Rapport OCPD

L’al. 3 prévoit que le Préposé à la protection des données et à la transparence (préposé) édicte les directives fixant les critères spécifiques en matière de protection des données qu’un produit doit remplir dans le cadre d’une certification. Contrairement au cas des systèmes de gestion de la protection des données, il n’existe pas de normes internationalement reconnues qui pourraient être transposées.

Le préposé pourrait par contre s’inspirer de la grille d’évaluation élaborée par le centre de protection des données du Land de Schleswig-Holstein (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein)³. Ce document énumère en effet de manière exemplaire les exigences en matière de protection et de sécurité des données, sous forme d’une liste de questions se référant aux dispositions juridiques essentielles, structurée d’une manière qui permet de faire le tour de la question. Une simple check-list ne saurait entrer en ligne de compte car les profils d’exigences et les types de données diffèrent d’un produit ou d’un système informatique à l’autre. En outre, les experts doivent toujours motiver leur appréciation.

Les directives du préposé fixeront les exigences relatives aux aspects techniques, notamment en ce qui concerne la collecte et l’utilisation minimales des données et la transparence.

Elles préciseront les principes pertinents en matière de protection des données (art. 4 ss LPD), afin de permettre un examen de la légalité du traitement des données.

L’organisme de certification devra également contrôler les mesures techniques et organisationnelles soutenues par le produit pour protéger les personnes faisant l’objet du traitement de données. Ces mesures se fondent en premier lieu sur les art. 8 ss OLPD. Il faudra considérer, lors de l’examen, sur quel modèle théorique des attaques possibles se fondent les mesures prises ou à prendre, quelles attaques les mesures de protection inhérentes au produit sont en mesure de parer, quelles mesures supplémentaires sont soutenues par le produit (ou s’il y a à cet égard des limitations) et, enfin, quels sont les risques résiduels.

L’organisme de certification devra également vérifier si les droits des personnes sur lesquelles de données sont collectées (rectificatifs, renseignements, transparence, etc.) sont respectés. Pour garantir les droits des personnes concernées, on fait aujourd’hui beaucoup appel à des mesures organisationnelles. Il est décisif d’examiner dans quelle mesure, sur le plan technique, le produit à certifier :

• permet directement à la personne concernée de faire respecter ses droits, voire l’y encourage, et

• assiste l’opérateur du système, par des mesures organisationnelles, dans le respect des droits des personnes concernées.