Rapport OCPD

Les exigences minimales (al. 4) sont déterminées en premier lieu par les standards internationaux dont l’application découle de l’ordonnance sur l’accréditation et la désignation. Par ailleurs, le renvoi aux art. 4 à 6 de la présente ordonnance explicite clairement que la législation en matière de protection des données fait également partie des exigences minimales.

2 Implication du préposé dans la procédure d’accréditation (art. 2)

Cette disposition concrétise l’art. 11, al. 1 et 2, OAccD.

3 Reconnaissance des organismes de certification étrangers (art. 3)

Dans le domaine de la protection des données, il n’existe pas encore de normes harmonisées au niveau international en matière d’accréditation ni, de ce fait, de procédure définie en conséquence. Il est dès lors nécessaire de régler la reconnaissance des organismes de certification étrangers dans le présent projet d’ordonnance. Cette disposition correspond à l’art. 29 de l’ordonnance sur l’agriculture biologique.

4 Certification du système de gestion de la protection des données (art. 4)

4.1 Remarques générales

L’al. 1 distingue clairement les différents objets d’audit et de certification.

L’al. 2 détermine de manière générale l’objet de l’évaluation dans le cadre de la procédure d’audit. Les critères définissent le contenu du système de gestion de la protection des données: il s’agit tout d’abord de la charte de protection des données. Cette dernière consiste en un document de base qui définit les principes de protection des données applicables dans l’organisation concernée et énonce l’engagement de respecter la protection des données. Elle décrit la mise en place de mesures organisationnelles qui permettent de garantir le respect de la loi sur la protection des données ainsi que, le cas échéant, d’autres dispositions applicables en la matière. La façon de mettre en œuvre les dispositions en matière de protection des données et éventuellement les normes internationales qui définissent ce qu’on appelle la « bonne pratique » découle de cette charte. La procédure d’audit porte en outre sur les dispositions prises par le responsable du traitement des données pour réaliser les objectifs et les mesures définis en matière de protection des données. La mise en place de procédures visant à résoudre les problèmes ou à corriger les irrégularités constatées revêt donc une importance particulière.

L’al. 4 précise la formulation du nouvel art. 11a, al. 5, LPD. Il prévoit expressément que le maître du fichier n’est délié de son devoir de déclarer son fichier que si tous