Rapport OCPD

d’examiner si les critères de certification appliqués à l’étranger correspondent matériellement aux exigences du droit suisse.

8 Communication du résultat de la procédure de certification au préposé (art. 8)

Cette disposition se réfère au nouvel art. 11a, al. 5, let. f, LPD. Elle détermine les documents qui doivent être transmis au préposé. Les informations qui doivent être contenues dans le rapport d’évaluation et dans les documents de certification sont définies dans le guide ISO/CEI 62, ch. 3.5. Les documents de certification contiennent des indications sur l’organisme qui a effectué la certification, les bases juridiques de cette dernière, les procédures et les services qui ont été certifiés et la durée de validité de la certification. Le rapport d’évaluation contient des indications détaillées sur la conformité du système de gestion de la protection des données aux exigences en matières de certification. Il doit indiquer clairement les non-conformités. Il peut en outre mentionner les différences avec les résultats d’audits précédents. Enfin, il doit rapporter les différends éventuels entre l’organisme de certification et l’organisme certifié.

A ce propos, il convient de relever que dans le cadre de ses tâches de surveillance le préposé peut exiger l’accès à d’autres documents en rapport avec la certification, tel que le rapport d’évaluation (art. 27 et 29 LPD).

Il résulte du renvoi à l’art. 4 que seule la certification d’un système de gestion de la protection des données délie l’organisme certifié de son obligation de déclaration. La simple utilisation de produits certifiés par le responsable de traitement ou par le maître du fichier ne suffit pas, au motif qu’elle n’offre pas de garanties suffisantes quant au respect des prescriptions de protection des données. La présente disposition précise par conséquent la teneur du nouvel art. 11a, al. 5, let. f, LPD en relation avec le nouvel art. 11, al. 1, LPD.

9 Suspension et révocation de la certification (art. 9)

L’organisme de certification pourra suspendre ou révoquer la certification s’’il constate des manquements graves lors de ses vérifications régulières ou à l’occasion d’un renouvellement de la certification. Il y a manquement grave notamment lorsque les conditions essentielles de la certification ne sont plus remplies. Ce serait le cas si l’on constatait à plusieurs reprises que les exigences concernant la documentation (v. ch. 4.2.2) ne sont pas remplies ou que la direction a omis plusieurs fois de procéder à une revue (v. ch. 4.2.2). De même, l’utilisation abusive d’un certificat constitue un manquement grave : par exemple, seule une partie des procédures de traitement de données a été certifiée (art. 4, al. 1, let. b), mais l’organisme utilise un label de qualité correspondant à une certification complète.