1 Le PFPDT informe l’organisme de certification s’il constate des manquements graves de la part d’un fournisseur de systèmes ou de logiciels de traitement de données personnelles, d’un responsable du traitement ou d’un sous-traitant au bénéfice d’une certification.
2 L’organisme de certification invite immédiatement le fournisseur de systèmes ou de logiciels de traitement de données personnelles, le responsable du traitement ou le sous-traitant au bénéfice d’une certification à remédier, dans un délai de 30 jours après avoir été informé par le PFPDT, aux manquements constatés.
3 S’il n’est pas remédié aux manquements dans les 30 jours, l’organisme de certification suspend la certification. Il révoque la certification s’il n’existe aucune perspective d’obtenir ou de rétablir une situation conforme à la loi dans un délai convenable.
4 S’il n’est pas remédié aux manquements dans le délai prévu à l’al. 2 et si l’organisme de certification ne suspend ni ne révoque la certification, le PFPDT prend une mesure au sens de l’art. 51, al. 1 LPD. Il peut notamment ordonner la suspension ou la révocation de la certification. S’il donne cet ordre à l’organisme de certification, il en informe le SAS.
