Ordonnance d'exécution de la loi sur l'information du public, la protection des données et l'archivage (VIDAG) - Demande; Forme, Contenu (VIDAG)

1. La demande d'accès aux documents officiels peut être faite de manière informelle et n'a pas besoin d'être motivée.

2. La demanderesse ou le demandeur doit fournir les informations raisonnablement exigibles qui permettent à l'organisme public d'identifier le document officiel demandé.

3. L'organisme public peut exiger que la demanderesse ou le demandeur précise la demande.

4. L'organisme public informe la demanderesse ou le demandeur que la demande ne sera pas examinée s'il ou elle ne fournit pas, dans un délai de 20 jours, les précisions nécessaires à l'identification du document demandé (§ 36 al. 1 IDAG).

5. Si la précision requise n'est toujours pas fournie, l'organisme public communique par écrit à la demanderesse ou au demandeur que la demande ne sera pas examinée.

1. Les demandes d'accès aux documents officiels doivent être traitées par l'organisme public qui gère les dossiers ou qui les fait gérer par des tiers.

2. Les demandes d'accès aux documents officiels du Grand Conseil doivent être traitées par le bureau. Si la consultation des dossiers d'une commission est demandée, celle-ci traite elle-même les demandes. Si la commission n'existe plus, les demandes sont traitées par le bureau.

3. ...

4. Les demandes déposées auprès d'une autorité incompétente doivent être transmises à l'organisme public compétent.

1. Lorsque l'accès aux documents officiels est accordé par consultation sur place, l'organisme public doit assurer une protection adéquate des documents.

**1. Les organes publics doivent, lors du traitement électronique de données personnelles, respecter les exigences de confidentialité, d'intégrité, de disponibilité, d'attribution et de traçabilité ainsi que les délais de suppression, en prenant notamment les mesures suivantes :**

a) *Contrôle d'accès :* interdire l'accès aux installations où sont traitées des données personnelles aux personnes non autorisées,

b) *Contrôle des supports de données :* empêcher les personnes non autorisées de lire, copier, modifier ou retirer des supports de données,

c) *Contrôle du transport :* lors de la communication de données personnelles et du transport de supports de données, empêcher que les données puissent être lues, copiées, modifiées ou effacées sans autorisation,

d) *Contrôle de divulgation :* pouvoir identifier les destinataires de données personnelles qui reçoivent les données via des dispositifs de transmission,

e) *Contrôle des enregistrements :* empêcher les saisies non autorisées dans le stockage, ainsi que l'accès, la modification ou la suppression non autorisés de données personnelles stockées,

f) *Contrôle des utilisateurs :* empêcher l'utilisation de systèmes de traitement automatisé des données via des dispositifs de transmission par des personnes non autorisées,

g) *Contrôle des droits d'accès :* restreindre l'accès des personnes autorisées uniquement aux données personnelles nécessaires à l'exécution de leurs tâches,

h) *Contrôle des entrées :* dans les systèmes électroniques, permettre une vérification ultérieure de quelle donnée personnelle a été saisie, à quel moment et par quelle personne,

i) *Restauration :* garantir que les systèmes en place puissent être restaurés en cas de panne,

j) *Fiabilité, intégrité :* garantir que toutes les fonctions du système soient disponibles, que les dysfonctionnements soient signalés et que les données personnelles stockées ne puissent pas être endommagées par des dysfonctionnements du système.

**2. Les mesures sont définies en fonction de l'objectif, de la nature et de l'étendue du traitement des données ainsi que des risques possibles pour les droits personnels des personnes concernées. Elles sont vérifiées périodiquement quant à leur pertinence et proportionnalité et sont adaptées aux évolutions technologiques.**

**3. Les organes publics établissent leur concept de sécurité des données et déterminent les délais de conservation des données qu'ils traitent tout en respectant les obligations de fourniture selon la législation en matière d'archives.**

**4. Au plus tard un an après l'expiration d'une obligation temporaire de fourniture selon la législation archivant ou dix ans après leur création, les données personnelles non reprises par les archives doivent être supprimées, sauf si elles sont encore nécessaires pour l'accomplissement des tâches ou à des fins de preuve sur la base d'une vérification démontrable. La vérification doit être répétée au plus tard tous les dix ans. Des dispositions spéciales dans d'autres actes demeurent réservées.**

1. Les organismes publics documentent, lors de l'exploitation d'un système électronique de traitement des données personnelles, les mesures prises pour garantir la sécurité des données ainsi que leur vérification et leur mise à jour.

