Loi sur la protection des données, l'information et l'archivage (DIAG) - But (DIAG)

1. Cette loi régit la gestion des données par les organismes publics, en particulier les données personnelles.

2. Elle régit les droits correspondants des personnes concernées et du public, et établit les principes pour l'archivage et la conservation.

**1. La loi s'applique au canton, aux districts, aux communes, aux corporations de droit public et, dans la mesure où elles exécutent des tâches publiques, aux établissements de droit public ayant leur siège dans le canton. Elle ne s'applique pas à la Banque Cantonale d'Appenzell.**

**2. Lorsque des tâches publiques sont réalisées par des tiers, la loi s'applique mutatis mutandis.**

**3. Les droits et prétentions dans les procédures pendantes de droit civil, pénal et administratif sont régis par le droit procédural applicable. Le traitement des données personnelles dans ces procédures n'est pas soumis à la surveillance du ou de la délégué(e) à la protection des données.**

**1. Les organes publics** sont les autorités, commissions, bureaux et représentations qui agissent pour une collectivité, une corporation ou un établissement, ainsi que les personnes privées, dans la mesure où elles assument des tâches publiques.

**2. Les organes responsables** sont considérés comme les organes publics qui portent la responsabilité des obligations selon cette loi.

**3. Les documents officiels** sont des écrits gérés par des organes publics.

**4. Les données** sont, indépendamment de la forme de présentation et du support, tous les enregistrements servant à l'accomplissement des tâches publiques.

**5. Les données personnelles** sont des informations concernant des personnes physiques identifiées ou identifiables.

**6. Sont particulièrement dignes de protection les données personnelles dont le traitement comporte un risque accru de violation des droits fondamentaux, principalement des informations sur :**

a) les opinions politiques, les convictions religieuses ou philosophiques et l'appartenance à une association ou un syndicat politique ou de partenariat social ;

b) l'origine ou l'appartenance ethnique ;

c) la vie sexuelle ou l'orientation sexuelle ;

d) la santé ainsi que les données génétiques et biométriques ;

e) les procédures et mesures d'assistance sociale ainsi que de protection de l'enfance et des adultes ;

f) les mesures et sanctions administratives et pénales.

**7. Les collections de données** sont des ensembles de données personnelles qui sont ou peuvent être classés par personnes.

**8. Le profilage** est l'évaluation des données pour analyser des caractéristiques personnelles ou pour prédire des évolutions, notamment en ce qui concerne la performance professionnelle, la santé, la vie privée ou la mobilité. Les résultats du profilage sont considérés comme des données personnelles particulièrement dignes de protection.

1. Le traitement des données personnelles comprend, indépendamment des moyens et procédures utilisés, toute forme de gestion de celles-ci, notamment la collecte, la transmission, la conservation, l'utilisation, la modification, la divulgation, l'archivage et la suppression des informations.

1. Les organes publics peuvent traiter des données personnelles lorsque cela est nécessaire pour l'exécution du droit fédéral ou cantonal.

2. Le traitement de données personnelles particulièrement dignes de protection ou un profilage sont autorisés si

a) la loi le prévoit ou s'il est nécessaire pour une tâche définie par la loi, ou

b) la personne concernée a déjà rendu les données accessibles au public, ou

c) la personne concernée a consenti au traitement ou le consentement ne peut être obtenu qu'avec un effort disproportionné, mais le traitement est dans son intérêt.

3. L'organe responsable doit pouvoir démontrer qu'il respecte les dispositions en matière de protection des données.

4. Les données personnelles doivent être exactes ainsi que adaptées et nécessaires à l'accomplissement de la tâche. Elles ne doivent pas être traitées de manière contraire à la bonne foi.

1. Le traitement des données personnelles peut être délégué si

a) une règle généralement abstraite ou un accord contractuel écrit existe à cet effet,

b) la mission est clairement définie et

c) le respect des dispositions légales est garanti par des mesures appropriées.

2. L'organisme public mandatant demeure co-responsable. Une sous-traitance supplémentaire n'est possible qu'avec son consentement écrit.

