(Datenschutzgesetz) - Objectif

1. Cette loi a pour but de protéger les droits fondamentaux des personnes dont les données sont traitées par des organismes publics.

1. Organe public (Organe) est toute personne ou entité qui remplit des tâches publiques du canton, des communes ou des corporations et établissements de droit public.

2. Les données personnelles (données) sont des informations concernant une personne physique ou une association de personnes (personne concernée), dans la mesure où elle est déterminée ou déterminable.

3. Les données personnelles particulièrement sensibles sont des données concernant

a) les opinions et activités religieuses, idéologiques ou politiques,

b) * la sphère intime, la santé, l'origine ethnique ainsi que les données génétiques ou biométriques,

c) * les procédures et mesures dans le domaine de la protection de l'enfance et de l'adulte, de l'aide sociale et du droit pénal.

4. Un profil de personnalité est une compilation de données qui permet une évaluation des aspects essentiels de la personnalité d'une personne physique.

5. Un traitement de données personnelles est toute manipulation de données, telle que la collecte, la conservation, l'utilisation, la modification, la divulgation ou la destruction.

5bis. Le profilage est le traitement automatisé de données pour l'évaluation des aspects essentiels d'une personne physique, notamment pour analyser ou prédire sa performance au travail, sa situation économique, sa santé, ses préférences personnelles, ses intérêts, sa fiabilité, son comportement, son lieu ou changement de lieu de résidence.

6. Une collection de données est un ensemble de données qui est accessible ou peut être rendu accessible par la personne concernée.

1. Cette loi s'applique, sauf si le droit fédéral ou un droit cantonal particulier prévaut, à tout traitement de données, indépendamment des moyens et procédures utilisés.

2. Sont soumis à la loi tous les organes à l'exception de ceux des corporations ecclésiastiques; réservés sont l'art. 8 al. 3 et l'art. 15.

**1. Les organes peuvent traiter des données si et tant que cela est nécessaire pour l'accomplissement d'une tâche légale.**

2. Les données particulièrement dignes de protection et les profils de personnalité ne peuvent être traités que s'il est indispensable de le faire pour accomplir une tâche clairement définie dans une loi formelle. Cela s'applique également, par analogie, à tout profilage.

3. Les données ne doivent pas être traitées de manière contraire à la bonne foi et uniquement dans le but indiqué lors de leur collecte, évident dans les circonstances ou prescrit par la loi.

4. Sont réservées les dispositions particulières concernant les archives.

1. Les données doivent être exactes.

1. La protection des données relève de la responsabilité de l'organe qui traite les données ou les fait traiter pour accomplir sa mission.

2. Si plusieurs organes traitent les données d'une collecte de données, un organe doit être désigné comme ayant la responsabilité principale.

1. L'organisme responsable est tenu d'informer les personnes concernées de manière appropriée sur la collecte de données; l'obligation d'information existe même si les données sont collectées auprès de tiers.

2. L'obligation d'information comprend les indications nécessaires pour pouvoir exercer les droits en vertu de cette loi. Cela inclut au minimum

a) l'identité et les coordonnées de l'organisme responsable;

b) la base légale et l'objectif du traitement des données;

c) les catégories de données traitées;

d) le cercle des destinataires, en cas de transmission des données;

e) les coordonnées de l'organe de contrôle de la protection des données.

3. L'obligation d'information est levée lorsque

a) la personne concernée dispose déjà des informations correspondantes;

b) il découle clairement de la base légale du traitement des données quelles données sont traitées à quelle fin;

c) l'information nécessite un effort disproportionné ou d'autres intérêts publics prépondérants s'y opposent.

1. Avant tout traitement systématique de données personnelles, l'organe responsable évalue le risque d'atteinte aux droits fondamentaux des personnes concernées et le limite dans la mesure du possible et raisonnable par des mesures techniques et organisationnelles.

2. Si le risque d'atteinte aux droits fondamentaux est élevé, notamment en raison de la nature, de l'ampleur, des circonstances ou de l'objectif du traitement, une analyse d'impact et des mesures doivent être documentées et soumises à l'organisme de contrôle de la protection des données pour une consultation préalable.

3. La documentation contient au moins une description générale des opérations de traitement prévues, une évaluation des risques et une présentation et évaluation des mesures.

