Loi sur l'information et la protection des données (Loi sur l'information et la protection des données, IDG) - Objet et but (IDG)

1. Cette loi régit la gestion des informations par les organes publics.

2. Elle a pour but

a. de rendre l'action des organes publics transparente afin de favoriser la libre formation de l'opinion et l'exercice des droits démocratiques, dans la mesure où des intérêts publics ou privés prépondérants ne s'y opposent pas, et

b. * de protéger les droits fondamentaux des personnes physiques dont les données personnelles sont traitées par les organes publics.

3. Le Conseil d'État et le Conseil cantonal veillent à ce que les institutions intercantonales auxquelles le canton de Bâle-Campagne participe garantissent une protection des données équivalente.

1. Cette loi s'applique à tous les organismes publics selon l'article 3, alinéa 1.

2. Elle ne s'applique pas

a. dans la mesure où un organisme public participe à la concurrence économique et agit à cet égard en droit privé.

b. ...

c. ...

2bis. Les droits et prétentions de la personne concernée pendant les procédures pendantes de droit civil et de procédure pénale, ainsi que celles de juridiction constitutionnelle et administrative, ainsi que pendant les procédures d'entraide judiciaire pendantes, sont exclusivement régis par le droit procédural applicable.

3. Les dispositions dérogatoires et complémentaires dans d'autres lois restent réservées, pour autant qu'elles assurent la protection des droits fondamentaux des personnes, dont les organismes publics traitent les données personnelles, au sens de la présente loi.

1. Organes publics au sens de cette loi sont

a. les unités organisationnelles du canton et des communes qui exercent une mission publique ;

b. les unités organisationnelles des personnes morales de droit public cantonal et communal qui exercent une mission publique ;

c. les personnes privées, dans la mesure où elles se voient confier l'accomplissement de tâches publiques par le canton ou les communes.

2. Informations au sens de cette loi sont toutes les données qui concernent l'accomplissement d'une mission publique, indépendamment de leur forme de présentation et de leur support.

3. Données personnelles sont des informations qui se rapportent à une personne physique déterminée ou déterminable.

4. Données personnelles sensibles sont

a. des données personnelles dont le traitement présente un risque particulier de violation des droits fondamentaux, notamment des informations sur

1. les opinions ou activités religieuses, philosophiques, politiques ou syndicales,

2. * la santé, le patrimoine génétique (données génétiques), la sphère intime ou l'origine ethnique,

2bis. * les handicaps,

3. les mesures d'aide sociale,

4. * les poursuites administratives ou pénales et les sanctions,

5. * les données personnelles obtenues à l'aide de procédés techniques spécifiques relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique permettant d'identifier ou de confirmer sans équivoque cette personne (données biométriques).

b. les compilations d'informations qui permettent une évaluation des aspects essentiels de la personnalité d'une personne physique (profil de personnalité).

5. Traiter est toute manipulation d'informations, indépendamment des moyens et procédés utilisés, notamment l'obtention, le stockage, la lecture, la modification, la divulgation, l'archivage, la suppression ou la destruction ainsi que la réalisation d'opérations logiques et/ou mathématiques avec ces informations.

6. Divulguer est tout fait de rendre des informations accessibles, comme accorder la consultation, transmettre ou publier.

7. Profilage est toute évaluation d'informations dans le but d'analyser des caractéristiques personnelles essentielles ou de prédire des évolutions, notamment en ce qui concerne la performance au travail, la situation économique, la santé, la sphère intime ou la mobilité.

8. Sous-traitant est la personne privée ou l'organe public qui traite des informations pour le compte de l'organe public responsable du traitement.

1. L'organisme public organise la gestion des informations de manière à pouvoir informer rapidement, de manière exhaustive et objective.

2. Ce faisant, il respecte les exigences de la loi sur les droits des personnes handicapées BL.

1. L'organisme public gère ses informations conformément aux dispositions relatives à la tenue des dossiers en vertu de la loi sur les archives.

1. La responsabilité pour la gestion des informations incombe à l'organe public qui traite les informations dans l'accomplissement de ses tâches légales.

