Progetto

c. le traitement est en relation directe avec la conclusion ou l’exécution d’un contrat et les données traitées concernent le cocontractant;

d. la communication est, en l’espèce, indispensable soit à la sauvegarde d’un intérêt public prépondérant, soit à la constatation, l’exercice ou la défense d’un droit en justice;

e. la communication est, en l’espèce, nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée;

f. la personne concernée a rendu les données accessibles à tout un chacun et elle ne s’est pas opposée formellement au traitement;

g. la communication a lieu au sein d’une même personne morale ou société ou entre des personnes morales ou sociétés réunies sous une direction unique, dans la mesure où les parties sont soumises à des règles de protection des données qui garantissent un niveau de protection adéquat.

Implémentation (art. 6, al. 1 LPD)

Vérifier que les destinataires de données sont soumis à une législation assurant un niveau de protection adéquat (cf. Liste indicative des États ayant une législation assurant un niveau de protection de données adéquat au regard du droit suisse, publiée sur www.leprepose.ch), ainsi que la qualité des garanties fournies pour les points a et g.

7. Sécurité des données (art. 7 LPD)

Objectif du principe: assurer que les ‘données personnelles’ sont protégées contre tout ‘traitement’ non autorisé par des mesures techniques et organisationnelles appropriées.

7.1 Confidentialité des données

Mesure

Assurer que les ‘données personnelles’ ne sont pas mises à disposition ou révélées à des individus, entités ou processus non autorisés.

Implémentation (Annexe A d’ISO 27001, renvoyant intégralement à ISO 27002)

A.7.x Gestion des actifs

A.10.6.x Gestion de la sécurité des réseaux

A.10.7.x Manipulation des supports

A.10.8.x Échange des informations

A.10.10.x Surveillance

A.11.x Contrôle d’accès

Le contrôle 7.2 porte sur la classification des informations : le niveau de protection des données traitées peut être évalué selon leur degré de sensibilité. Une classification de

protection des données doit au minimum faire la différence entre un « niveau normal » de protection pour des données personnelles dont l’usage abusif ne pourrait causer qu’un dommage mineur à la personne concernée, et un « niveau élevé » de protection pour des données personnelles sensibles ou des profils de personnalité, dont l’usage abusif pourrait lui causer un dommage majeur voire représenter un danger pour sa vie. Tout niveau intermédiaire de protection entre ces deux peut être défini, mais il est recommandé de ne pas dépasser un total de 4 niveaux de protection.