Rapport OCPD

matière de protection des données vise à améliorer l’application du droit en la matière par des mesures privées, l’activité de contrôle étant en partie « privatisée ». En outre, cette solution aurait l’avantage de favoriser l’initiative privée sur ce point. Enfin, sur le plan de la densité normative, l’ordonnance s’en trouverait allégée. Côté inconvénients, il existe un risque de voir apparaître une multitude de labels, ce qui nuirait à la transparence du marché. Des difficultés pourraient également se faire jour au cas où le titulaire d’un label ne remplirait pas (ou plus) les exigences légales.

Un label de qualité officiel pourrait indirectement empêcher ce foisonnement des labels. Il serait également accessible à tous les organismes certifiés, ce qui n’est pas absolument garanti par la première solution. En outre, la certification reviendrait moins cher car ni l’organisme certificateur ni l’organisme certifié ne devraient payer de redevance pour le label. Cette solution présente toutefois deux inconvénients majeurs : d’une part, elle fait intervenir l’Etat dans un domaine qui relève aujourd’hui entièrement du secteur privé ; d’autre part, elle accroît la densité normative.

Après avoir mis en balance les avantages et les inconvénients de ces deux solutions, on a donné la préférence à la première, dont les avantages l’emportent sur des inconvénients somme toute hypothétiques.

1 Exigences concernant les organismes de certification (art. 1)

Les conditions que les organismes de certification doivent remplir découlent principalement des guides ISO/CEI 62 (ISO/CEI 17021 nouveau) et 65 (qui deviendra prochainement également une norme ISO), dont l’application est prévue à l’art. 7, al. 1, et à l’annexe 2 de l’ordonnance sur l’accréditation et la désignation (OAccD ; RS 946.512). Ces normes fixent notamment l’exigence de l’indépendance et règlent la procédure de certification et d’essai des produits. Une réglementation supplémentaire dans l’ordonnance ci-jointe n’est pas nécessaire.

Il y a lieu en revanche de concrétiser les exigences relatives à la qualification des auditeurs ou du personnel qui certifie les produits. A ce propos, il faut tenir compte du fait que dans le domaine de la protection des données, il n’existe pas de formation standardisée et que les experts sont rares. Il convient dès lors de prendre en considération l’expérience pratique. Les exigences en la matière sont par conséquent concrétisées dans l’annexe 3.

L’al. 3 fait appel à la notion de programme de contrôle selon le modèle de l’ordonnance sur l’agriculture biologique (RS 910.18). Le programme de contrôle comporte, d’une part, le schéma d’essai qui détermine à l’avance, en termes de contenu, les normes à respecter, les points sur lesquels ces normes doivent porter et, d’autre part, les modalités concernant le déroulement de la procédure de contrôle (surveillance et réévaluation). Au sens de cette disposition, les « organismes » à certifier peuvent être des organisations privées ou des organes fédéraux. Un cabinet médical ou un cabinet d’avocats qui traitent régulièrement des données sont par exemple des organismes au sens de cette définition et peuvent faire l’objet d’une certification.