2. Si plusieurs organes publics traitent un ensemble commun d'informations, ils se répartissent la responsabilité entre eux et déterminent quel organe public assume la responsabilité globale.

3. L'organe public responsable doit pouvoir démontrer à l'autorité de surveillance de la protection des données qu'il respecte les dispositions en matière de protection des données.

4. Le Conseil exécutif règle les détails pour l'administration cantonale, tandis que le Conseil municipal règle les détails pour l'administration communale. En l'absence de règlementations municipales, celles applicables à l'administration cantonale s'appliquent.

1. L'organisme public peut confier le traitement des informations à un sous-traitant si

a. aucune disposition légale ou accord contractuel ne s'y oppose et

b. il est assuré que les informations sont traitées uniquement de la manière dont l'organisme public pourrait le faire.

2. L'organisme public demeure responsable du traitement des informations conformément à cette loi.

3. Le sous-traitant ne peut transférer le traitement des informations à un autre sous-traitant sans l'accord écrit préalable de l'organisme public mandant.

1. L'organisme public protège les informations par des mesures organisationnelles et techniques appropriées contre la perte, le vol ainsi que le traitement et la prise de connaissance illicites.

2. Les mesures à prendre dépendent de la nature de l'information, de la nature et de l'objectif de l'utilisation, ainsi que de l'état actuel de la technique.

3. Le Conseil d'État règle les détails.

1. Un organe public peut traiter des données personnelles lorsque

a. une base légale existe à cet effet ou

b. cela est nécessaire pour l'accomplissement d'une tâche légale.

2. Les données personnelles sensibles peuvent être traitées et le profilage ne peut être effectué que lorsque

a. la légitimité est expressément prévue par une loi ou

b. cela est nécessaire pour l'accomplissement d'une tâche expressément définie dans la loi.

3. Le traitement des données personnelles doit être effectué de bonne foi et doit être proportionné.

4. Les données personnelles ne peuvent être traitées que tant que cela est nécessaire pour l'accomplissement de la tâche légale.

1. Le Conseil d'État peut, après avoir consulté au préalable l'autorité de contrôle de la protection des données (§ 35) dans le cadre d'une consultation préalable (§ 12), autoriser le traitement de données personnelles sensibles avant l'entrée en vigueur d'une loi, si

a. les tâches nécessitant ce traitement sont régies par une loi, et

b. des mesures suffisantes pour prévenir les atteintes à la personnalité sont prises, et

c. la mise en œuvre pratique d'un traitement de données exige impérativement une phase de test avant l'entrée en vigueur de la loi.

2. La mise en œuvre pratique d'un traitement de données peut exiger impérativement une phase de test si l'accomplissement d'une tâche

a. nécessite des innovations techniques dont les impacts doivent d'abord être évalués, ou

b. nécessite des mesures organisationnelles ou techniques significatives dont l'efficacité doit d'abord être vérifiée, en particulier dans le cadre de la collaboration avec des organismes publics de la Confédération et d'autres cantons et des tiers, ou

c. exige la divulgation de données personnelles sensibles à des tiers par le biais d'une procédure de consultation.

3. Les projets pilotes doivent être limités à une durée maximale de 5 ans.

4. Chaque projet pilote doit être évalué.

5. Le Conseil d'État règle les modalités du traitement des données dans un règlement.

1. Les données personnelles doivent être exactes et, dans la mesure où le but de l'utilisation l'exige, complètes.

2. Quiconque traite des données personnelles doit s'assurer de leur exactitude.

3. Toutes les mesures appropriées doivent être prises pour que les données qui sont incorrectes ou incomplètes au regard de l'objectif de leur collecte ou traitement soient rectifiées ou détruites.

1. Les données personnelles ne peuvent être traitées qu'aux fins pour lesquelles elles ont été collectées, sauf si une base légale prévoit expressément une utilisation ultérieure ou si la personne concernée y consent expressément dans un cas particulier.

2. À une fin non personnelle, l'organisme public peut traiter des données personnelles à condition qu'elles soient anonymisées dès que le but du traitement le permet; les analyses ne doivent permettre de tirer aucune conclusion sur les personnes concernées.

