Rapport sur les résultats

5.2 Organismes de certification (section 1)

5.2.1 Exigences (art. 1)

Trois organisations et un particulier se sont exprimés sur les exigences minimales concernant la qualification du personnel qui exécute des certifications (al. 5 et annexe).

Le Datenschutzforum, la RVK et la SGS se félicitent que les exigences concernant la qualification du personnel soient élevées. Il convient toutefois de veiller à ce que les prescriptions soient interprétées de manière uniforme; la preuve de l'expérience pratique doit être examinée sérieusement (Datenschutzforum, SGS). En outre, l'expérience en matière d'audit doit être exigée, car une formation seule dans ce domaine ne suffit pas (SGS). Il faudrait éventuellement prévoir de créer une obligation d'enregistrement pour les auditeurs (Datenschutzforum). La RVK propose par ailleurs que les conditions liées à l'activité pratique et à la formation dans le domaine de la protection des données et de la sécurité des informations soient cumulatives plutôt qu'alternatives.

Belser estime que les exigences concernant la qualification du personnel sont trop faibles.

5.2.2 Procédure d'accréditation (art. 2)

Privatim regrette que le projet ne prévoie pas de dispositions matérielles qui préciseraient dans quel but et avec quelles compétences le PFPDT est impliqué dans la procédure. Ce dernier devrait avoir un droit de codécision lors de l'accréditation.

La swico propose que le PFPDT soit expressément associé non seulement à la procédure d'accréditation et au contrôle, mais aussi à la suspension et à la révocation de l'accréditation.

5.2.3 Organismes de certification étrangers (art. 3)

Le PFPDT est d'avis que la LPD ne lui confère aucun droit de décision et qu'un tel droit, même limité, ne pourrait pas être inscrit au niveau de l'ordonnance. La décision concernant une reconnaissance devrait donc revenir au SAS ou à l'Office fédéral de la justice; le PFPDT devrait être préalablement consulté.

La SGS ne comprend pas la nécessité de créer un article indépendant concernant les organismes de certification étrangers. L'organisation estime que les exigences pour une accréditation sont déjà réglées suffisamment clairement.

5.3 Objet et procédure de certification (section 2)

5.3.1 Certification de l'organisation et de la procédure (art. 4)

Le PFPDT et cinq organisations (Datenschutzforum, SGS, swico, FER, privatim) ont émis des avis concernant l'al. 3, qui fixe les exigences minimales qu'un système de gestion de la protection des données doit remplir. Pour eux, la référence à la norme ISO 27001: 2005 ne suffit pas.

Ils indiquent que la certification en matière de protection des données ne doit pas uniquement relever de la sécurité des informations, mais qu'elle doit aussi appliquer correctement les principes relatifs à la protection des données (Datenschutzforum,