Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="de" value="Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)" shortForm="VDSZ"/><FRBRname xml:lang="fr" value="Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="en" value="Ordinance of 31 August 2022 on Data Protection Certification (DPCO)" shortForm="DPCO"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr/xml"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.5"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>235.13 </docNumber></p><p><docTitle>Ordonnance <br/>sur les certifications en matière de protection des données</docTitle></p><p>(OCPD)</p><p>du 31 août 2022 (État le 1<sup>er</sup> septembre 2023)</p></preface><preamble><p>Le Conseil fédéral suisse,</p><p>vu l’art. 13, al. 2, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote></p><p>arrête:</p></preamble><body><section eId="sec_1"><num>Section 1</num><heading>Organismes de certification</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Exigences</heading><paragraph eId="art_1/para_1"><num>1</num><content><p> Les organismes qui effectuent des certifications au sens de l’art. 13 LPD (organismes de certification) doivent être accrédités. Leur accréditation est régie par l’ordonnance du 17 juin 1996 sur l’accréditation et la désignation (OAccD)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>946.512</b></ref></p></authorialNote>, sauf disposition contraire de la présente ordonnance.</p></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Une accréditation distincte est requise pour les certifications portant sur:</listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>l’organisation et les procédures (systèmes de gestion) en lien avec le traitement des données;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>les produits, notamment les systèmes et programmes de traitement des données et les produits matériels, ainsi que les services et les processus en lien avec le traitement des données.</p></item></blockList></content></paragraph><paragraph eId="art_1/para_3"><num>3</num><content><p> Les organismes de certification doivent disposer d’une organisation et d’une procédure de certification (programme de certification) déterminées.</p></content></paragraph><paragraph eId="art_1/para_4"><num>4</num><content><p> Les exigences minimales concernant la qualification du personnel qui exécute des certifications sont réglées en annexe. Les organismes de certification doivent prouver qu’ils disposent de personnel qualifié selon ces critères.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Procédure d’accréditation</heading><paragraph eId="art_2/para"><content><p>Le Service d’accréditation suisse (SAS) associe le Préposé fédéral à la protection des données et à la transparence (PFPDT) à la procédure d’accréditation et au contrôle ainsi qu’à la suspension et à la révocation de l’accréditation.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Organismes de certification étrangers</heading><paragraph eId="art_3/para_1"><num>1</num><content><p> Les organismes de certification étrangers qui veulent exercer des activités sur le territoire suisse doivent prouver qu’ils disposent d’une qualification équivalente, qu’ils remplissent les exigences fixées à l’art. 1, al. 3 et 4, et qu’ils connaissent suffisamment la législation suisse sur la protection des données.</p></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p> Le PFPDT reconnaît un organisme de certification étranger après avoir consulté le SAS. </p></content></paragraph><paragraph eId="art_3/para_3"><num>3</num><content><p> Il peut accorder la reconnaissance pour une durée limitée et la subordonner à des charges. </p></content></paragraph><paragraph eId="art_3/para_4"><num>4</num><content><p> Il annule la reconnaissance si les conditions ou les charges ne sont plus remplies.</p></content></paragraph></article></section><section eId="sec_2"><num>Section 2</num><heading>Objets et procédure de certification</heading><article eId="art_4"><num><b>Art. 4</b></num><heading>Objets de la certification</heading><paragraph eId="art_4/para_1"><num>1</num><content><blockList><listIntroduction eId="art_4/para_1/listintro"> Peuvent faire l’objet d’une certification:</listIntroduction><item eId="art_4/para_1/lbl_a"><num>a. </num><p>les systèmes de gestion;</p></item><item eId="art_4/para_1/lbl_b"><num>b. </num><p>les produits, les services et les processus.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> La certification des systèmes de gestion peut porter sur l’ensemble du système, sur certaines parties de l’organisation ou sur certaines procédures déterminées.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><blockList><listIntroduction eId="art_4/para_3/listintro"> La certification des produits, des services et des processus peut porter sur:</listIntroduction><item eId="art_4/para_3/lbl_a"><num>a. </num><p>les produits servant principalement au traitement de données personnelles ou générant, lors de leur utilisation, des données personnelles;</p></item><item eId="art_4/para_3/lbl_b"><num>b. </num><p>les services ou les processus servant principalement au traitement de données personnelles ou générant des données personnelles.