1. L'organe public responsable examine, pour chaque projet de traitement de données personnelles, s'il existe vraisemblablement un risque élevé pour les droits fondamentaux des personnes concernées.

2. S'il est vraisemblable qu'il existe un risque élevé, une analyse d'impact relative à la protection des données doit être effectuée.

3. L'analyse d'impact relative à la protection des données contient au minimum

a. une description générale des opérations de traitement prévues ;

b. une évaluation des risques pour les droits fondamentaux des personnes concernées ; ainsi que

c. une présentation et une évaluation des mesures correctrices, garanties, précautions de sécurité et procédures prévues, afin d'assurer la protection des droits fondamentaux des personnes concernées et de démontrer que les dispositions relatives à la protection des données sont respectées.

1. L'organisme public responsable soumet à l'autorité de surveillance de la protection des données (§ 35) pour consultation préalable à un stade précoce

a. * des projets de législation concernant le traitement des données personnelles, et

b. * des plans de traitement de données personnelles qui, en raison de la nature du traitement ou des données à traiter, sont susceptibles de mener à un risque élevé pour les droits fondamentaux des personnes concernées.

2. L'autorité de surveillance de la protection des données peut établir des critères pour les opérations de traitement qui doivent être soumises pour consultation préalable.

1. L'organisme public conçoit les systèmes technologiques d'information de manière à ce qu'aucune donnée personnelle ou permettant l'identification d'une personne ne soit générée, ou le soit le moins possible.

2. Il convient notamment de recourir aux possibilités d'anonymisation et de pseudonymisation, dans la mesure où cela est possible et que les efforts nécessaires sont proportionnés à l'objectif de protection visé.

1. L'organisme public responsable informe de manière appropriée la personne concernée de tout traitement de données ; cette obligation d'information s'applique également lorsque les données sont obtenues auprès de tiers.

2. Pour garantir un traitement transparent des données et permettre à la personne concernée de faire valoir ses droits, l'information comprend au minimum des indications sur

a. * l'organisme public responsable ainsi que ses coordonnées ;

b. * les données traitées ou les catégories de données traitées ;

c. * toutes les informations disponibles sur l'origine des données personnelles, si elles n'ont pas été collectées auprès de la personne concernée ;

d. * la base légale et l'objectif du traitement ;

e. * les destinataires des données ou les catégories de destinataires des données, si les données sont communiquées à des tiers ; et

f. * les droits de la personne concernée.

3. L'obligation d'information est levée si

a. * la personne concernée dispose déjà des informations conformément au paragraphe 2 ;

b. * le traitement des données personnelles est expressément prévu par la loi ; ou

c. * l'information est impossible ou n'est possible qu'avec un effort disproportionné.

4. La communication des informations peut être restreinte dans les mêmes conditions que l'accès aux propres données personnelles.

1. Les données personnelles qui ne sont plus nécessaires et qui sont jugées non dignes d'archivage par l'instance compétente selon la loi sur l'archivage doivent être détruites par l'organisme public.

2. Pour tous les ensembles d'informations contenant des données personnelles, des délais doivent être fixés pour évaluer si les données personnelles sont encore nécessaires à l'accomplissement des tâches ou si elles doivent être archivées ou détruites.

1. Une violation de la protection des données se produit lorsque la sécurité est compromise de telle sorte que

a. les données personnelles traitées sont irrévocablement détruites ou perdues, altérées ou divulguées de manière non intentionnelle ou illicite ; ou

b. des personnes non autorisées accèdent à ces données personnelles.

2. L'organisme public responsable notifie l'incident de violation de la protection des données à l'autorité de surveillance de la protection des données (§ 35) sans retard excessif.

3. Le sous-traitant informe immédiatement l'organisme public donneur d'ordre de toute violation de la protection des données.

4. L'organisme public n'est pas tenu d'effectuer une notification si la violation de la protection des données ne présente probablement pas de risque pour les droits fondamentaux de la personne concernée. L'autorité de surveillance de la protection des données peut établir des critères pour les violations de la protection des données qui doivent lui être signalées.