1. Les données personnelles peuvent être traitées à des fins non personnelles, notamment pour la recherche, la planification et les statistiques, si

a) elles sont anonymisées dès que le but du traitement le permet, et

b) le résultat est publié de telle manière qu'il ne soit pas possible de tirer des conclusions sur les personnes concernées.

2. Les données personnelles peuvent également être confiées à des tiers à des fins non personnelles, à condition qu'ils garantissent le respect des exigences de cette disposition et la confidentialité.

1. Si un traitement de données entraîne vraisemblablement un risque accru pour la personnalité ou les droits fondamentaux de la personne concernée, l’organe responsable effectue une analyse d'impact relative à la protection des données au préalable.

2. Celle-ci contient au minimum

a) une description générale des opérations de traitement prévues,

b) une évaluation des atteintes possibles à la personnalité et aux droits fondamentaux des personnes concernées, et

c) une présentation et une évaluation des mesures prévues pour protéger les droits fondamentaux des personnes concernées, qui sont prévues pour réduire le risque de violation de la personnalité et des droits fondamentaux des personnes concernées.

1. Les données personnelles doivent être protégées de manière adéquate contre tout traitement non autorisé par des mesures techniques et organisationnelles.

2. La protection et la sécurité des données relèvent de la responsabilité de l'organisme qui traite ou fait traiter ces données.

3. Lorsque plusieurs organismes traitent un ensemble commun de données, la responsabilité incombe en premier lieu au détenteur ou à la détentrice de cet ensemble. Chaque organisme reste responsable de son propre domaine.

1. Les données personnelles qui ne sont plus nécessaires doivent être anonymisées ou supprimées.

1. Les données personnelles ne peuvent être collectées autrement que directement auprès des personnes concernées que dans des circonstances particulières.

1. Les données personnelles peuvent être collectées à des fins de protection des personnes et des biens dans des lieux accessibles au public à l'aide de dispositifs techniques, si

a) la surveillance est signalée de manière adéquate,

b) les données personnelles stockées sont supprimées au plus tard dans un délai de 100 jours ou, dans ce délai, remises aux autorités de poursuite pénale avec une plainte pénale, et

c) le ou la délégué(e) à la protection des données est informé(e) de la surveillance.

2. L'utilisation de dispositifs de surveillance est ordonnée par l'organe exécutif suprême de l'entité, corporation ou institution qui possède le droit d'utilisation ou la souveraineté sur le lieu à surveiller.

1. L'organe responsable informe les personnes concernées sur

a) la collecte de données personnelles,

b) la base légale,

c) la nature des données,

d) le but du traitement et

e) leurs droits.

2. Il communique les parties impliquées dans la collecte des données ainsi que d'éventuels destinataires de données personnelles.

3. L'obligation d'information ne s'applique pas si le traitement des données personnelles est prévu par la loi, si la personne concernée dispose déjà de l'information, ou si fournir l'information n'est possible qu'avec un effort disproportionné.

1. Les données personnelles peuvent être communiquées lorsque et dans la mesure où les conditions légales pour leur traitement sont remplies.

2. Les données qui ne sont pas particulièrement sensibles peuvent également être communiquées à

a) des organismes publics, si cela est indispensable à l'accomplissement d'une tâche légale, notamment pour l'exercice d'une obligation de surveillance ;

b) des personnes privées, si celles-ci justifient d'un intérêt digne de protection qui prévaut sur les intérêts de la confidentialité.

3. La commission des états civils peut régler les conditions nécessaires pour la communication de données aux organismes publics.

1. Le contrôle des habitants peut communiquer aux particuliers, sur demande, les données personnelles suivantes

a) Nom, prénom, date de naissance et adresse, en cas de départ également la nouvelle adresse ;

b) autres données, à condition qu'il ne s'agisse pas de données personnelles particulièrement sensibles et qu'un intérêt légitime soit rendu vraisemblable.

2. Lorsque les données personnelles sont utilisées exclusivement à des fins non commerciales, elles peuvent être communiquées de manière ordonnée.

3. Les données personnelles, qui sont contenues dans des publications officielles ou autorisées par des autorités et accessibles au public, peuvent être communiquées dans la mesure et selon l'ordre dans lesquels elles sont publiées.

1. Les données personnelles peuvent être divulguées aux organismes publics à l'étranger si une protection adéquate des données est également garantie dans ces pays.