</p></item></blockList></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Exigences relatives au programme de certification</heading><paragraph eId="art_5/para_1"><num>1</num><content><blockList><listIntroduction eId="art_5/para_1/listintro"> Le programme de certification doit au moins régler:</listIntroduction><item eId="art_5/para_1/lbl_a"><num>a. </num><p>les critères d’évaluation ainsi que les exigences en découlant que doivent respecter les objets à certifier;</p></item><item eId="art_5/para_1/lbl_b"><num>b. </num><p>les modalités du déroulement de la procédure, notamment les mesures à prendre si des irrégularités sont constatées.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> Lors de l’élaboration du programme de certification, il doit être tenu compte des points suivants:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>les données personnelles à traiter;</p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>les infrastructures électroniques utilisées pour le traitement des données personnelles;</p></item><item eId="art_5/para_2/lbl_c"><num>c. </num><p>les mesures organisationnelles liées au traitement des données personnelles.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p> Les critères d’évaluation doivent respecter tous les principes de l’art. 6 LPD.</p></content></paragraph><paragraph eId="art_5/para_4"><num>4</num><content><p> Le programme de certification doit respecter les normes applicables selon l’annexe 2 de l’OAccD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>946.512</b></ref></p></authorialNote>, ainsi que d’autres normes techniques applicables.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Exigences relatives à la certification de systèmes de gestion</heading><paragraph eId="art_6/para_1"><num>1</num><content><blockList><listIntroduction eId="art_6/para_1/listintro"> L’évaluation du système de gestion porte notamment sur:</listIntroduction><item eId="art_6/para_1/lbl_a"><num>a. </num><p>la politique en matière de protection des données;</p></item><item eId="art_6/para_1/lbl_b"><num>b. </num><p>la documentation concernant les objectifs, les risques et les mesures visant à garantir la protection et la sécurité des données;</p></item><item eId="art_6/para_1/lbl_c"><num>c. </num><p>les dispositions techniques et organisationnelles nécessaires à la mise en œuvre des objectifs et des mesures fixés, notamment pour remédier aux manquements.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><blockList><listIntroduction eId="art_6/para_2/listintro"> Le PFPDT émet des directives sur les exigences minimales qu’un système de gestion doit remplir. Il tient compte des critères internationaux relatifs à l’installation, à l’exploitation, à la surveillance et à l’amélioration de tels systèmes et en particulier des normes techniques suivantes<authorialNote><p> Les normes peuvent être consultées gratuitement ou obtenues contre paiement auprès de l’Association suisse de normalisation (SNV), Sulzerallee 70, 8404 Winterthour, www.snv.ch.</p></authorialNote>:</listIntroduction><item eId="art_6/para_2/lbl_a"><num>a. </num><p>SN EN ISO 9001, systèmes de management de la qualité, exigences;</p></item><item eId="art_6/para_2/lbl_b"><num>b. </num><p>SN EN ISO/IEC 27001, technologies de l’information, techniques de sécurité, système de management de la sécurité de l’information, exigences;</p></item><item eId="art_6/para_2/lbl_c"><num>c. </num><p>SN EN ISO/IEC 27701, techniques de sécurité, extension d’ISO/IEC 27001 et ISO/IEC 27002 au management de la protection de la vie privée, exigences et lignes directrices.</p></item></blockList></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Exigences relatives à la certification des produits, des services et des processus</heading><paragraph eId="art_7/para_1"><num>1</num><content><blockList><listIntroduction eId="art_7/para_1/listintro"> L’évaluation des produits, des services et des processus permet notamment de garantir:</listIntroduction><item eId="art_7/para_1/lbl_a"><num>a. </num><p>la confidentialité, l’intégrité, la disponibilité et la traçabilité des données personnelles traitées;</p></item><item eId="art_7/para_1/lbl_b"><num>b. </num><p>la prévention de tout traitement de données personnelles inutile au vu des finalités du produit, du service ou du processus;</p></item><item eId="art_7/para_1/lbl_c"><num>c. </num><p>la transparence du traitement des données personnelles;</p></item><item eId="art_7/para_1/lbl_d"><num>d. </num><p>les mesures techniques permettant à l’utilisateur de respecter d’autres principes et obligations en matière de protection de données, notamment les droits des personnes concernées.</p></item></blockList></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><p> Le PFPDT émet des directives fixant d’autres critères en matière de protection des données dont il doit être tenu compte lors de l’évaluation.</p></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Octroi et durée de validité de la certification</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> L’organisme de certification certifie le système de gestion, le produit, le service ou le processus si les exigences prévues par le droit de la protection des données et les conditions prévues par la présente ordonnance, par les directives émises par le PFPDT ou par toute autre norme équivalente sont respectées. L’octroi de la certification peut être assorti de charges.