5. L'organisme public informe les personnes concernées, si les circonstances l'exigent ou si l'autorité de surveillance de la protection des données l'exige.

6. La notification aux personnes concernées peut également être entièrement ou partiellement omise ou reportée si une restriction conformément à l'article § 27 est autorisée.

1. L'organisme public peut faire examiner et évaluer ses procédures, son organisation et ses installations techniques par un organisme indépendant et reconnu pour garantir la qualité du traitement de l'information.

1. L'organe public informe le public de ses activités et des affaires d'intérêt général.

2. Sont d'intérêt général les informations qui concernent des questions d'intérêt public et qui sont significatives pour la formation de l'opinion et la sauvegarde des droits démocratiques de la population.

3. L'organe public met à disposition des informations sur sa structure, ses compétences et les personnes de contact.

4. L'organe public peut informer sur les procédures en cours si cela est nécessaire pour corriger ou éviter de fausses informations ou s'il est indispensable d'informer sans délai dans un cas particulièrement grave ou retentissant.

5. Le Conseil d'État régule l'activité d'information pour l'administration cantonale. Les informations sont fournies de manière objective, simple et économique, de préférence via Internet.

1. L'organisme public divulgue des données personnelles lorsque

a. une base légale l'y oblige ou l'y autorise ou

b. cela est nécessaire pour accomplir une tâche légale ou

c. dans un cas particulier, la personne concernée a expressément donné son consentement ou, si elle en est incapable, la divulgation est dans son intérêt et son consentement peut être présumé de bonne foi.

2. Les données personnelles ne peuvent être rendues accessibles par une procédure de consultation que si la base légale le prévoit expressément.

1. L'organisme public divulgue des données personnelles sensibles ou les résultats d’un profilage lorsque

a. une loi l'exige ou l'autorise expressément, ou

b. cela est nécessaire à l'accomplissement d'une tâche expressément définie par la loi, ou

c. dans un cas particulier, la personne concernée a donné son consentement explicite ou, si elle est incapable de le faire, la divulgation est dans son intérêt et son consentement peut être présumé de bonne foi.

2. Les données personnelles sensibles ne peuvent être rendues accessibles par une procédure de consultation que si une loi le prévoit expressément.

1. L'organisme public peut communiquer des données personnelles à des fins de traitement pour un objectif non personnel, à condition que cela ne soit pas exclu par une disposition particulière de confidentialité.

2. Le récipiendaire ou la récipiendaire doit s'engager à

a. anonymiser ou pseudonymiser les données personnelles dès que le but du traitement le permet ;

b. divulguer les évaluations uniquement de manière à ce qu'aucune déduction ne puisse être faite sur les personnes concernées.

3. Les données personnelles ne sont communiquées aux particuliers que si ceux-ci s'engagent en outre à ne pas traiter les données à d'autres fins, à ne pas les transmettre à des tiers, ainsi qu'à assurer la sécurité des données.

1. Les organes publics ne peuvent communiquer des données personnelles à d'autres organes ou à des privés ne relevant pas de la juridiction d'un État ayant adhéré à la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, que si

a. la législation de l'État destinataire garantit une protection adéquate;

b. des accords contractuels garantissent une protection adéquate;

c. cela est essentiel dans des cas individuels, soit pour la sauvegarde d'un intérêt public prépondérant, soit pour la constatation, l'exercice ou la défense de droits en justice, ou

d. dans des cas individuels, la personne concernée a donné son consentement explicite, ou, si elle est incapable de le faire, la divulgation est dans son intérêt et son consentement peut être présumé de bonne foi.

2. Les dispositions légales concernant l'échange et le traitement ultérieur de données personnelles dans le cadre du Système d'Information Schengen (SIS) sont réservées.

1. Les organes de poursuite pénale, de juridiction pénale et d'exécution des peines tiennent un registre complet de leurs procédures, dans lesquelles des données personnelles sont traitées.

