Rapporto esplicativo

Commentaire explicatif sur les « Directives sur les exigences minimales qu’un système de gestion de la protection des données doit remplir »

Conformément à l’art. 4 al. 3 de l’ordonnance sur la certification de protection des données (OCPD), il appartient au Préposé d’émettre des directives sur la base essentielle de la norme ISO/CEI 27001:2005 « Exigences pour les systèmes de gestion de sécurité de l’information (SGSI) », en conservant bien entendu l’accent sur la protection des données.

Pour ce faire, une première étape consiste à reprendre d’ISO 27001 les exigences génériques pour les systèmes de gestion, elles-mêmes issues de celles fondamentales d’ISO 9001 pour la gestion de la qualité, comme en témoigne l’annexe informative C d’ISO 27001. L’accent sur la protection des données se manifeste partiellement dans deux chapitres introductifs, à savoir « 2. Références normatives” et “3. Termes et définitions”, substantiellement dans le chapitre “4. Système de gestion » avec en particulier son point 4.2.1 « Établissement du système de gestion», et de manière purement interprétative dans les deux premiers « 0.

Introduction », « 1. Domaine d’application » et les quatre derniers chapitres « 5.

Responsabilité de la Direction », « 6. Audits internes », « 7. Revue de Direction » et « 8.

Amélioration ».

La difficulté majeure a consisté à mettre l’accent sur la protection des données, plutôt que sur la seule sécurité de l’information. Par le biais de l’art. 7 qui couvre les exigences de sécurité des données imposées par la LPD, on peut fort heureusement considérer la protection des données comme un objectif global remplaçant par extension celui de la sécurité de l’information visé par ISO 27001. On vise ainsi l’établissement d’un système de gestion de

la protection des données, qui prescrit entre autre une politique du système de gestion de la

protection des données (SGPD), une sélection de mesures pour le traitement des nonconformités, une déclaration d’applicabilité des mesures implémentées avec justification de celles qui auraient été exclues, un plan de traitement des non-conformités, une

surveillance/revue des violations ou incidents de protection des données et des actions

correctives ou préventives pour améliorer le SGPD.

Le nœud de cette accentuation se situe sans conteste dans la procédure de gestion des risques qui préside à l’établissement et à la gestion d’un SGSI. Si une telle gestion des risques est bien adaptée à des objectifs « internes » de sécurité de l’information, elle ne l’est par contre pas du tout pour des exigences « externes » de protection des données. Un SGPD doit donc impérativement associer une gestion de la conformité à la gestion des risques, cette dernière étant maintenue pour les aspects de sécurité des données (cf. principe/objectif/article 7).

Concrètement, une méthode d’appréciation de non-conformité consiste en une analyse de

non-conformité qui aboutit après identification des sources de non-conformité à une

estimation de non-conformité, en règle générale sur une échelle à deux valeurs : nonconformité mineure ou majeure.

Il n’y a par contre pas d’évaluation possible de non-conformité, puisqu’une non-conformité ne saurait être ni acceptée (aucune non-conformité résiduelle, à partir d’un hypothétique niveau jugé acceptable), ni transférée ! En d’autres termes, une non-conformité doit

nécessairement être traitée par l’adoption de mesures appropriées ou alors évitée en

renonçant par exemple au traitement incriminé.