Source: https://www.admin.ch/opc/it/classified-compilation/20071826/200801010000/comparison.html
Timestamp: 2020-03-30 07:12:25+00:00

Document:
Art. 4 Certificazione dell’organizzazione e della procedura
Art. 8 Comunicazione dell’esito della procedura di certifica...
Art. 10 Misure di sorveglianza dell’Incaricato: procedura
Requisiti concernenti la qualifica del personale degli organ...
1 Certificazione dei sistemi di gestione della protezione de...
visto l’articolo 11 capoverso 2 della legge federale del 19 giugno 19921 sulla protezione dei dati (LPD),
1 Gli organismi che effettuano certificazioni in materia di protezione dei dati secondo l’articolo 11 LPD (organismi di certificazione) devono essere accreditati. L’accreditamento è retto dall’ordinanza del 17 giugno 19961 sull’accreditamento e sulla designazione, per quanto la presente ordinanza non disponga altrimenti.
l’organizzazione e le procedure della protezione dei dati;
3 Gli organismi di certificazione devono disporre di un’organizzazione e di una procedura di certificazione ben definite (programma di controllo). Vi sono disciplinati in particolare:
4 I requisiti minimi del programma di controllo sono retti dalle norme e dai principi applicabili conformemente all’allegato 2 dell’ordinanza del 17 giugno 1996 sull’accreditamento e sulla designazione e dagli articoli 4–6.
5 I requisiti minimi concernenti la qualifica del personale addetto alla certificazione sono disciplinati nell’allegato.
Il Servizio d’accreditamento svizzero consulta l’Incaricato federale della protezione dei dati e della trasparenza (l’Incaricato) in merito alla procedura di accreditamento e ai controlli nonché alla sospensione e alla revoca dell’accreditamento.
1 Previa consultazione del Servizio d’accreditamento svizzero, l’Incaricato ammette gli organismi di certificazione esteri all’esercizio dell’attività sul territorio svizzero, se gli stessi possono dimostrare di possedere una qualifica equivalente a quella richiesta in Svizzera.
2 Gli organismi di certificazione devono in particolare provare che adempiono i requisiti di cui all’articolo 1 capoversi 3 e 4 e che conoscono sufficientemente la legislazione svizzera sulla protezione dei dati.
3 L’Incaricato può rilasciare riconoscimenti limitati nel tempo o vincolarli a condizioni od oneri. Revoca il riconoscimento se non sono adempiti condizioni od oneri essenziali.
l’insieme delle procedure di trattamento dei dati di cui un organismo è responsabile;
3 L’incaricato emana direttive sui requisiti minimi che un sistema di gestione della protezione dei dati deve adempiere. Tiene conto dei requisiti determinanti a livello internazionale in materia di installazione, gestione, sorveglianza e ottimizzazione dei sistemi di gestione, così come figurano in particolare nelle seguenti norme tecniche1:
UNI EN ISO 9001: Sistemi di gestione per la qualità – Requisiti;
UNI CEI ISO/IEC 27001: Tecnologie informatiche – Tecniche per la sicurezza – Sistemi di gestione per la sicurezza delle informazioni – Requisiti.2
4 La deroga all’obbligo di notifica delle collezioni di dati secondo l’articolo 11a capoverso 5 lettera f LPD si applica soltanto a condizione che siano state certificate tutte le procedure di trattamento dei dati cui è destinata una collezione di dati.
1 Le norme menzionate possono essere consultate gratuitamente od ottenute a pagamento presso l’Associazione svizzera di normalizzazione (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch.
2 Nuovo testo giusta il n. I dell’O del 30 set. 2016, in vigore dal 1° nov. 2016 (RU 2016 3447).
1 Possono essere certificati i prodotti destinati in prevalenza al trattamento di dati personali o generanti, al momento del loro impiego, dati personali, in particolare relativi all’utente.
la riservatezza, l’integrità, la disponibilità e l’autenticità dei dati personali trattati, in considerazione dello scopo di impiego del prodotto;
la rinuncia a generare, memorizzare o altrimenti trattare dati personali, per quanto lo scopo d’impiego del prodotto non lo richieda;
la trasparenza e la riproducibilità dei trattamenti automatizzati di dati personali nell’ambito delle funzionalità stabilite dal fabbricante di un prodotto;
le misure tecniche indispensabili che permettono all’utente di rispettare altri principi o obblighi in materia di protezione dei dati.