2. Le registre doit être facilement accessible au public, notamment par le biais de réseaux de données publics.

3. Le Conseil d'État règle par ordonnance le contenu du registre et les exceptions à l'obligation de publication.

1. Toute personne a le droit d'accéder aux informations détenues par un organisme public au sens de l’art. 3 al. 1 let. a et b, à l'exception des documents qui ne sont pas achevés.

2. Dans les procédures administratives et de recours administratif en cours, le droit d'accès aux informations est régi par le droit de procédure applicable.

1. Toute personne a le droit de savoir si un organisme public détient des données personnelles à son sujet et, le cas échéant, d'accéder à ses propres données personnelles.

2. L'accès comprend

a. les informations selon l'article 14 alinéa 2 et

b. toutes les données personnelles concernant la personne faisant la demande.

1. Toute personne concernée peut exiger de l'organisme public qu'il

a. corrige gratuitement les données personnelles incorrectes ou, si la correction n'est pas possible, les détruise;

b. cesse le traitement illicite des données personnelles;

c. élimine les conséquences du traitement illicite des données personnelles;

d. établisse par écrit le caractère illicite du traitement des données personnelles.

2. Si l'organisme public conteste l'inexactitude, il doit prouver l'exactitude des données personnelles.

3. Si, en raison de la nature des données, ni l'exactitude ni l'inexactitude des données personnelles ne peuvent être prouvées, notamment celles contenant une évaluation du comportement humain, la personne concernée peut exiger l'insertion d'une contre-déclaration.

1. La personne concernée peut demander par écrit à l'organisme public responsable de bloquer la divulgation de ses données personnelles.

2. La divulgation est autorisée malgré le blocage si

a. l'organisme public est légalement tenu de la divulguer, ou

b. la divulgation est nécessaire pour remplir une mission légale, ou

c. la personne demandant la divulgation démontre de manière crédible que les données personnelles sont nécessaires à l'exercice de ses droits légaux.

1. Toute personne peut signaler à l'autorité de surveillance de la protection des données (§ 35) des faits indiquant qu'un organisme public ou une sous-traitante ou un sous-traitant de traitement de données enfreint les dispositions légales en matière de protection des données lors du traitement de données personnelles la concernant.

2. La personne qui effectue la notification n'a pas les droits d'une partie, mais elle doit être informée du résultat ou de l'état d'avancement des investigations dans un délai maximal de 3 mois.

1. L'organisme public doit refuser ou différer la communication ou l'accès aux informations dans des cas individuels, si une obligation légale particulière de confidentialité ou un intérêt public ou privé prépondérant s'y oppose.

2. Un intérêt public prépondérant existe notamment lorsque la communication des informations ou l'accès aux informations

a. met en danger la sécurité de l'État ou la sécurité publique, ou

b. nuit aux relations avec un autre canton, avec la Confédération ou avec l'étranger, ou

c. compromet le processus de formation de l'opinion et de la volonté des organismes publics, ou

d. affecte la position dans les négociations, ou

e. nuit à la mise en œuvre conforme aux objectifs de mesures administratives concrètes, notamment policières.

3. Un intérêt privé prépondérant existe notamment lorsque

a. la communication des informations ou l'accès aux informations porte atteinte à la protection de la vie privée, ou

b. la communication des informations ou l'accès aux informations révèle des secrets professionnels, de fabrication ou commerciaux ou viole des droits d'auteur, ou

c. la communication ou l'accès aux informations est demandé pour des informations que l'organisme public a reçues volontairement de tiers et dont il a assuré la confidentialité.

4. L'accès à ses propres données personnelles peut notamment être restreint en ce qui concerne les données personnelles dans les dossiers médicaux et les documents du domaine médical et social, ainsi que de l'exécution des peines et des mesures, si cela est nécessaire en raison des intérêts de la personne demandant l'accès.

1. Si l'accès aux données personnelles détenues par un organisme public ne doit pas déjà être refusé en tout ou en partie conformément à l'article 27, ces données personnelles doivent être anonymisées avant l'octroi de l'accès.

2. Si une anonymisation n'est pas possible ou pas entièrement réalisable, l'organisme public peut accorder l'accès aux données personnelles non anonymisées si

a. il existe un intérêt public prépondérant pour l'accès aux données personnelles non anonymisées, ou

b. les conditions pour la communication des données personnelles sont remplies (articles 18 et suivants).

