Rapport OCPD

Il convient en outre de tenir compte tant du principe de la collecte et de l’utilisation minimales des données (par ex. la possibilité d’opérer de manière anonyme ou sous un pseudonyme) que des questions de droits des personnes concernées au regard de la journalisation.

Enfin, il faut prendre en considération le fait que divers types de données sont traités et échangés entre les composantes d’un produit. Citons notamment les données relatives aux personnes faisant l’objet du traitement de données, appelées données primaires (par ex. les données des assurances sur leurs patients), et les données secondaires (par ex. les données journalisées concernant l’entrée de données ou les interventions dans la banque de données, ou bien encore les modifications de configuration ou l’accès à des locaux sensibles tels que les centres de calcul).

6 Octroi et durée de validité de la certification (art. 6)

L’al. 1 prévoit expressément que les exigences que doivent remplir l’organisme ou le produit à certifier résultent d’une part des dispositions légales applicables en matière de protection des données et d’autre part des annexes 1 et 2.

L’al. 2 fixe à trois ans la durée de validité de la certification d’une organisation ou d’une procédure (système de gestion de la protection des données). Il prévoit également explicitement que les certifications accordées sont réévaluées annuellement (voir la prescription correspondante du guide ISO/CEI 62, ch. 3.6.1). L’organisme de certification doit mettre en place un dispositif de surveillance approprié.

Un système analogue est prévu pour la certification des produits (al. 3). Les produits certifiés doivent être à nouveau évalués au plus tard tous les deux ans. Lorsque des modifications apportées au produit ont des répercussions sur le traitement des données personnelles, il y a lieu de procéder à une nouvelle certification dans les meilleurs délais (guide ISO/CEI 65, al. 13). S’il s’agit d’une modification mineure, un examen sommaire suffit.

À l’expiration de la durée de validité, la procédure complète doit à nouveau être effectuée, aboutissant, le cas échéant, à une nouvelle certification.

7 Reconnaissance des certifications étrangères en matière de protection des données (art. 7)

Il est opportun de prévoir un mécanisme permettant la reconnaissance des certifications étrangères. Des organismes certifiés à l’étranger pourraient ainsi être déliés de leur devoir de déclarer leurs fichiers. Tel pourrait être le cas, par exemple, lorsqu’une entreprise fait l’objet d’une certification en matière de protection des données en Allemagne et que la procédure de certification porte également sur une partie de l’entreprise située en Suisse. Il incombe au préposé