3 L’incaricato emana direttive sui criteri specifici in materia di protezione dei dati da esaminare nell’ambito della certificazione di un prodotto.1
1 Nuovo testo giusta il n. I dell’O del 12 mar. 2010, in vigore dal 1° apr. 2010 (RU 2010 949).
1 La certificazione è rilasciata se dalla procedura risulta che, in base ai criteri applicati dall’organismo di certificazione per la perizia o la prova dei prodotti, sono soddisfatti i requisiti legali in materia di protezione dei dati e gli altri requisiti derivanti dalla presente ordinanza e dalle direttive dell’Incaricato (art. 4 cpv. 3 e art. 5 cpv. 3). La certificazione può essere vincolata a condizioni od oneri.
2 La certificazione di un sistema di gestione della protezione dei dati è valida tre anni. L’organismo di certificazione verifica ogni anno, in via sommaria, se le condizioni determinanti per la certificazione continuano a essere adempite.
Dopo aver consultato il Servizio d’accreditamento svizzero, l’Incaricato riconosce le certificazioni estere purché l’adempimento dei requisiti della legislazione svizzera sia garantito.
Art. 8 Comunicazione dell’esito della procedura di certificazione
1 L’organismo certificato che comunica all’Incaricato l’esito positivo della certificazione secondo l’articolo 4, per essere esonerato dall’obbligo di notifica della collezione di dati secondo l’articolo 11a capoverso 5 lettera f LPD, deve presentare su richiesta i seguenti documenti:
2 Se svolgendo la propria attività di sorveglianza l’organismo di certificazione riscontra mutamenti sostanziali delle condizioni di certificazione, in particolare per quanto riguarda l’adempimento di condizioni od oneri, l’organismo certificato ne informa l’Incaricato.
3 L’Incaricato pubblica un elenco degli organismi certificati esonerati dall’obbligo di notificare le loro collezioni di dati (art. 28 cpv. 3 dell’O del 14 giu. 19931 relativa alla legge federale sulla protezione dei dati). Tale documento indica segnatamente la durata di validità della certificazione.
1 L’organismo di certificazione può sospendere o revocare una certificazione accordata, segnatamente se nell’ambito della verifica (art. 6 cpv. 2) constata gravi lacune. Si è in presenza di una grave lacuna in particolare se:
2 Nei casi di controversia in merito alla sospensione o alla revoca, il giudizio e la procedura sono retti dalle disposizioni di diritto civile applicabili al rapporto contrattuale tra l’organismo di certificazione e l’organismo certificato.
3 Se la certificazione di cui all’articolo 8 capoverso 1 era stata comunicata all’Incaricato, l’organismo di certificazione gli comunica la sospensione o la revoca.
1 Se svolgendo la propria attività di sorveglianza secondo gli articoli 27 o 29 LPD constata gravi lacune presso l’organismo certificato, l’Incaricato ne informa l’organismo di certificazione.
2 L’organismo di certificazione invita senza indugio l’organismo certificato a eliminare le lacune riscontrate entro 30 giorni dalla ricezione della comunicazione dell’Incaricato.
3 Se l’organismo certificato non elimina le lacune entro tale termine, l’organismo di certificazione sospende la certificazione. La certificazione va revocata se appare improbabile che venga a crearsi o venga ripristinata una situazione conforme al diritto entro un periodo di tempo ragionevole.
4 Se l’organismo certificato non ha eliminato le lacune entro il termine previsto dal capoverso 2 e l’organismo di certificazione non ha sospeso o revocato la certificazione, l’Incaricato formula una raccomandazione secondo l’articolo 27 capoverso 4 o l’articolo 29 capoverso 3 LPD all’indirizzo dell’organismo certificato o dell’organismo di certificazione. Può segnatamente raccomandare all’organismo di certificazione di sospendere o revocare la certificazione. Se indirizza la raccomandazione all’organismo di certificazione, ne informa il Servizio d’accreditamento svizzero.