1. Toute personne souhaitant accéder aux informations selon les articles 23 et 24 doit soumettre une demande par écrit ou oralement, laquelle doit désigner de manière suffisamment précise l'information souhaitée.

2. La personne qui présente une demande d'accès à ses propres données personnelles doit prouver son identité, sauf si son identité est clairement établie pour l'autorité publique sollicitée.

1. Si une demande se rapporte exclusivement à des informations déjà publiques et raisonnablement accessibles, l'organe public ne prend pas en considération la demande en renvoyant à la source.

2. Si les intérêts de tiers ou d'autres organes publics au sens de l'article 27 sont concernés, l'organe public donne à ces personnes ou organes l'occasion de se prononcer dans un délai raisonnable, sauf s'il est clair, même sans prise de position, que l'accès doit être refusé en tout ou en partie.

1. S'il n'existe aucun obstacle à l'accès aux informations, l'organisme public accorde l'accès à la personne requérante.

2. Si l'organisme public envisage de rejeter totalement ou partiellement la demande d'accès suite à son examen ou aux avis sollicités, il en informe la personne requérante.

3. S'il envisage de faire droit à la demande d'accès en contradiction avec les avis sollicités, il en informe les tiers concernés ou les autres organismes publics.

4. Dans les 30 jours suivant la réception de la notification conformément aux alinéas 2 et 3, la personne requérante et le tiers peuvent demander à l'organisme public l'émission d'une décision contestable.

1. L'organisme public accorde l'accès aux informations en

a. remettant les informations par écrit, sous forme de copies ou sur supports numériques, ou

b. communiquant les informations oralement avec le consentement de la personne requérante ou en lui permettant de consulter les informations sur place.

2. Pour une demande d'accès formulée oralement, l'organisme public peut communiquer les informations oralement à la personne requérante.

1. L'organisme public doit, dans les 30 jours suivant la réception de la demande, soit

a. accorder l'accès aux informations à la personne requérante,

b. transmettre une notification conformément à l'article 31 alinéa 2, ou

c. si le délai ne peut être respecté, indiquer les raisons et communiquer la date à laquelle la décision sera rendue.

1. Pour la procédure d'accès aux informations, en règle générale, aucun frais n'est perçu.

2. Une redevance raisonnable basée sur les coûts peut être perçue, mais en aucun cas pour l'accès à ses propres données personnelles

a. pour des procédures laborieuses, comme en cas de situations compliquées ou lors de l'anonymisation étendue des informations ;

b. pour la réalisation de copies ou d'autres supports de données pour la personne qui en fait la demande.

3. L'organisme public informe la personne qui fait la demande si la requête entraîne des coûts substantiels ; dans ce cas, il peut exiger une avance sur frais avant de poursuivre le traitement de la demande.

4. Si les informations se prêtent à une utilisation commerciale, une redevance peut être perçue, alignée sur le marché.

5. Le Conseil d'État adopte un tarif des redevances.

1. Le canton établit sous le nom de « La Préposée à la protection des données » ou « Le Préposé à la protection des données » une autorité de surveillance indépendante.

2. Il peut diriger cette autorité de surveillance conjointement avec d'autres cantons en vertu d'un traité étatique.

1. L'autorité de surveillance s'acquitte de ses fonctions de manière indépendante.

2. Ne relèvent pas de l'autorité de surveillance

a. les membres du conseil cantonal ainsi que le préfet et le conseil exécutif en tant qu'autorités ;

b. les traitements de données dans les procédures en cours en matière de droit civil et de droit pénal, de juridiction constitutionnelle et administrative, ainsi que dans les procédures d'entraide judiciaire en cours.

3. Le conseil cantonal exerce la haute surveillance sur l'autorité de surveillance.

4. L'autorité de surveillance est administrativement rattachée à la chancellerie d'État.

1. L'autorité de surveillance cantonale est dirigée par une personne experte en matière de protection des données («La déléguée à la protection des données» / «Le délégué à la protection des données»).

