Ordonnance
sur la protection des données
(OPDo)

¹ Pour as­surer la con­fid­en­ti­al­ité, le re­spons­able du traite­ment et le sous-trait­ant prennent des mesur­es ap­pro­priées afin que:

a.

les per­sonnes autor­isées n’aient ac­cès qu’aux don­nées per­son­nelles dont elles ont be­soin pour ac­com­plir leurs tâches (con­trôle de l’ac­cès aux don­nées);

b.

seules les per­sonnes autor­isées puis­sent ac­céder aux lo­c­aux et aux in­stall­a­tions util­isés pour le traite­ment de don­nées (con­trôle de l’ac­cès aux lo­c­aux et aux in­stall­a­tions);

c.

les per­sonnes non autor­isées ne puis­sent pas util­iser les sys­tèmes de traite­ment auto­mat­isé de don­nées per­son­nelles à l’aide d’in­stall­a­tions de trans­mis­sion (con­trôle d’util­isa­tion).

² Pour as­surer la dispon­ib­il­ité et l’in­té­grité, le re­spons­able du traite­ment et le sous-trait­ant prennent des mesur­es ap­pro­priées afin que:

a.

les per­sonnes non autor­isées ne puis­sent pas lire, copi­er, mod­i­fi­er, dé­pla­cer, ef­facer ou détru­ire des sup­ports de don­nées (con­trôle des sup­ports de don­nées);

b.

les per­sonnes non autor­isées ne puis­sent pas en­re­gis­trer, lire, mod­i­fi­er, ef­facer ou détru­ire des don­nées per­son­nelles dans la mé­m­oire (con­trôle de la mé­m­oire);

c.

les per­sonnes non autor­isées ne puis­sent pas lire, copi­er, mod­i­fi­er, ef­facer ou détru­ire des don­nées per­son­nelles lors de leur com­mu­nic­a­tion ou lors du trans­port de sup­ports de don­nées (con­trôle du trans­port);

d.

la dispon­ib­il­ité des don­nées per­son­nelles et l’ac­cès à celles-ci puis­sent être rap­idement res­taurés en cas d’in­cid­ent physique ou tech­nique (res­taur­a­tion);

e.

toutes les fonc­tions du sys­tème de traite­ment auto­mat­isé de don­nées per­son­nelles soi­ent dispon­ibles (dispon­ib­il­ité), que les dys­fonc­tion­ne­ments soi­ent sig­nalés (fiab­il­ité) et que les don­nées per­son­nelles stock­ées ne puis­sent pas être en­dom­magées en cas de dys­fonc­tion­ne­ments du sys­tème (in­té­grité des don­nées);

f.

les sys­tèmes d’ex­ploit­a­tion et les lo­gi­ciels d’ap­plic­a­tion soi­ent tou­jours main­tenus à jour en matière de sé­cur­ité et que les failles cri­tiques con­nues soi­ent cor­rigées (sé­cur­ité du sys­tème).

³ Pour as­surer la traç­ab­il­ité, le re­spons­able du traite­ment et le sous-trait­ant prennent des mesur­es ap­pro­priées afin que:

a.

il soit pos­sible de véri­fi­er quelles don­nées per­son­nelles sont sais­ies ou modi­fiées dans le sys­tème de traite­ment auto­mat­isé de don­nées, par quelle per­sonne et à quel mo­ment (con­trôle de la sais­ie);

b.

il soit pos­sible de véri­fi­er à qui sont com­mu­niquées les don­nées per­son­nelles à l’aide d’in­stall­a­tions de trans­mis­sion (con­trôle de la com­mu­nic­a­tion);

c.

les vi­ol­a­tions de la sé­cur­ité des don­nées puis­sent être rap­idement détectées (détec­tion) et que des mesur­es puis­sent être prises pour at­ténuer ou éliminer les con­séquences (ré­par­a­tion).