2. Les accès aux données personnelles doivent être consignés comme suit, si le respect des objectifs de protection ne peut être garanti autrement

a) * Accès par les administrateurs système

b) * Accès par les utilisateurs pour

1. l'authentification et l'autorisation,

2. la saisie et la modification des données,

3. la consultation des données,

4. la transmission des données,

5. la suppression des données.

2bis Les journaux doivent être conservés pendant une année de manière conforme à la révision. Ils ne peuvent être utilisés qu'à des fins de vérification de la légalité du traitement des données et d'assurance de la sécurité des informations et de l'informatique.

3. ...

1. Les organismes publics réalisent une analyse d’impact sur la protection des données à chaque introduction et extension d’une application informatique traitant des données personnelles ou en cas de changements technologiques susceptibles d’entraîner un risque accru pour la personnalité et les droits fondamentaux de la personne concernée. Un risque accru est considéré comme existant notamment si

a) * le système permet le profilage,

b) * des données personnelles particulièrement sensibles sont traitées,

c) * le traitement des données personnelles est effectué par des mandataires,

d) * deux ou plusieurs organismes publics traitent des données personnelles dans un système électronique commun.

2. Il est possible de renoncer à l’analyse d’impact sur la protection des données, lorsque et dans la mesure où les traitements de données sont expressément régis par la base légale.

3. Les organismes publics consignent par écrit le résultat de l’analyse d’impact sur la protection des données (§ 17a al. 2 IDAG). Une copie doit être remise à la personne chargée de l’information du public et de la protection des données, si l’application n’est pas soumise pour consultation préalable.

1. L'évaluation des conséquences sur la protection des données comprend au minimum

a) l'organisme public responsable, la base légale, l'objectif et une description systématique des traitements de données envisagés,

b) une évaluation de la nécessité et de la proportionnalité des traitements de données par rapport à l'objectif,

c) une évaluation des risques pour la personnalité et les droits fondamentaux des personnes concernées, en tenant compte des objectifs de protection conformément à l'article 4, alinéa 1 et

d) les mesures techniques et organisationnelles prévues pour gérer les risques (article 4, alinéa 1), y compris en ce qui concerne les traitements de données effectués par des tiers mandatés.

1. Avec la demande de consultation préalable (§ 17b IDAG), l’organisme public responsable soumet la documentation de l’évaluation des conséquences sur la protection des données.

2. L’organisme public n’exécute pas les traitements de données prévus tant que la consultation n’est pas achevée.

3. La consultation est considérée comme achevée lorsque la personne chargée de la transparence et de la protection des données déclare l'application sans risque ou émet une recommandation conformément au § 17b alinéa 2 IDAG.

1. Les violations de la sécurité des données sont notamment des atteintes à la sécurité qui entraînent la destruction, la perte, la modification ou l'accès non autorisé aux données personnelles.

2. La protection de la personne concernée n'exige pas de notification lorsque

a) les mesures techniques et organisationnelles de l'organisme public ont empêché toute prise de connaissance des données personnelles par des personnes non autorisées, ou

b) l'organisme public a pris des mesures subséquentes garantissant qu'il n'existe probablement plus de risque accru pour la personnalité et les droits fondamentaux des personnes concernées, ou

c) cela impliquerait un effort disproportionné et, à la place, une annonce publique ou une autre mesure d'information efficace a été effectuée.

1. Les données personnelles particulièrement protégées comprennent notamment les données concernant

a) les activités religieuses, idéologiques, politiques ou syndicales,

b) la santé, l'intimité ou l'appartenance ethnique,

c) les mesures d'aide sociale,

d) les poursuites administratives ou pénales et les sanctions,

e)* les caractéristiques génétiques héritées ou acquises d'une personne, qui fournissent des informations précises sur sa physiologie ou sa santé, et qui ont été obtenues notamment à partir de l'analyse d'un prélèvement biologique de la personne concernée (données génétiques),

f)* les caractéristiques physiques, physiologiques ou comportementales d'une personne, obtenues par des procédés techniques spécifiques, permettant ou confirmant l'identification unique de cette personne (données biométriques).

1. En cas de communication de données à des fins non personnelles, notamment pour la recherche, la planification et les statistiques, il peut être omis d'informer les personnes concernées. Les dispositions légales contraires sont réservées.