L’organismo di certificazione deve provare che il personale addetto alla certificazione dei sistemi di gestione della protezione dei dati dispone complessivamente delle seguenti qualifiche:
conoscenza del diritto in materia di protezione dei dati: dev’essere comprovata un’esperienza pratica di almeno due anni nel settore della protezione dei dati oppure una formazione completa di almeno un anno, con approfondimento nel diritto sulla protezione dei dati, presso una scuola universitaria o una scuola universitaria professionale;
conoscenze in materia di sicurezza informatica: dev’essere comprovata un’esperienza pratica di almeno due anni nel settore della sicurezza informatica oppure una formazione completa di almeno un anno, con approfondimento in sicurezza informatica, presso una scuola universitaria o una scuola universitaria professionale;
formazione come certificatore di sistemi di gestione che soddisfa i requisiti determinanti a livello internazionale, così come figurano in particolare nella norma UNI CEI EN ISO/IEC 17021-12: Valutazione della conformità – Requisiti per gli organismi che forniscono audit e certificazione di sistemi di gestione – Parte 1: Requisiti.
L’organismo di certificazione deve provare di disporre di personale qualificato per i singoli settori. La perizia dei sistemi di gestione della protezione dei dati da parte di un gruppo interdisciplinare è autorizzata.
L’organismo di certificazione deve provare che il personale addetto alla certificazione di prodotti dispone complessivamente delle seguenti qualifiche:
conoscenze specifiche in materia di prova dei prodotti che soddisfano i requisiti determinanti a livello internazionale, così come figurano in particolare nella norma UNI CEI EN ISO//IEC 170653: Valutazione della conformità – Requisiti per organismi che certificano prodotti, processi e servizi.
1 Aggiornato dal n. II dell’O del 30 set. 2016, in vigore dal 1° nov. 2016 (RU 2016 3447).
2 La norma menzionata può essere consultata gratuitamente od ottenuta a pagamento presso l’Associazione svizzera di normalizzazione (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch.
3 La norma menzionata può essere consultata gratuitamente od ottenuta a pagamento presso l’Associazione svizzera di normalizzazione (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch.
4 Die Mindestanforderungen an das Kontrollprogramm richten sich nach den gemäss Anhang 2 der Akkreditierungs- und Bezeichnungsverordnung vom 17. Juni 1996 anwendbaren Normen und Grundsätzen sowie nach den Artikeln 4–6.
vu l’art. 11, al. 2, de la loi fédérale du 19 juin 1992 sur la protection des données (LPD)1,
1 Les organismes qui effectuent des certifications au sens de l’art. 11 LPD (organismes de certification) doivent être accrédités. Leur accréditation est régie par l’ordonnance du 17 juin 1996 sur l’accréditation et la désignation1, sauf disposition contraire de la présente ordonnance.
l’organisation et la procédure en matière de protection des données;
3 Les organismes de certification doivent disposer d’une organisation et d’une procédure de certification (programme de contrôle) déterminées. Les points suivants doivent notamment être réglés:
les critères d’évaluation ou d’essai ainsi que les exigences en découlant que doivent respecter les organismes ou les produits à certifier (schéma d’évaluation ou d’essai), et
4 Les exigences minimales concernant le programme de contrôle sont régies par les normes et les principes applicables selon l’annexe 2 de l’ordonnance du 17 juin 1996 sur l’accréditation et la désignation et par les art. 4 à 6.
Art. 2 Procédure d’accréditation
Le Service d’accréditation suisse associe le Préposé fédéral à la protection des données et à la transparence (le préposé) à la procédure d’accréditation et au contrôle ainsi qu’à la suspension et à la révocation de l’accréditation.
1 Après avoir consulté le Service d’accréditation suisse, le préposé reconnaît les organismes de certification étrangers qui veulent exercer des activités sur le territoire suisse, si ces organismes prouvent qu’ils ont une qualification équivalente à celle exigée en Suisse.
2 Les organismes de certification doivent notamment prouver qu’ils remplissent les exigences fixées à l’art. 1, al. 3 et 4, et qu’ils connaissent suffisamment la législation suisse sur la protection des données.
