Projet

DIRECTIVES

sur les exigences minimales qu’un système de gestion de la protection des données doit remplir (certification de l’organisation ou de la procédure au sens de l’art. 4 OCPD)

du XX novembre 2007

Le Préposé fédéral à la protection des données et à la transparence,

vu l’art. 11, al. 2, de la loi fédérale du 19 juin 1992 sur la protection des données (LPD)¹,

vu l’art. 4, al. 3, de l’ordonnance du 28 septembre 2007 sur les certifications en matière de protection des données (OCPD)²,

émet les directives suivantes :

Art. 1 But

¹ Les présentes directives fixent les exigences minimales qu’un système de gestion de la protection des données (SGPD) doit remplir pour obtenir une certification de l’organisation ou de la procédure au sens de l’article 4 OCPD. Elles tiennent compte des normes

internationales relatives à l’installation, l’exploitation, la surveillance et l’amélioration de systèmes de gestion et en particulier d’ISO/CEI 27001:2005³.

² Ces directives comprennent intégralement la norme ISO 27001 précitée, qu’elles interprètent au sens de l’article 2 et qu’elles complètent ou amendent au sens de l’article 3 ci-après.

Art. 2 Interprétation

¹ Au sens des présentes directives, il faut comprendre protection des données (PD) en lieu et place de sécurité de l’information (SI), en particulier pour les systèmes de gestion (soit SGPD pour SGSI).

2 La notion de (non-)conformité relative aux exigences de protection des données vient

systématiquement compléter celle de risques relatifs aux objectifs de sécurité d’information.

1 RS 235.1

2 RS ……………..