Rapport OCPD

Le SGPD est un système de management qui peut être exploité sans incompatibilité avec d’autres systèmes de management. Sa présentation est laissée au libre choix de l’organisme. Il peut s’inspirer d’exigences régissant d’autres systèmes de management, par exemple la norme ISO 27000:2005. Toutefois, les certificats correspondants ne suffisent pas à valider le SGPD, qui doit subir un contrôle spécifique ultérieur selon l’annexe 1.

4.2.2 Contenu des exigences

Pour mettre en place un SGPD, il faut définir son domaine d’application, une charte de protection des données (cf. ch. 4.1) et une méthode d’évaluation des risques concernant la sécurité des données. Il convient également d’identifier les exigences découlant des principes en matière de protection des données (cf. art. 4 ss LPD) ou d’autres bases juridiques et d’évaluer les risques pour la sécurité des données. On déterminera alors les mesures à prendre, qui devront être approuvées par la direction.

Afin de mettre en œuvre ces mesures, l’organisme devra prévoir des procédures permettant de déceler immédiatement les non-conformités et de les corriger, mais aussi d’identifier les manquements à la protection des données et de les éliminer.

Il devra contrôler régulièrement l’efficacité du SGPD, notamment grâce à des audits au minimum annuels, et mettre en œuvre les améliorations possibles (actions préventives et correctives).

Une documentation doit être élaborée. Elle comprendra notamment la charte de protection des données, une description du domaine d’application du système, la méthode d’évaluation des risques pour la sécurité des données et un rapport sur cette évaluation. Doivent également être disponibles le plan de conformité aux exigences de la protection des données, le plan de gestion des risques pour la sécurité des données et la description des processus nécessaires pour garantir l’efficacité de la planification, de la mise en œuvre et du contrôle de la charte. Tous ces documents doivent être approuvés par le service compétent avant leur diffusion, puis régulièrement vérifiés et actualisés, de sorte que les modifications et l’actualité du texte apparaissent clairement. Les personnes ou services compétents doivent disposer des versions les plus actuelles.

L’organisme devra établir et conserver des « enregistrements » (fichiers journaux, etc.) pour prouver la conformité du SGPD aux exigences et l’efficacité de son fonctionnement.

La direction de l’organisme est tenue d’assumer un certain nombre de responsabilités : d’abord établir la charte de protection des données, définir les rôles et les responsabilités en matière de protection des données, décider du niveau de risque acceptable pour la sécurité des données, procéder aux améliorations ; mais aussi libérer les ressources nécessaires pour maintenir une protection des données adéquate en appliquant correctement toutes les mesures mises en place et pour améliorer si nécessaire l’efficacité du SGPD. La direction devra également sensibiliser son personnel aux exigences de la protection des