Projet

b. aucune obligation légale ou contractuelle de garder le secret ne l’interdit.

²Le responsable du traitement doit en particulier s’assurer que le sous-traitant est en mesure de garantir la sécurité des données personnelles et les droits de la personne concernée. Le Conseil fédéral précise les autres obligations du sous-traitant.

³Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'accord écrit préalable du responsable du traitement.

⁴Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement.

Art. 8 Recommandations de bonnes pratiques

¹Le préposé édicte des recommandations de bonnes pratiques qui précisent les dispositions de protection des données. Il associe les milieux intéressés et tient compte des particularités des différents domaines concernés ainsi que du besoin de protection des personnes vulnérables.

²Les responsables du traitement ainsi que les milieux intéressés peuvent compléter les recommandations du préposé ou élaborer leurs propres recommandations. Ils peuvent les faire approuver par le préposé. Ce dernier donne son approbation lorsque les recommandations sont conformes aux dispositions de protection des données.

³Le préposé publie les recommandations de bonnes pratiques qu’il a édictées ou approuvées.

Art. 9 Respect des recommandations de bonnes pratiques

¹Si le responsable du traitement ou le sous-traitant suit les recommandations de bonnes pratiques au sens de l’al. 8, al. 3, il respecte les dispositions de protection des données que ces dernières concrétisent.

²Les dispositions de protection des données peuvent être respectées d’une autre manière que celle prévue par les recommandations de bonnes pratiques.

Art. 10 Certification

¹Les responsables du traitement et les sous-traitants peuvent soumettre leurs opérations de traitement à une évaluation effectuée par des organismes de certification agréés et indépendants.

²Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l’introduction d’un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international.

Art. 11 Sécurité des données personnelles

¹Les responsables du traitement et les sous-traitants doivent assurer la sécurité des données personnelles. Celles-ci doivent être protégées contre tout traitement non autorisé et toute perte, par des mesures organisationnelles et techniques appropriées.