Art. 4 Certification de l’organisation et de la procédure
1 Peuvent faire l’objet d’une certification:
l’ensemble des procédures de traitement des données pour lesquelles un organisme est responsable;
2 L’évaluation porte sur le système de gestion de la protection des données. Ce dernier comprend notamment:
3 Le préposé émet des directives sur les exigences minimales qu’un système de gestion de la protection des données doit remplir. Il tient compte des critères internationaux pertinents relatifs à l’installation, l’exploitation, la surveillance et l’amélioration des systèmes de gestion, tels qu’ils figurent en particulier dans les normes techniques suivantes1:
SN EN ISO/IEC 27001, technologies de l’information, techniques de sécurité, système de gestion de sécurité de l’information, exigences.2
4 L’exception à l’obligation de déclarer prévue à l’art. 11a, al. 5, let. f, LPD ne s’applique que si l’organisme au bénéfice d’une certification a obtenu cette certification pour l’ensemble des procédures de traitement portant sur les données du fichier à déclarer.
1 Les normes peuvent être consultées gratuitement ou obtenues contre paiement auprès de l’Association suisse de normalisation (SNV), Sulzerallee 70, 8404 Winterthour, www.snv.ch.
2 Nouvelle teneur selon le ch. I de l’O du 30 sept. 2016, en vigueur depuis le 1er nov. 2016 (RO 2016 3447).
1 Peuvent faire l’objet d’une certification les produits servant principalement au traitement de données personnelles ou générant, lors de leur utilisation, des données personnelles concernant notamment l’utilisateur.
2 L’organisme de certification examine notamment si le produit lui-même garantit:
la confidentialité, l’intégrité, la disponibilité et l’authenticité des données personnelles traitées, au vu des finalités du produit ou du système;
la prévention de la génération, de l’enregistrement ou de tout autre traitement de données personnelles inutile au vu des finalités du produit;
la mise en place de mesures techniques permettant à l’utilisateur de respecter d’autres principes et obligations en matière de protection de données.
3 Le préposé édicte des directives fixant les critères spécifiques en matière de protection des données qu’un produit doit remplir dans le cadre d’une certification.1
1 Nouvelle teneur selon le ch. I de l’O du 12 mars 2010, en vigueur depuis le 1er avr. 2010 (RO 2010 949).
1 La certification est octroyée lorsque la procédure de certification permet de conclure, sur la base des critères d’évaluation ou d’essai appliqués par l’organisme de certification, que les exigences prévues par le droit de la protection des données et celles qui résultent de la présente ordonnance et des directives du préposé (art. 4, al. 3, et art. 5, al. 3) ou de toute autre norme équivalente sont respectées. L’octroi de la certification peut être assorti de conditions ou de charges.
2 La durée de validité de la certification d’un système de gestion de la protection des données est de trois ans. Chaque année, l’organisme de certification vérifie sommairement que les conditions de la certification sont remplies.
3 La durée de validité de la certification d’un produit est de deux ans. Le produit est soumis à une nouvelle certification si des modifications essentielles y sont apportées.
Après avoir consulté le Service d’accréditation suisse, le préposé reconnaît les certifications étrangères, pour autant que le respect des exigences de la législation suisse soit garanti.
1 Si, aux fins d’être délié de son obligation de déclarer ses fichiers en vertu de l’art. 11a, al. 5, let. f, LPD, l’organisme au bénéfice d’une certification communique au préposé qu’il a obtenu une certification conformément à l’art. 4, il lui transmet, sur demande, les documents suivants:
le rapport d’évaluation;
2 Lorsque l’organisme de certification constate, dans le cadre de son activité de surveillance, des modifications essentielles concernant les conditions de certification, notamment en ce qui concerne le respect des charges ou des conditions, l’organisme au bénéfice d’une certification en informe le préposé.
3 Le préposé publie une liste des organismes au bénéfice d’une certification et qui sont déliés de leur obligation de déclarer leurs fichiers (art. 28, al. 3, de l’O du 14 juin 1993 relative à la LF sur la protection des données1). La liste indique notamment la durée de validité de la certification.
1 L’organisme de certification peut suspendre ou révoquer une certification, notamment lorsque, dans le cadre de la vérification (art. 6, al. 2), il constate des manquements graves. Il y a manquement grave notamment lorsque:
l’organisme au bénéfice d’une certification utilise un certificat de manière trompeuse ou abusive.
2 Tout litige concernant la suspension ou la révocation est soumis aux dispositions de droit civil applicables au rapport contractuel liant l’organisme de certification à l’organisme au bénéfice d’une certification.
3 L’organisme de certification informe le préposé de la suspension ou de la révocation, pour autant que la certification ait été communiquée à ce dernier conformément à l’art. 8, al. 1.