2. Elle ou il est élu(e) par le Conseil d'État sur proposition du Conseil exécutif pour une durée de mandat. Le Conseil d'État est lié par la proposition de candidature.

1. Le délégué ou la déléguée à la protection des données est responsable, dans le cadre du crédit budgétaire approuvé par le préfet, des recrutements et promotions des autres collaborateurs de l'organe de surveillance.

1. Pour la gestion budgétaire de la surveillance, la législation sur le budget financier s'applique, dans la mesure où cette loi ne contient pas de dispositions particulières.

2. Le ou la Délégué(e) à la protection des données

a. dispose en propre compétence des crédits budgétaires approuvés par le Conseil de région ;

b. décide en propre compétence des dépassements et des transferts de crédits ;

c. approuve en propre compétence les dépenses qui ne relèvent pas de la compétence du Conseil de région ;

d. veille à un contrôle adéquat.

3. Les demandes de crédits supplémentaires de la surveillance sont soumises sans modification au Conseil de région.

4. Le Conseil exécutif peut soumettre au Conseil de région une demande de modification des propositions de crédits supplémentaires de la surveillance.

1. L'organe de surveillance établit son propre plan de tâches et financier.

2. Le conseil exécutif intègre le plan de tâches et financier de l'organe de surveillance, inchangé, dans celui du canton.

3. Il peut soumettre une demande au parlement cantonal pour modifier le plan de tâches et financier de l'organe de surveillance.

1. L'Autorité de surveillance

a. contrôle l'application des dispositions relatives au traitement des informations selon un programme d'examen qu'elle établit de manière autonome ;

b. * donne son avis sur les projets de législation et autres initiatives qui lui sont soumis pour consultation préalable (§ 12) ;

c. conseille les organismes publics sur les questions liées au traitement des informations ;

d. conseille les personnes concernées sur leurs droits ;

e. fait la médiation entre les personnes concernées et les organismes publics ;

f. donne son avis sur les textes législatifs qui sont essentiels pour le traitement des informations ou la protection des données ;

g. * traite les notifications relevant de la surveillance (§ 26a) et informe les informateurs du résultat ou de l'état des investigations ;

h. * sensibilise les organismes publics à leurs obligations en matière de protection des données ainsi que le public aux enjeux de la protection des données et de la transparence ;

i. * suit les évolutions essentielles pour la protection des données personnelles et le principe de transparence.

1. L'autorité de surveillance peut, auprès des organismes publics, des sous-traitants de données ainsi que des tiers ayant reçu des données personnelles d'un organisme public, indépendamment de toute obligation éventuelle de confidentialité, obtenir des informations sur le traitement des données par écrit ou oralement, consulter tous les documents, effectuer des inspections et se faire démontrer les traitements.

2. Les organismes publics, les sous-traitants de données ainsi que les tiers sont tenus d'aider l'autorité de surveillance dans l'accomplissement de ses tâches. Ils participent notamment à l'établissement des faits.

3. Les rapports que l'autorité de surveillance élabore ou fait élaborer dans le cadre de son activité de contrôle, ainsi que les documents sur lesquels ils sont fondés, ne sont pas publics au sens de l'article 23, alinéa 1.

1. Lorsqu'il existe un danger apparent ou une violation des intérêts légitimes d'une personne concernée, l'autorité de surveillance demande à l'organisme public ou à son autorité supérieure de prendre immédiatement les mesures provisoires nécessaires.

1. L'autorité de surveillance peut formuler des recommandations concernant le traitement des informations.

2. L'organisme public à qui la recommandation est adressée doit, en règle générale, déclarer à l'autorité de surveillance dans un délai de 4 semaines s'il entend suivre la recommandation.

1. Si un organisme public déclare ne pas vouloir suivre la recommandation de l'autorité de surveillance, ou en réalité ne suit pas la recommandation, l'autorité de surveillance peut, dans la mesure où l'intérêt à l'application pèse lourd, émettre sa recommandation ou des parties de celle-ci sous forme d'instruction sous la forme d'une décision.

