Rapport OCPD

Département fédéral de justice et police DFJP

Office fédéral de la justice OFJ

Division principale du droit public

Division Projets et méthode législatifs

Commentaire concernant le projet d’ordonnance sur les certifications en matière de protection des données

Le présent projet se fonde sur le nouvel art. 11, al. 2, de la loi fédérale du 24 mars 2006 sur la protection des données (LPD)¹, qui prévoit que le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et l’introduction d’un label de qualité de protection des données. Le projet correspond au cadre fixé dans le message (FF 2203 1915). Il prévoit deux objets de certification : d’une part l’organisation et la procédure de protection des données (système de gestion de la protection des données), d’autre part les produits (programmes et systèmes. Le projet prescrit comme exigence de base que les organismes de certification doivent être accrédités. Cette condition permet d’avoir un contrôle uniforme des certificateurs et de limiter de manière considérable le besoin d’adopter une réglementation. L’ordonnance fixe en outre quelques exigences minimales applicables aux organismes et à la procédure de certification.

Concernant la création d’un label de qualité en matière de protection des données, deux solutions ont été envisagées :

• renoncer à un label de qualité officiel et laisser au seul secteur privé (en particulier aux organismes de certification) le soin de créer des labels que les organismes certifiés seront autorisés à utiliser, en règle générale contre paiement d’une redevance. L’ordonnance ne règlerait alors que les exigences concernant la certification, étant entendu qu’aucun label ne pourrait être utilisé sans que ces exigences soient remplies.

• instaurer un label de qualité officiel, qui pourrait être utilisé par les organismes certifiés sans autre condition. Les certifications ne seraient pas pour autant opérées par un organisme étatique. Ce label officiel serait une sorte de prestation de base offerte par l’Etat et coexisterait avec d’éventuels labels de qualité privés.

Dans un cas comme dans l’autre, il serait possible de confier le label de qualité à une entité mixte (semi-privée, semi-publique). Ce mode d’organisation a été écarté pour des raisons financières.

Un argument fondamental parle en faveur de la première solution (renoncer à un label officiel) : des labels de qualité privés s’inscriraient dans le droit fil de la démarche à l’origine de l’ordonnance. En effet, l’instauration des certifications en