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> La durée de validité de la certification est de trois ans. Chaque année, l’organisme de certification vérifie que les conditions de la certification sont remplies.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Reconnaissance des certifications étrangères</heading><paragraph eId="art_9/para"><content><p>Après avoir consulté le SAS, le PFPDT reconnaît les certifications étrangères, pour autant que le respect des exigences de la législation suisse soit garanti.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Exemption de l’obligation d’établir une analyse d’impact relative à la protection des données personnelles</heading><paragraph eId="art_10/para"><content><p>Le responsable du traitement privé ne peut renoncer à établir une analyse d’impact relative à la protection des données personnelles, conformément à l’art. 22, al. 5 LPD, que si la certification inclut le traitement pour lequel il y aurait lieu de procéder à l’analyse d’impact.</p></content></paragraph></article></section><section eId="sec_3"><num>Section 3</num><heading>Sanctions</heading><article eId="art_11"><num><b>Art. 11</b></num><heading>Suspension et révocation de la certification </heading><paragraph eId="art_11/para_1"><num>1</num><content><blockList><listIntroduction eId="art_11/para_1/listintro"> L’organisme de certification peut suspendre ou révoquer une certification, notamment lorsque, dans le cadre de la vérification, il constate des manquements graves. Il y a manquement grave notamment:</listIntroduction><item eId="art_11/para_1/lbl_a"><num>a. </num><p>si les conditions essentielles de la certification ne sont plus remplies, ou </p></item><item eId="art_11/para_1/lbl_b"><num>b. </num><p>si une certification est utilisée de manière trompeuse ou abusive.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> Tout litige concernant la suspension ou la révocation est soumis aux dispositions de droit civil applicables au rapport contractuel liant l’organisme de certification au fournisseur de systèmes ou de logiciels de traitement de données personnelles, au responsable du traitement ou au sous-traitant au bénéfice d’une certification.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Procédure applicable aux mesures de surveillance du PFPDT</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Le PFPDT informe l’organisme de certification s’il constate des manquements graves de la part d’un fournisseur de systèmes ou de logiciels de traitement de données personnelles, d’un responsable du traitement ou d’un sous-traitant au bénéfice d’une certification.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> L’organisme de certification invite immédiatement le fournisseur de systèmes ou de logiciels de traitement de données personnelles, le responsable du traitement ou le sous-traitant au bénéfice d’une certification à remédier, dans un délai de 30 jours après avoir été informé par le PFPDT, aux manquements constatés.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> S’il n’est pas remédié aux manquements dans les 30 jours, l’organisme de certification suspend la certification. Il révoque la certification s’il n’existe aucune perspective d’obtenir ou de rétablir une situation conforme à la loi dans un délai convenable.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><p> S’il n’est pas remédié aux manquements dans le délai prévu à l’al. 2 et si l’organisme de certification ne suspend ni ne révoque la certification, le PFPDT prend une mesure au sens de l’art. 51, al. 1 LPD. Il peut notamment ordonner la suspension ou la révocation de la certification. S’il donne cet ordre à l’organisme de certification, il en informe le SAS.</p></content></paragraph></article></section><section eId="sec_4"><num>Section 4</num><heading>Dispositions finales</heading><article eId="art_13"><num><b>Art. 13</b></num><heading>Abrogation d’un autre acte</heading><paragraph eId="art_13/para"><content><p>L’ordonnance du 28 septembre 2007 sur les certifications en matière de protection des données<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2007/701" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2007</b> 5003</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2010/151" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2010</b> 949</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2016/582" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2016</b> 3447</ref>]</p></authorialNote> est abrogée.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Entrée en vigueur</heading><paragraph eId="art_14/para"><content><p>La présente ordonnance entre en vigueur le 1<sup>er</sup> septembre 2023.