Rapport sur les résultats

SGS). Or la norme ISO mentionnée ne contient aucune prescription concrète en la matière. De plus, les conditions relatives au système de gestion de la protection des données figurant à l'al. 2 n'apportent pratiquement rien pour une application correcte des principes régissant la protection des données (swico). Le PFPDT demande à obtenir la compétence d'édicter des directives, comme cela est le cas en matière de certification de produits (cf. art. 5, al. 3). Privatim partage la même opinion que le préposé.

En outre, les réponses indiquent que les systèmes de gestion de la qualité jouent aussi un rôle important lors de la certification de l'organisation et de la procédure; il conviendrait donc également de mentionner la norme ISO 9001 (privatim, Belser).

La FER est d'avis que l'art. 4, al. 3, n'est pas assez clair. En effet, les entreprises qui souhaitent acquérir une certification ne peuvent connaître les exigences qu'elles doivent remplir qu'en obtenant la norme ISO ou en lisant le rapport explicatif relatif à l'ordonnance. De plus, les exigences sont trop contraignantes, ce qui risque de compromettre la procédure de certification.

5.3.2 Certification de produits (art. 5)

Seule la swico a rendu un avis sur cette disposition. Elle ne comprend pas pourquoi la description des produits pouvant faire l'objet d'une certification (al. 1) se limite aux "produits logiciels ou (aux) combinaisons de produits logiciels avec certains produits matériels". Elle indique que dans son ordonnance relative aux audits en matière de protection des données, le land du Schleswig-Holstein en Allemagne offre une définition bien plus large des produits de technologie de l'information pouvant être certifiés, en y incluant le matériel informatique, les logiciels et les procédures automatisées.

S'agissant des critères d'examen prévus à l'al. 2, la swico indique que la majorité des produits devraient déjà répondre aux exigences mentionnées. En revanche, la protection des données serait nettement renforcée grâce à la mise en œuvre de critères tels que le respect de la conformité aux buts par le système devant faire l'objet d'une certification, le contrôle automatisé ou la limitation des liens entre les éléments d'une banque de données, le contrôle assisté par le système de la communication de données personnelles à des tiers, le soutien aux utilisateurs dans leurs tâches de communication, ainsi que des fonctions visant à mettre en œuvre les demandes d'effacement ou de correction.

5.3.3 Octroi et durée de validité de la certification (art. 6)

Une organisation exige un autre système d'octroi des certifications (privatim). La disposition devrait indiquer que les rapports doivent être soumis au PFPDT. Ce dernier peut ensuite soit octroyer un label de qualité officiel (cf. ch. 5.1.1) soit, au moins, vérifier les rapports sur le plan matériel (swico émet un avis similaire, cf. ch. 5.3.4). Il conviendrait de mettre pour cela les ressources nécessaires à sa disposition. U. Belser désapprouve expressément cette solution.

La swico indique que les exigences mentionnées aux art. 4 et 5 devraient également figurer à l'al. 1.