2. En l'absence d'une législation garantissant une protection adéquate, la divulgation est autorisée si

a) des garanties alternatives suffisantes, notamment par contrat, assurent une protection adéquate à l'étranger, ou

b) la personne concernée a consenti dans un cas particulier ou a rendu les données généralement et sans réserve accessibles.

3. Dans un cas particulier, la divulgation est autorisée si elle est indispensable pour

a) la sauvegarde d'un intérêt public prépondérant,

b) l'établissement, l'exercice ou la défense de droits en justice, ou

c) la protection de la vie ou de l'intégrité physique de la personne concernée.

1. Le canton tient un registre public centralisé des collections de données personnelles.

2. Le registre contient

a) la désignation de la collection de données,

b) les catégories des personnes concernées et leur nombre,

c) la finalité de la collecte et la base légale,

d) le type de données,

e) l'organe responsable de la collecte de données,

f) les destinataires réguliers des données personnelles et

g) le type de traitement.

3. Les collections de données enregistrées et les modifications substantielles effectuées doivent être régulièrement communiquées au délégué ou à la déléguée à la protection des données.

1. Toute personne peut, en démontrant un intérêt digne de protection, exiger que certaines données personnelles la concernant soient bloquées.

2. Malgré le blocage existant, les données personnelles peuvent être communiquées après que la personne concernée ait eu la possibilité de s'exprimer, si

a) il existe une obligation légale de divulgation,

b) l'accomplissement d'une tâche serait autrement compromis, ou

c) la personne destinataire démontre de manière crédible que les données sont nécessaires pour faire valoir ses droits légaux ou qu'un blocage a été obtenu de manière abusive.

1. Toute personne peut exiger du détenteur ou de la détentrice d’une collection de données que

a) des données personnelles inexactes la concernant soient rectifiées,

b) le traitement non autorisé de données personnelles soit cessé,

c) le caractère illicite d’un traitement illégal soit constaté,

d) les conséquences du traitement illégal soient éliminées et

e) les données correspondantes soient supprimées ou bloquées.

2. Si l’organisme conteste l’inexactitude des données personnelles, il lui incombe de prouver leur exactitude. La personne concernée doit collaborer, dans la mesure du raisonnable, à la clarification.

3. Si ni l’exactitude ni l’inexactitude des données personnelles ne peuvent être prouvées, une mention doit être apposée sur les données correspondantes et le traitement doit, le cas échéant, être limité.

1. Si des données personnelles traitées ont été supprimées, modifiées ou divulguées de manière involontaire ou illégale, ou ont été rendues accessibles à des personnes non autorisées, l'organe responsable le signale au ou à la délégué·e à la protection des données.

2. En concertation avec le ou la délégué·e à la protection des données, la notification doit également être faite aux personnes concernées ainsi qu'aux destinataires des données personnelles.

3. Une notification peut être omise si l'incident ne met pas en danger les droits fondamentaux des personnes concernées ou si des intérêts de secret public ou privé prévalent. Elle peut également être omise envers les destinataires des données s'il est impossible de notifier ou si cela ne peut être fait qu'avec un effort disproportionné.

4. L'organe responsable informe des modifications significatives concernant les données personnelles les sous-traitants ; ces derniers signalent à leur tour à l'organe responsable tout traitement non autorisé des données personnelles.

1. La commission de déontologie nomme, sous réserve de l'approbation par le Grand Conseil, pour une durée de mandat de quatre ans, une personne experte en matière de protection des données en tant que délégué ou déléguée à la protection des données. Les renouvellements de mandat sont possibles.

2. Le ou la déléguée à la protection des données est indépendant(e) et ne reçoit pas d'instructions.

3. Le Grand Conseil est habilité à confier la fonction du ou de la déléguée à la protection des données à un bureau de protection des données intercantonal ou extraterritorial.

