Projet OCPD

Protection des données

Art. 2 Procédure d’accréditation

Le Service d’accréditation suisse associe le Préposé fédéral à la protection des données et à la transparence (le préposé) à la procédure d’accréditation et au contrôle.

Art. 3 Organismes de certification étrangers

¹ Après avoir consulté le Service d’accréditation suisse, le préposé reconnaît les organismes de certification étrangers qui veulent exercer des activités sur le territoire suisse, si ces organismes prouvent qu’ils ont une qualification équivalente à celle exigée en Suisse.

² Les organismes de certification doivent notamment prouver qu’ils remplissent les exigences fixées à l’art. 1, al. 3 et 4, et qu’ils connaissent suffisamment la législation suisse sur la protection des données.

³ Le préposé peut accorder la reconnaissance pour une durée limitée et la subordonner à des conditions ou à des charges. Il annule la reconnaissance si des conditions ou des charges essentielles ne sont pas remplies.

Section 2 Objet et procédure de certification

Art. 4 Certification de l’organisation et de la procédure

¹ Peuvent faire l’objet d’une certification :

a. l’ensemble des procédures de traitement des données pour lesquelles un organisme est responsable ;

b. des procédures de traitement déterminées.

² L’évaluation porte sur le système de gestion de la protection des données. Ce dernier comprend notamment:

a. une charte de protection des données;

b. une documentation concernant les objectifs et les mesures visant à garantir la protection et la sécurité des données;

c. les dispositions techniques et organisationnelles nécessaires à la réalisation des objectifs et des mesures fixés et en particulier des mesures visant à éliminer les manquements constatés.

³ Les exigences minimales qu’un système de gestion de la protection des données doit remplir sont régies par les normes internationales relatives à l’installation, l’exploitation, la surveillance et l’amélioration de systèmes de gestion, en particulier par rapport à la sécurité des données (norme ISO 27001:2005).

⁴ L’exception à l’obligation de déclarer prévue à l’art. 11a, al. 5, let. f, LPD ne s’applique que si l’organisme certifié a obtenu une certification pour l’ensemble des procédures de traitement portant sur les données du fichier à déclarer.