1. Les données peuvent être communiquées à d'autres organismes si

a) l'organisme responsable y est légalement obligé ou autorisé,

b) le destinataire a besoin des données dans un cas particulier pour accomplir des tâches légales ou

c) la personne concernée a expressément consenti ou son consentement peut être supposé en fonction des circonstances.

2. Les données particulièrement sensibles ne peuvent être communiquées que si

a) l'organisme responsable est obligé ou autorisé à le faire sur la base d'une base légale claire,

b) les données sont indispensables au destinataire dans un cas particulier pour remplir une tâche légale clairement définie ou

c) la personne concernée a expressément consenti.

3. Si le destinataire n'est pas soumis à cette loi, les données ne sont communiquées que si l'on s'assure que le traitement se fait selon les principes de cette loi.

1. Les données peuvent être communiquées à des particuliers si

a) l'organe responsable y est juridiquement tenu ou autorisé, ou

b) la personne concernée y a expressément consenti ou si son consentement peut être présumé selon les circonstances.

2. Les données particulièrement sensibles ne peuvent être communiquées que si

a) l'organe responsable y est tenu ou autorisé par une base légale claire, ou

b) la personne concernée y a expressément consenti.

1. Le contrôle des habitants communique au cas par cas, sur demande, le nom, le prénom, l'adresse ainsi que l'arrivée et le départ d'une personne.

2. Il communique au cas par cas, sur demande, la date de naissance, l'état civil, le lieu d'origine et la profession, lorsque la demanderesse ou le demandeur rend vraisemblable un intérêt digne de protection.

3. Il peut communiquer ces données de manière systématiquement ordonnée, à condition qu'il soit assuré qu'elles soient utilisées exclusivement à des fins idéales dignes de protection et ne soient pas transmises à des tiers.

1. La personne concernée peut interdire la divulgation de ses données à des tiers.

2. La divulgation est autorisée malgré l'interdiction si

a) l'organisme responsable est légalement tenu de le faire ou

b) la demande établit de manière crédible que l'interdiction a été imposée de manière abusive.

1. Les données peuvent être divulguées dans des publications accessibles au public lorsque

a) aucun intérêt digne de protection de la personne concernée n'est lésé et que cette dernière, après avoir été informée au préalable, n'a pas formulé d'opposition à la publication, ou

b) l'organisme responsable y est légalement obligé ou autorisé.

1. La divulgation de données peut être limitée, assortie de conditions ou refusée en raison d'intérêts publics prépondérants ou d'intérêts légitimes de la personne concernée.

1. Les données personnelles ne peuvent pas être communiquées à l'étranger si cela met gravement en danger la personnalité des personnes concernées, notamment en raison de l'absence d'une législation qui assure une protection adéquate.

2. En l'absence d'une législation assurant une protection adéquate, les données personnelles ne peuvent être communiquées à l'étranger que si

a) des garanties suffisantes, notamment par contrat, assurent une protection adéquate à l'étranger;

b) la personne concernée a consenti au cas par cas;

c) la communication est indispensable au cas par cas pour la sauvegarde d'un intérêt public prépondérant ou pour l'établissement, l'exercice ou la défense de prétentions légales devant un tribunal;

d) la communication est nécessaire au cas par cas pour protéger la vie ou l'intégrité physique de la personne concernée;

e) la personne concernée a rendu les données accessibles au public et n'a pas expressément interdit leur traitement.

1. L'organisme peut traiter des données à des fins non personnelles, notamment pour des statistiques, de la planification et de la recherche, nonobstant l'art. 4, al. 2 et 4 ainsi que les art. 8 à 11, si

a) les données sont anonymisées dès que l'état du traitement le permet, et

b) les résultats du traitement sont divulgués de manière à ce qu'il ne soit pas possible de tirer des conclusions sur la personne concernée.

1. Un traitement de données peut, à moins qu'une disposition légale ou contractuelle ne s'y oppose, être délégué à un tiers. Le tiers ne peut traiter les données que de la manière dont l'organe mandant serait lui-même autorisé à le faire.

2. L'organe mandant s'assure, avant la délégation, que le tiers est capable de garantir la sécurité des données. Il assure la protection des données par des exigences, des accords ou de toute autre manière.