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="de" value="Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)" shortForm="VDSZ"/><FRBRname xml:lang="fr" value="Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="en" value="Ordinance of 31 August 2022 on Data Protection Certification (DPCO)" shortForm="DPCO"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/fr/xml"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Annexe</block></container></preface><mainBody><p>(art. 1, al. 4)</p><level eId="annex_u1/lvl_u1"><heading>Exigences minimales concernant les qualifications du personnel</heading><level eId="annex_u1/lvl_u1/lvl_1"><num>1</num><heading>Certification des systèmes de gestion</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/listintro">Le personnel qui certifie les systèmes de gestion, pris dans son ensemble, possède les qualifications suivantes:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/bull_u1"><num>– </num><p>connaissances dans le domaine du droit de la protection des données: activité pratique d’au moins deux ans dans le domaine de la protection des données ou diplôme d’une haute école ou d’une haute école spécialisée sanctionnant des études d’une année au moins, avec comme matière principale le droit de la protection des données;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u2"><num>– </num><p>connaissances dans le domaine de la sécurité de l’information: activité pratique d’au moins deux ans dans le domaine de la sécurité de l’information ou diplôme d’une haute école ou d’une haute école spécialisée sanctionnant des études d’une année au moins, avec comme matière principale la sécurité de l’information;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u3"><num>– </num><p>connaissances des développements en matière de droit de la protection des données et dans le domaine de la sécurité de l’information;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/bull_u4/listintro">formation d’auditeur de système de gestion satisfaisant aux critères internationaux pertinents, tels qu’ils figurent notamment dans les normes suivantes<authorialNote><p>  Les normes peuvent être consultées gratuitement ou obtenues contre paiement auprès de l’Association suisse de normalisation (SNV), Sulzerallee 70, 8404 Winterthour, <ref href="www.snv.ch">www.snv.ch</ref>.</p></authorialNote>:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u1"><num>– </num><p>SN EN ISO/IEC 17021-1, évaluation de la conformité, exigences pour les organismes procédant à l’audit des systèmes de management, partie 1: exigences, </p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u2"><num>– </num><p>SN EN ISO/IEC 17021-3, évaluation de la conformité, exigences pour les organismes procédant à l’audit et à la certification des systèmes de management, partie 3: exigences de compétence pour l’audit et la certification des systèmes de management de la qualité, et </p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u3"><num>– </num><p>SN EN ISO/IEC 27006, technologies de l’information, techniques de sécurité, exigences pour les organismes procédant à l’audit et à la certification des systèmes de management de la sécurité de l’information.</p></item></blockList></item></blockList><p>L’organisme de certification doit disposer d’un personnel qualifié pour chacun des domaines qu’il couvre. L’évaluation des systèmes de gestion par une équipe interdisciplinaire est autorisée. </p></content></level><level eId="annex_u1/lvl_u1/lvl_2"><num>2</num><heading>Certification des produits, des services et des processus</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/listintro">Le personnel qui certifie les produits, les services ou les processus, pris dans son ensemble, possède les qualifications suivantes:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/bull_u1"><num>– </num><p>connaissances dans le domaine du droit de la protection des données: activité pratique d’au moins deux ans dans le domaine de la protection des données ou diplôme d’une haute école ou d’une haute école spécialisée sanctionnant des études d’une année au moins, avec comme matière principale le droit de la protection des données;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u2"><num>– </num><p>connaissances dans le domaine de la sécurité de l’information: activité pratique d’au moins deux ans dans le domaine de la sécurité de l’information ou diplôme d’une haute école ou d’une haute école spécialisée sanctionnant des études d’une année au moins, avec comme matière principale la sécurité de l’information;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u3"><num>– </num><p>connaissances des développements en matière de droit de la protection des données et dans le domaine de la sécurité de l’information;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u4"><num>– </num><p>connaissances spécialisées concernant la certification des produits, des services ou des processus satisfaisant aux exigences du programme de certification et des directives émises par le PFPDT, ainsi qu’aux critères internationaux pertinents, tels qu’ils figurent notamment dans les normes techniques applicables, et dans la norme «SN EN ISO/IEC 17065<authorialNote><p>  La norme peut être consultée gratuitement ou obtenue contre paiement auprès de l’Association suisse de normalisation (SNV), Sulzerallee 70, 8404 Winterthour, <ref href="file:///\\adb.intra.admin.ch\BK$\Appl\Prod\KAV\R\Ressourcen\SR-Einarbeitung\20230901\f\www.snv.ch">www.snv.ch</ref>.</p></authorialNote>, évaluation de la conformité, exigences pour les organismes certifiant les produits, les procédés et les services».</p></item></blockList><p>L’organisme de certification doit disposer d’un personnel qualifié pour chacun des domaines qu’il couvre. L’évaluation des produits, des services et des processus par une équipe interdisciplinaire est autorisée.</p></content></level></level></mainBody></doc></component></components></act></akomaNtoso>