2. Lorsque les données sont collectées et stockées exclusivement pour le respect et le contrôle de la sécurité des données, il n'existe aucune obligation d'information des personnes concernées.

3. Lorsque les données sont collectées et stockées exclusivement pour le respect des obligations de conservation et d'archivage, il n'existe aucune obligation d'information des personnes concernées.

1. Le blocage de données conformément à l'article 16 de la LIPD doit être confirmé par écrit aux personnes concernées par le bureau de contrôle des habitants.

2. La demande de levée d'un blocage de données doit être faite par écrit.

1. Un intérêt légitime selon § 16 al. 1 IDAG existe notamment lorsqu'une relation juridique, économique ou personnelle avec la personne sur laquelle une information est demandée, est établie.

2. Le but idéal selon § 16 al. 2 IDAG est notamment présent

a) pour les partis politiques dans le but de promouvoir l'intérêt politique,

b) pour les organisations à but non lucratif dans le cadre de la recherche de membres et des appels aux dons ; le label de qualité ZEWO ou la reconnaissance correspondante par l'administration fiscale du canton d'Argovie sert de preuve du caractère non lucratif,

c) pour les associations et organisations locales et régionales en vue de promouvoir la vie communautaire, la prévention en matière de santé, le sport ou la culture.

1. Le contrôle de la population peut exiger, pour la communication de données personnelles conformément à l'article 16 de la loi IDAG, la soumission d'une déclaration dans laquelle le ou la requérante s'engage à respecter des conditions, notamment à traiter uniquement pour le but indiqué ou à respecter l'interdiction de transmission.

2. La déclaration d'engagement peut être assortie d'une convention de pénalité conventionnelle en cas de non-respect des conditions.

1. Si des espaces accessibles au public sont surveillés par des dispositifs opto-électroniques conformément à l'article 20 de la LIDAG de manière à permettre l'identification des personnes, un règlement doit au minimum inclure les informations suivantes

a) Objectif de la surveillance,

b) Désignation de la personne ou de l'entité chargée de l'exécution de la surveillance et autorisée à traiter, notamment à analyser, les données,

c) Désignation des bâtiments et lieux surveillés,

d) Détermination des périodes de surveillance,

e) Détermination si les données sont stockées et éventuellement pour quelle durée.

2. Les dispositifs opto-électroniques doivent être réglés de manière à ne collecter que les données absolument nécessaires.

3. Les données recueillies ne peuvent être utilisées qu'aux fins prévues. L'organisme public doit garantir la sécurité des données conformément à l'article 4.

4. Le règlement doit être soumis à la personne chargée de la transparence et de la protection des données avec la demande d'autorisation (article 20, paragraphe 1, phrase 2 LIDAG).

1. Les preneurs de commandes pour le traitement de données personnelles doivent être soigneusement sélectionnés par l'organisme public, en tenant compte particulièrement des mesures techniques et organisationnelles entreprises par ces derniers. Par contrat ou conditions, il convient de fixer

a) L'objet et la durée du mandat,

b) L'étendue, la nature et l'objectif du traitement de données prévu, la nature des données et le cercle des personnes concernées,

c) Les mesures techniques et organisationnelles à prendre pour assurer la sécurité des données, ainsi que leur contrôle et documentation,

d) La mise en œuvre des revendications des personnes concernées,

e) L'obligation de confidentialité et le transfert de cette obligation à toutes les personnes traitant les données,

f) L'éventuelle autorisation de sous-traitance,

g) Les droits de contrôle de l'organisme public donneur d'ordre et les obligations correspondantes de tolérance et de coopération du preneur de commande,

h) L'obligation de notification du preneur de commande en cas de violation de la sécurité des données,

i) Le pouvoir de donner des instructions de l'organisme public,

j) La restitution des supports de données fournis et la suppression des données stockées chez le preneur de commande.

2. Si le traitement des données personnelles ne constitue pas l'obligation principale du preneur de commande, l'accord ou les conditions doivent s'aligner par analogie sur le contenu de l'alinéa 1.

1. Les proches parents, qui ont un droit d'accès conformément au § 26 IDAG, sont des personnes qui étaient apparentées ou alliées aux défunts en ligne directe ou jusqu'au degré des enfants de frères et sœurs.

1. Données personnelles qui ne peuvent pas être prouvées exactes par l'organisme public responsable ne doivent être conservées avec une annotation correspondante, plutôt que supprimées, que s'il n'existe plus d'autres données officielles relatives à cette personne qui correspondraient au but de la collecte de données.

