Art. 5 Zertifizierung von Produkten

¹ Zertifizierbar sind Produkte, die hauptsächlich der Bearbeitung von Personendaten dienen oder bei deren Benutzung Personendaten, namentlich Daten über die Benutzerin oder den Benutzer, generiert werden.

² Gegenstand der Prüfung ist namentlich die produktimmanente Gewährleistung:

a.: von Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der bearbeiteten Personendaten im Hinblick auf den Verwendungszweck des Produkts;
b.: der Vermeidung der im Hinblick auf den Verwendungszweck des Produkts nicht erforderlichen Generierung, Speicherung oder anderen Bearbeitung von Personendaten;
c.: von Transparenz und Nachvollziehbarkeit der automatisierten Bearbeitung von Personendaten, die im Rahmen der vom Hersteller festgelegten Funktionalität eines Produkts erfolgt;
d.: von technischen Massnahmen zur Unterstützung des Anwenders oder der Anwenderin bei der Einhaltung weiterer Datenschutzgrundsätze und datenschutzrechtlicher Pflichten.

³ Der oder die Beauftragte erlässt Richtlinien darüber, welche datenschutzspezifischen Kriterien im Rahmen der Zertifizierung eines Produkts mindestens zu prüfen sind.⁵

⁵ Fassung gemäss Ziff. I der V vom 12. März 2010, in Kraft seit 1. April 2010 (AS 2010 949).

Art. 5 Certification de produits

¹ Peuvent faire l’objet d’une certification les produits servant principalement au traitement de données personnelles ou générant, lors de leur utilisation, des données personnelles concernant notamment l’utilisateur.

² L’organisme de certification examine notamment si le produit lui-même garantit:

a.: la confidentialité, l’intégrité, la disponibilité et l’authenticité des données personnelles traitées, au vu des finalités du produit ou du système;
b.: la prévention de la génération, de l’enregistrement ou de tout autre traitement de données personnelles inutile au vu des finalités du produit;
c.: la transparence et la reproductibilité des traitements automatisés de données personnelles effectués dans le cadre de la fonctionnalité du produit définie par le fabricant;
d.: la mise en place de mesures techniques permettant à l’utilisateur de respecter d’autres principes et obligations en matière de protection de données.

³ Le préposé édicte des directives fixant les critères spécifiques en matière de protection des données qu’un produit doit remplir dans le cadre d’une certification.⁵

⁵ Nouvelle teneur selon le ch. I de l’O du 12 mars 2010, en vigueur depuis le 1^er avr. 2010 (RO 2010 949).

Dies ist keine amtliche Veröffentlichung. Massgebend ist allein die Veröffentlichung durch die Bundeskanzlei.
Ceci n’est pas une publication officielle. Seule la publication opérée par la Chancellerie fédérale fait foi. Ordonnance sur les publications officielles, OPubl.