Rapport OCPD

Le guide ISO/CEI 62 (la future norme ISO/IEC 17021⁴) prévoit déjà cette sanction (ch. 3.7.3 de la remarque 6), qui représente un principe essentiel de l’accréditation. Il s’agit en fait d’une disposition déclaratoire qui doit être énoncée dans l’ordonnance pour des raisons de clarté. Par conséquent, les modalités relatives à la suspension et à la révocation ne sont pas réglées dans l’ordonnance. Il convient en outre de relever que cette disposition ne confère pas au certificateur la compétence de rendre une décision. L’al. 2 prescrit enfin qu’en cas de litige, la procédure et le droit au fond sont régis par les dispositions légales applicables aux contrats.

10 Procédure applicable aux mesures de surveillance du préposé (art. 10)

La certification en matière de protection des données concerne en premier lieu les rapports juridiques entre particuliers, qui relèvent principalement du droit privé. Cela correspond au concept d’autorégulation : la certification vise à utiliser les mécanismes du marché pour améliorer la mise en œuvre du droit de la protection des données.

Le préposé ne doit donc pas empiéter directement sur ces rapports de droit privé. S’il constate, dans le cadre de son activité de surveillance, des manquements graves, il doit avoir la possibilité d’intervenir afin de faire respecter les prescriptions légales applicables. L’art. 10 définit la procédure. En vertu de cette disposition, le préposé ne peut toutefois pas suspendre ou révoquer lui-même la certification.

Si le préposé constate que des conditions essentielles de la certification ne sont pas respectées ou que le certificat est utilisé de manière abusive ou trompeuse, il doit tout d’abord s’adresser à l’organisme de certification compétent et l’informer des manquements constatés (al. 1). Il incombe à l’organisme de certification d’intervenir auprès de l’organisme certifié en l’invitant à prendre les mesures nécessaires afin de remédier à la situation dans un délai de 30 jours. Si ce dernier n’est pas en mesure d’y donner suite dans le délai fixé, l’organisme de certification suspend la certification (al. 3). Une fois le délai de 30 jours écoulé, il révoque la certification si l’organisme certifié n’est pas en mesure de remédier à la situation dans un délai convenable. Par délai convenable, on entend une durée maximale de trois mois.

Si l’organisme certifié ne remédie pas à la situation dans le délai fixé et si l’organisme de certification ne suspend ni ne révoque la certification, le préposé établit une recommandation au sens des art. 27, al. 4, et 29, al. 3, LPD. La recommandation est adressée à l’organisme de certification ou à l’organisme certifié, selon que la responsabilité des défauts incombe à l’un ou à l’autre. Si la recommandation est adressée à l’organisme de certification, le Service d’accréditation suisse doit en être informé en tant qu’autorité de surveillance. Si la recommandation n’est pas suivie ou si elle est rejetée, le préposé peut saisir les