3. La délégation ultérieure par le tiers requiert le consentement préalable écrit de l'organe mandant.

1. Toute personne traitant des données les protège par des mesures techniques et organisationnelles contre la perte, le vol ainsi que l'accès non autorisé et le traitement non autorisé.

1. En cas de violation de la sécurité des données entraînant la perte, la destruction, l'altération de données ou leur divulgation à des personnes non autorisées, l'organisme responsable doit en informer sans délai l'organisme de contrôle de la protection des données et en aviser les destinataires concernés. Si aucun risque d'atteinte aux droits fondamentaux n'existe, l'obligation de notification est levée.

2. L'organisme responsable informe la personne concernée en concertation avec l'organisme de contrôle de la protection des données s'il est nécessaire pour sa protection ou autrement jugé nécessaire pour la sauvegarde des droits fondamentaux.

3. Il peut limiter l'information à la personne concernée ou s'en abstenir si des intérêts de confidentialité publics ou privés priment.

4. Si la violation de la sécurité des données se produit lors du traitement par une tierce personne, celle-ci doit immédiatement notifier l'organisme mandant. Celui-ci doit alors agir conformément aux alinéas 1 à 3.

1. Les organes vérifient annuellement leurs données. Les données qui ne sont plus nécessaires sont proposées à l'archivage auprès de l'archive compétente. Si celle-ci renonce à leur conservation conformément aux dispositions de la législation sur les archives, les données doivent être détruites dans un délai d'un an.

1. Le canton, les communes ainsi que les corporations et établissements de droit public tiennent chacun un registre central de leurs collections de données.

2. Les organes du canton tiennent un registre des collections de données existant dans leur domaine de responsabilité.

3. Les registres sont publics et contiennent pour chaque collection de données des informations sur

a) la nature et l'origine des données,

b) la base légale, l'objectif et les moyens du traitement,

c) l'organe responsable,

d) les destinataires réguliers des données ou des copies ainsi que

e) le droit d'accès aux collections de données.

4. L'indication de la publicité des registres centraux du canton et des communes ainsi que le lieu où ils peuvent être consultés doivent être publiés annuellement par les organes dans leurs organes de publication officiels.

1. Ne sont pas enregistrés les fichiers de données qui

a) ne sont pas destinés à être permanents,

b) ne sont que des copies ou des outils de traitement, ou

c) sont utilisés exclusivement par des personnes individuelles comme outils de travail personnels.

1. Toute personne peut consulter les registres des collections de données.

1. L'organe responsable informe chaque personne des données la concernant qui sont traitées dans une collection de données spécifique et lui accorde l'accès à ces données.

2. Toute personne demandant des informations ou un accès doit prouver son identité.

3. Les informations sont fournies sous une forme compréhensible par tous et, sur demande, par écrit.

1. La communication et l'accès peuvent être limités ou refusés si des intérêts publics prépondérants ou des intérêts dignes de protection d'un tiers l'exigent.

2. Si la communication à la personne concernée peut lui causer un préjudice grave, elle peut être donnée à une personne dûment autorisée.

3. La limitation ou le refus de la communication et de l'accès doivent être motivés.

1. La personne concernée et toute autre personne justifiant d'un intérêt légitime peuvent demander la rectification des données inexactes.

2. Si l'organisme conteste l'inexactitude des données, il lui incombe de prouver leur exactitude. La personne concernée doit coopérer à l'éclaircissement dans la mesure où cela peut raisonnablement être exigé d'elle.

3. Si ni l'exactitude ni l'inexactitude ne peuvent être prouvées, l'organisme appose une mention correspondante sur les données.

1. La personne concernée et toute autre personne justifiant d'un intérêt digne de protection peuvent exiger que

a) le traitement illicite des données soit cessé,

b) les données recueillies, conservées ou utilisées de manière illicite soient détruites ou que les conséquences du traitement illicite soient autrement éliminées, ou

c) l'illégalité d'un traitement soit constatée.

1. L'organe responsable décide des demandes conformément aux articles 21 à 24. Les décisions doivent être communiquées à l'organe de contrôle de la protection des données. Les destinataires des données concernés doivent être informés des rectifications et des autres mesures.

2. La procédure et la protection juridique sont régies par la loi sur la procédure administrative. L'organe de contrôle de la protection des données est habilité à former des recours.