1. La personne chargée de la publicité et de la protection des données est administrativement rattachée au Département de l'économie publique et de l'intérieur.

2. La personne chargée de la publicité et de la protection des données engage son personnel. Elle peut faire appel à des experts lorsque l'accomplissement de ses tâches exige des connaissances spécialisées.

1. Les demandes d'information et/ou d'accès à des documents officiels doivent être traitées dans la mesure du possible dans un délai de 10 jours.

2. ...

3. Les organismes publics donnent, dans un délai de 30 jours après réception d'une recommandation conformément à l'art. 32 alinéa 3 IDAG, une déclaration écrite indiquant s'ils acceptent la recommandation.

1. La personne chargée de la communication et de la protection des données assure une publication appropriée des recommandations et décisions conformément à l'article 32, alinéas 3 à 5 de l'IDAG sous forme anonyme, de préférence sur Internet.

1. En cas de questions sur la sécurité informatique ou d'autres questions relatives à l'informatique, la personne chargée de l'information et de la protection des données sollicite l'avis du département des finances et des ressources.

2. Les organismes publics sollicitent l'avis de la personne chargée de l'information et de la protection des données avant l'adoption de lois, ordonnances, directives, règlements ou instructions dans le domaine d'application de l'IDAG.

3. Les décisions dans le domaine d'application de l'IDAG doivent être notifiées à la personne chargée de l'information et de la protection des données, dans la mesure où elle n'est pas déjà partie prenante. Elle est autorisée à introduire des recours administratifs et judiciaires.

4. Si la personne chargée de l'information et de la protection des données a eu la possibilité d'introduire un recours, elle n'émet ni recommandations ni décisions dans la même affaire, sauf en cas de motifs de réexamen conformément à l'article 39, alinéa 2 de la loi sur la procédure administrative (loi sur la procédure administrative, LPAd) du 4 décembre 2007.

1. Le montant des frais à percevoir par les organes publics conformément à l'article 40, paragraphe 2, de la Loi sur l'impôt direct (IDAG) est déterminé selon l'article 5 du Règlement relatif aux frais (GebührV) du 13 mars 2024.

2. ...

1. Les organismes publics veillent à la collecte, à l'organisation et à la conservation sécurisée des documents et autres enregistrements relevant de leur domaine de compétence, qui servent à l'accomplissement de tâches publiques, indépendamment de leur forme et du support d'information (informations).

2. Ils classifient les documents et informations qu'ils gèrent dans des dossiers, qui doivent être assignés de manière univoque à une position du système de classification suivi.

2bis. Sont exclues de la formation de dossiers les informations qui, en raison de leur finalité, ne s'y prêtent pas et qui sont traitées avec les moyens informatiques appropriés. Ces informations doivent également être attribuées de manière univoque à une position du système de classification suivi.

3. ...

1. Pour l'administration cantonale, à l'exception des établissements autonomes de droit public, s'applique le Règlement sur la gestion des dossiers dans l'administration cantonale (Règlement sur les dossiers) du 29 octobre 2025.

1. Les autorités cantonales suivantes (organes obligés de l'offre) sont tenues de proposer tous les dossiers et informations aux Archives d'État lorsque leurs délais de conservation sont expirés et qu'elles n'en ont plus besoin de manière permanente

a) Grand Conseil,

b) Tribunaux, y compris les autorités de conciliation, l'office des faillites et l'inspectorat des poursuites,

c) Conseil d'État,

d) Chancellerie d'État et départements, y compris les établissements de droit public sans personnalité juridique,

e) personne chargée de la transparence et de la protection des données,

f) contrôle financier,

g) commissions et groupes de travail rattachés à une autorité susmentionnée.

1. Les établissements publics autonomes du canton gèrent leurs propres archives.

2. Ils peuvent convenir avec les Archives d'État de proposer à ces dernières des dossiers et des informations revêtant une importance pour le public et la recherche scientifique. Les §§ 24-26b s'appliquent mutatis mutandis.

1. L'archive d'État détermine en collaboration avec les entités soumises à l'obligation de proposer, quels dossiers et informations méritent d'être archivés.

2. Les entités soumises à l'obligation de proposer établissent, en concertation avec l'archive d'État, les délais de conservation minimaux adéquats de leurs dossiers et informations pour des raisons juridiques et administratives.