1. Le ou la préposé(e) à la protection des données a les tâches et compétences suivantes

a) Suivre les évolutions pertinentes pour la protection des données personnelles,

b) Effectuer de manière autonome ou à la demande des personnes concernées des vérifications par échantillonnage du respect des dispositions relatives à la protection des données,

c) Sensibiliser le public, notamment les personnes vulnérables, à la protection des données,

d) Conseiller les organismes publics et les personnes concernées sur les questions de protection des données et émettre des recommandations pour le traitement des données personnelles,

e) Contrôler préalablement les méthodes de traitement susceptibles de porter atteinte à la personnalité d'un grand nombre de personnes,

f) Traiter les notifications réglementaires des personnes concernées en matière de protection des données, en informant sur le résultat ou l'état des enquêtes dans un délai de trois mois,

g) Émettre des avis sur les ordonnances et projets dans la mesure où ils sont importants pour la protection des données, ainsi que sur les mesures techniques et organisationnelles visant à garantir la protection des données,

h) Avoir la compétence de contester les décisions dans le domaine de la protection des données et de former un recours, ainsi que de signaler des violations sous forme de notification réglementaire,

i) Collaborer avec les organes de protection des données d'autres cantons, de la Confédération et de l'étranger pour accomplir les tâches de contrôle,

j) Soumettre chaque année le budget, que la commission d'état transmet au Grand Conseil sans modifications, et

k) Présenter chaque année un rapport à la commission d'état à l'intention du Grand Conseil.

2. Les organismes responsables sont tenus de fournir au ou à la préposé(e) à la protection des données des informations sur le traitement des données ainsi que de permettre l'accès à leurs documents.

3. Si un organisme ne suit pas les recommandations, le ou la préposé(e) à la protection des données peut, si l'intérêt à l'application est prépondérant, émettre une décision.

1. L'organisme public responsable soumet au préposé ou à la préposée à la protection des données les projets législatifs relatifs à la protection des données et les initiatives de traitement de données personnelles qui présentent un risque d'atteinte aux droits fondamentaux, ainsi que les études d'impact sur la protection des données, pour une consultation préalable en temps utile.

2. Le préposé ou la préposée à la protection des données peut établir une liste des opérations de traitement à soumettre à une consultation préalable.

1. Le public doit être informé des activités importantes et des affaires d'intérêt général de manière appropriée et autant que possible dans le respect des intérêts légitimes des tiers.

2. L'information est habituellement fournie par le biais de réunions d'orientation publiques, de publications officielles, de communiqués de presse ou par mise à disposition sur Internet.

3. L'information n'est pas diffusée si elle est légalement interdite ou si des intérêts publics ou privés prépondérants s'y opposent.

4. Les procédures en cours peuvent être divulguées si cela est nécessaire pour corriger ou éviter des informations erronées ou dans des cas particulièrement graves ou sensationnels. Des dispositions différentes conformément au droit procédural applicable restent réservées.

1. Sur demande, les documents officiels existants peuvent être consultés.

2. Il n'existe aucun droit à ce que les données officielles soient préparées pour la consultation.

1. Aucun droit de consultation des documents officiels n'existe dans la mesure où

a) des dispositions divergentes dans d'autres ordonnances s'y opposent ou des intérêts publics ou privés prépondérants l'emportent,

b) il s'agit de dossiers fiscaux ou

c) il s'agit de procès-verbaux de réunions non publiques; les réunions des organes publics sont réputées non publiques, sauf si elles ont été expressément déclarées publiques.

2. Aucune consultation n'est également accordée pour les données qui

a) sont utilisées à des fins commerciales par une autorité,

b) se rapportent à des positions de négociation,

c) sont encore en cours de traitement, par exemple dans des procédures non clôturées ou en préparation de décisions, ou

d) sont destinées à un usage personnel, notamment des notes de travail.

1. Si les intérêts publics ou privés prépondérants peuvent être suffisamment pris en compte avec un effort raisonnable par l'anonymisation de données ou par l'exclusion de certaines parties, un accès partiel approprié ou une information résumée est accordé.

2. Si les intérêts opposés ne peuvent pas être suffisamment pris en compte autrement avec un effort raisonnable, l'accès ou l'information peut être accordé sous conditions.

3. Les corporations et établissements peuvent accorder le droit d'accès de manière à ce qu'un intérêt particulier doive être prouvé.

4. D'autres restrictions peuvent également découler de la nature de la mission ou de décrets spéciaux, par exemple dans le domaine médical.

