 5 LPD, que si la certification inclut le traitement pour lequel il y aurait lieu de procéder à l’analyse d’impact.