2. Aucune instruction ne peut être émise à l'encontre du tribunal cantonal.

3. L'autorité de surveillance peut émettre directement une instruction s'il est prévisible que l'organisme public refusera une recommandation ou ne s'y conformera pas.

4. L'organisme public auquel l'instruction est adressée peut la contester par un recours conformément aux §§ 27 et suivants de la loi sur la procédure administrative auprès du Conseil d'État.

5. Les établissements de droit public cantonal adressent directement leur recours au tribunal cantonal.

6. L'autorité de surveillance est habilitée à faire appel des décisions de recours du Conseil d'État.

1. L'autorité de surveillance collabore dans l'accomplissement de ses tâches avec les organes des communes, des autres cantons, de la Confédération et de l'étranger, qui remplissent les mêmes fonctions.

1. La directrice ou le directeur ainsi que les collaborateurs de l'autorité de surveillance sont soumis, en ce qui concerne les informations dont ils prennent connaissance dans le cadre de leurs activités, à la même obligation de confidentialité que l'organisme public traitant.

2. L'obligation de confidentialité s'applique au-delà de la cessation de la fonction.

1. L'organisme de surveillance fait périodiquement rapport à l'autorité électorale sur l'étendue et les axes principaux des activités ainsi que sur les constatations et évaluations importantes.

2. Le rapport est publié.

1. La commune peut gérer sa propre autorité de surveillance pour le secteur communal.

2. Si elle y renonce ou si l'autorité de surveillance communale ne satisfait pas aux exigences d'indépendance, c'est l'autorité de surveillance cantonale qui est compétente.

3. Le délégué communal et d'éventuels autres employés ne doivent pas exercer d'autres fonctions officielles au sein de la commune.

4. Les §§ 40-47 s'appliquent par analogie à l'autorité de surveillance communale dans son domaine de compétence.

1. Quiconque, en tant que tiers mandaté conformément à § 7, utilise intentionnellement ou par négligence des données personnelles pour son propre compte ou pour celui d'autrui sans autorisation expresse de l'organisme public mandant, ou les divulgue à des tiers, est puni d'une amende.

2. Quiconque transmet intentionnellement ou par négligence à des tiers des données personnelles obtenues d'un organisme public à des fins non liées à des personnes, en violation de l'obligation prévue au § 20 alinéa 3, est puni d'une amende.

1. Les modifications sont les suivantes

1. Loi cantonale sur la statistique : La Loi cantonale sur la statistique du 21 février 2008 est modifiée comme suit : ...

2. Loi sur l'enregistrement et le recensement : La Loi sur l'enregistrement et le recensement (LERC) du 19 juin 2008 est modifiée comme suit : ...

3. Loi sur le Conseil cantonal : La Loi du 21 novembre 1994 sur l'organisation et le fonctionnement du Conseil cantonal (Loi sur le Conseil cantonal, LCC) est modifiée comme suit : ...

4. Loi sur l'organisation administrative : La Loi du 6 juin 1983 sur l'organisation du Conseil d'État et de l'administration cantonale (Loi sur l'organisation administrative) est modifiée comme suit : ...

5. Loi sur le personnel : La Loi du 25 septembre 1997 sur les relations de travail des employés du canton (Loi sur le personnel) est modifiée comme suit : ...

6. Loi sur l'archivage : La Loi du 11 mai 2006 sur l'archivage (Loi sur l'archivage) est modifiée comme suit : ...

7. Loi sur les communes : La Loi du 28 mai 1970 sur l'organisation et l'administration des communes (Loi sur les communes) est modifiée comme suit : ...

8. Loi sur la police : La Loi sur la police du 28 novembre 1996 est modifiée comme suit : ...

1. La loi du 7 mars 1991 relative à la protection des données personnelles (loi sur la protection des données) est abrogée.

1. Dans un délai de 2 ans après l'entrée en vigueur de cette loi, les répertoires des stocks d'informations contenant des données personnelles conformément à l'article 22 doivent être publiés.

2. Le Conseil d'État peut prolonger le délai d'un an sur demande motivée.

1. Le Conseil exécutif décide de l'entrée en vigueur de cette loi.