1. Les organismes publics peuvent, sur demande, fournir des informations générales sur leur activité officielle, notamment sur les faits déjà publiés.

2. Les informations sont généralement fournies sous la même forme que la demande.

3. Il n'existe aucun droit à l'obtention des informations souhaitées.

1. Toute personne peut exiger l'accès aux données personnelles qui la concernent et qui figurent dans une base de données.

2. L'accès à ces données doit être accordé si la procédure de traitement le permet.

3. Si l'accès aux données personnelles est susceptible de causer des préjudices graves à la personne concernée, celui-ci peut être accordé, en cas de besoin, à une personne de confiance, qui informera la personne concernée de manière appropriée.

4. L'information et l'accès peuvent être restreints si des intérêts publics importants ou des intérêts privés dignes de protection l'exigent.

1. Les demandes de consultation ou d'information doivent être présentées par écrit et signées.

2. Les documents pour lesquels une consultation est demandée doivent être décrits de manière aussi précise que possible, ou au minimum d'une manière qui permette à l'organisme de les identifier.

3. Si la consultation de séries de documents de grande envergure est souhaitée, l'organisme public peut exiger une limitation aux documents concernant un sujet particulier.

4. Les demandes sont traitées par l'organe suprême de la corporation, de l'établissement ou de l'institution. Celui-ci peut assigner la compétence de traitement à une autre autorité.

5. Les demandes de renseignements généraux peuvent être présentées sans demande écrite auprès de l'autorité compétente en la matière.

1. L'accès est généralement accordé par

a) mise à disposition des documents sur place,

b) remise de copies ou

c) transmission électronique.

2. Il n'existe aucun droit à une forme spécifique d'accès.

1. Si l'accès ou l'information relative aux données personnelles, ou l'accès à des documents officiels est refusé, une procédure de conciliation peut être demandée auprès du ou de la délégué(e) à la protection des données dans les 30 jours suivant la notification du refus.

2. Si la situation reste inchangée après la conclusion de la procédure de conciliation, l'organisme public émet une décision sur simple demande écrite.

1. Les organismes publics sont tenus de sécuriser les données officielles et de les classer de manière ordonnée, dans la mesure où elles revêtent de l'importance pour le public, la traçabilité des actions de l'État ou la transmission du patrimoine culturel.

2. Ils sont tenus de proposer les données aux Archives départementales.

1. Pour les archives, un délai de protection de 30 ans est applicable ; si elles contiennent des données personnelles particulièrement sensibles, un délai de protection de 90 ans est applicable.

2. Pendant le délai de protection, le droit de consultation pour les documents officiels s'applique mutatis mutandis, après quoi les archives deviennent publiques.

1. Les données qui ne sont pas versées aux archives de l'État doivent être conservées aussi longtemps qu'elles sont pertinentes pour l'accomplissement de la mission publique.

2. Sont réservées les durées légales de conservation.

1. La commission de déontologie règle pour l'archivage le reste et peut également établir ce qui est nécessaire pour la conservation.

2. Elle peut déroger aux dispositions du titre relatif à la protection des données.

1. Pour les opérations et services, des frais sont perçus en fonction du travail et du matériel engagés ainsi que des débours effectivement encourus.

2. Dans les cas suivants, sous réserve de comportement abusif et du remboursement des débours, aucun frais n'est perçu

a) renseignements oraux simples ;

b) informations sur et accès à ses propres données ;

c) opérations du ou de la délégué(e) à la protection des données.

3. Le Grand Conseil règle ce qui est nécessaire ; il peut établir des forfaits et prévoir des réductions ou la gratuité des frais pour des cas spécifiques.

1. Dans la mesure où cette loi ne prévoit aucune autre compétence, le Grand Conseil règle ce qui est nécessaire pour l'exécution.

1. Les étapes de traitement en cours peuvent être finalisées conformément au droit en vigueur jusqu'à présent.

2. Les informations légalement obtenues, pour lesquelles de nouvelles règles divergentes s'appliquent en vertu du nouveau droit, peuvent être conservées.

3. Le droit d'accès aux documents officiels s'applique aux documents qui ont été créés ou reçus par un organisme public après l'entrée en vigueur.

1. Cette loi entre en vigueur le 1er janvier 2020.