3-4

1. Le Conseil cantonal élit un spécialiste qualifié en matière de protection des données pour agir en tant qu'organe cantonal de contrôle des données, indépendant et non soumis à des instructions. L'élection est effectuée pour un mandat de quatre ans; une réélection est permise.

1bis. L'organe de contrôle des données ne doit exercer aucune autre activité publique ou privée qui pourrait compromettre l'indépendance ou la réputation de sa charge.

2. L'organe cantonal de contrôle des données supervise l'application de cette loi par le canton, les communes et les corporations et établissements de droit public. Les frais sont pris en charge par le canton.

2bis. Le Conseil cantonal règle la rémunération de l'organe de contrôle des données par un accord de prestation. Il peut prévoir à la place de l'accord de prestation une soumission au droit du personnel du canton; l'indépendance de l'organe de contrôle des données ne doit pas en être affectée.

3. Le Conseil cantonal est habilité à transférer la mission de l'organe de contrôle des données à une instance inter-cantonale de protection des données.

1. L'organe de contrôle de la protection des données

a) supervise le respect des dispositions relatives à la protection des données,

b) * informe le public sur la protection des données et conseille les personnes concernées sur leurs droits,

c) * traite les plaintes concernant la violation des dispositions de protection des données,

d) * conseille les organismes publics sur les questions de protection des données et peut émettre des recommandations générales concernant le traitement des données personnelles,

e) * examine préalablement les méthodes de traitement lorsqu'il existe un risque élevé d'atteinte aux droits fondamentaux,

ebis) * se prononce sur les dispositions législatives ayant une importance pour la protection des données,

f) * collabore avec les organes de contrôle des autres cantons, de la Confédération et de l'étranger pour accomplir les tâches de contrôle et suit les évolutions techniques et juridiques pertinentes pour la protection des données personnelles,

g) * identifie les ressources humaines et matérielles nécessaires et demande au Conseil cantonal les crédits nécessaires dans le cadre du budget prévisionnel,

h) * fait un rapport annuel au Conseil cantonal sur ses activités.

2-4

...

1. L'autorité de contrôle de la protection des données ouvre d'office ou sur signalement une enquête lorsqu'il existe des indices de violation des dispositions relatives à la protection des données. Elle peut interdire ou restreindre provisoirement un traitement des données pour la durée de l'enquête.

2. Les organes responsables et leurs mandataires sont tenus de fournir des informations à l'autorité de contrôle de la protection des données et lui accordent l'accès à tous les documents et données nécessaires à l'enquête. L'autorité de contrôle de la protection des données peut se faire présenter des traitements de données et recueillir des informations auprès des destinataires des données.

3. L'autorité de contrôle de la protection des données informe le dénonciateur du résultat ou de l'état d'avancement de l'enquête dans un délai de trois mois.

1. Lorsque l'autorité de contrôle de la protection des données constate une violation substantielle des dispositions relatives à la protection des données, elle décide de manière contraignante des mesures correctives appropriées et fixe un délai raisonnable à l'organisme responsable pour leur mise en œuvre. Elle peut notamment ordonner la suppression ou la destruction de données personnelles, ou l'ajustement ou la cessation du traitement des données.

2. L'autorité de contrôle de la protection des données informe l'autorité de surveillance de l'organisme responsable des mesures correctives ordonnées.

3. Les décisions relatives aux mesures correctives peuvent être contestées devant le tribunal supérieur conformément aux dispositions du VRPG.

1. La communication, l'octroi de l'accès, la rectification et le blocage des données sont effectués gratuitement.

2. Une redevance peut être exigée si

a) le traitement d'une demande nécessite un effort disproportionné ou

b) la demande a été faite de manière vexatoire.

3. L'application de tarifs spéciaux pour d'autres opérations demeure réservée.

1. Les communes ainsi que les personnes morales de droit public et les établissements publics doivent établir leurs registres centraux au plus tard un an après l'entrée en vigueur de cette loi.

1. Avec l'entrée en vigueur, l'art. 9 du règlement sur l'établissement et le séjour des Suisses est abrogé.

2. Cette loi est soumise au référendum facultatif.

3. Le Conseil d'État détermine l'entrée en vigueur.