3. Le délai est calculé à partir de la date du document le plus récent d'une affaire. Pour les informations conformément au § 23 alinéa 2bis, l'archive d'État, en collaboration avec l'entité soumise à l'obligation de proposer, fixe les intervalles réguliers pour la livraison selon le § 26a.

1. Intérêts publics prépondérants selon l'article 45, alinéa 3 IDAG se manifestent notamment lorsque la consultation des dossiers et des informations est susceptible de

a) compromettre la sécurité du canton,

b) altérer durablement les relations avec des États étrangers, des organisations internationales ou entre le canton d'Argovie et la Confédération ou d'autres cantons, ou

c) affecter gravement la capacité d'action du Conseil d'État.

2. Si les motifs d’empêchement selon l'article 45, alinéa 3 IDAG n'existent plus ou si le délai prolongé a expiré, les dossiers et informations doivent être immédiatement proposés aux archives d'État.

1. Les organismes tenus de proposer livrent au Archives d'État les dossiers et informations jugés dignes d'archive.

2. La livraison s'effectue conformément aux directives des Archives d'État.

1. Les organismes soumis à l'obligation de proposition sont tenus de détruire les dossiers et informations que les Archives d'État jugent non dignes d'être archivés.

2. Ils s'assurent de la destruction ordonnée et documentent chaque destruction.

3. Les actions suivantes concernant les dossiers et informations requièrent l'accord préalable des Archives d'État

a) Destruction,

b) Remplacement électronique de fichiers volumineux tenus sur papier.

4. Les Archives d'État ne détruisent aucun document d'archive sans l'accord écrit de l'organisme soumis à l'obligation de proposition compétent.

1. Sous la supervision des Archives d'État relèvent tous les locaux de conservation ainsi que les lieux de stockage des dossiers et informations des entités soumises à l'obligation de dépôt et des établissements autonomes de droit public du canton.

2. Les Archives d'État peuvent, dans le cadre de leur surveillance, notamment

a) exiger des renseignements et des documents,

b) émettre des rappels et des directives,

c) ordonner des mesures pour rétablir la légalité lorsque des intérêts publics considérables existent pour l'archivage de ces dossiers ou informations.

1. Les archives de l'archive d'État comprennent

a) Les archives d'Aargau de l'époque des prédécesseurs légaux du canton jusqu'en 1798 ainsi que des cantons helvétiques d'Aargau, Baden et Fricktal (y compris les archives des institutions ecclésiastiques supprimées),

b) * Les archives des organes publics du canton depuis 1803,

c) * D'autres archives qui sont importantes pour l'histoire du canton, des localités et des personnes, et qui sont léguées ou confiées à l'archive d'État en tant que propriété ou dépôt - par des institutions, organisations, personnes physiques et morales - ou qui deviennent autrement la propriété de l'archive d'État,

d) * ...

e) Une bibliothèque de consultation.

1. Les archives sont ouvertes au public pour consultation.

2. La consultation des archives provenant de successions et de dépôts est régie par les dispositions des contrats de cession.

3. Les détails sont réglés par les Archives d'État dans un règlement d'utilisation, qui doit être approuvé par le Conseil d'État. Le règlement d'utilisation régit également de manière générale le prêt et l'utilisation commerciale conformément aux §§ 28 et 29.

1. Les Archives d'État peuvent effectuer des recherches pour des tiers.

2. ...

3. ...

1. L'archive nationale peut prêter des documents d'archives pour la recherche scientifique ainsi qu'à des fins d'exposition pour une durée appropriée, à condition que le traitement adéquat et la sécurité soient garantis.

1. Les Archives d'État fixent, dans chaque cas particulier, les conditions et la procédure d'utilisation commerciale des archives.

2. Les contrats correspondants doivent être signés par le chef ou la cheffe du département de l'éducation, de la culture et du sport pour être valides.

1. La supervision administrative des archives d'État est exercée par une commission d'archives composée de cinq à sept membres. Elle soutient et conseille le Conseil d'État dans la promotion et la coordination de l'archivage dans le canton.

2. Le Conseil d'État élit les membres de la commission d'archives ainsi que leur présidente ou président pour une durée de quatre ans.

1. Les ajustements techniques et organisationnels nécessaires conformément à l'article 5 doivent être effectués au plus tard dans un délai de quatre ans après l'entrée en vigueur du présent règlement.

1. Ce règlement doit être publié dans le recueil des lois. Il entre en vigueur le 1er juillet 2008.