1 Le préposé informe l’organisme de certification si, dans le cadre de son activité de surveillance au sens de l’art. 27 ou 29 LPD, il constate des manquements graves auprès d’un organisme au bénéfice d’une certification.
2 L’organisme de certification invite immédiatement l’organisme au bénéfice d’une certification à remédier, dans un délai de 30 jours à compter de la réception de la communication du préposé, aux manquements constatés.
3 Si l’organisme au bénéfice d’une certification ne remédie pas à la situation dans le délai fixé, l’organisme de certification suspend la certification. Il révoque la certification s’il n’existe aucune perspective d’obtenir ou de rétablir une situation conforme à la loi dans un délai convenable.
4 Si l’organisme au bénéfice d’une certification ne remédie pas à la situation dans le délai prévu à l’al. 2 et si l’organisme de certification ne suspend ni ne révoque la certification, le préposé émet une recommandation au sens de l’art. 27, al. 4, ou 29, al. 3, LPD à l’intention de l’organisme au bénéfice d’une certification ou de l’organisme de certification concerné. Il peut notamment recommander à l’organisme de certification de suspendre ou de révoquer la certification. S’il adresse la recommandation à l’organisme de certification, il en informe le Service d’accréditation suisse.
L’organisme de certification doit prouver que le personnel qui certifie les systèmes de gestion de la protection des données, pris dans son ensemble, possède les qualifications suivantes:
connaissance du droit de la protection des données: doit être prouvée une activité pratique d’au moins deux ans dans le domaine de la protection des données ou un diplôme d’une haute école ou d’une haute école spécialisée sanctionnant des études d’une année au moins, avec comme matière principale le droit de la protection des données;
connaissances dans le domaine de la sécurité informatique: doit être prouvée une activité pratique d’au moins deux ans dans le domaine de la sécurité informatique ou un diplôme d’une haute école ou d’une haute école spécialisée sanctionnant des études d’une année au moins, avec comme matière principale la sécurité informatique;
formation d’auditeur de système de management satisfaisant aux critères internationaux pertinents, tels qu’ils figurent notamment dans la norme SN EN ISO/IEC 17021-1, évaluation de la conformité, exigences pour les organismes procédant à l’audit des systèmes de management, partie 1: exigences2.
L’organisme de certification doit prouver qu’il dispose de personnel qualifié pour chacun des domaines qu’il couvre. L’évaluation des systèmes de gestion par une équipe interdisciplinaire est autorisée.
L’organisme de certification doit prouver que le personnel qui certifie les produits, pris dans son ensemble, possède les qualifications suivantes:
connaissances spécialisées concernant la certification des produits satisfaisant aux critères internationaux pertinents, tels qu’ils figurent notamment dans la norme SN EN ISO/IEC 17065, évaluation de la conformité, exigences pour les organismes certifiant les produits, les procédés et les services3.
L’organisme de certification doit prouver qu’il dispose de personnel qualifié pour chacun des domaines qu’il couvre. L’évaluation des produits par une équipe interdisciplinaire est autorisée.
1 Mise à jour selon le ch. II de l’O du 30 sept. 2016, en vigueur depuis le 1er nov. 2016 (RO 2016 3447).
2 La norme peut être consultée gratuitement ou obtenue contre paiement auprès de l’Association suisse de normalisation (SNV), Sulzerallee 70, 8404 Winterthour, www.snv.ch.
3 La norme peut être consultée gratuitement ou obtenue contre paiement auprès de l’Association suisse de normalisation (SNV), Sulzerallee 70, 8404 Winterthour, www.snv.ch.
4 The minimum requirements for the checking program are governed by the standards and principles applicable in accordance with Annex 2 of the Accreditation and Designation Ordinance of 17 June 1996 and in accordance with Articles 4–6 hereof.
knowledge of data protection law: proof is required of a minimum of two years’ practical experience in the field of data protection or a successfully completed course of studies at a university or university of applied sciences of a minimum of one year in duration with data protection law as the main subject;
knowledge of the field of information technology security: proof is required of a minimum of two years’ practical experience in the field of information technology security or a successfully completed course of studies at a university or university of applied sciences of a minimum of one year in duration with information technology security as the main subject;

References: Art. 8

Art. 10
 art. 5

Art. 8
 art. 4

Art. 2

Art. 4
 art. 5