Loi sur l'information et la protection des données - Objet et but (IDG)

1. Cette loi régit le traitement des informations par les organismes publics.

2. Elle a pour objet

a) de rendre l'action des organismes publics transparente, favorisant ainsi la libre formation de l'opinion et l'exercice des droits démocratiques, sauf si des intérêts publics ou privés prépondérants s'y opposent, et

b) de protéger les droits fondamentaux des personnes physiques dont les données personnelles sont traitées par les organismes publics.

1. Cette loi s'applique à tous les organes publics conformément à l'article 3, paragraphe 1.

2. Elle ne s'applique pas lorsqu'un organe public participe à la concurrence économique en agissant dans un cadre de droit privé. Pour le traitement des données personnelles, la loi fédérale sur la protection des données (LPD) du 19 juin 1992 s'applique. La surveillance est exercée par le ou la préposé(e) fédéral(e) à la protection des données conformément aux articles 37 et suivants, sauf pour les organes publics qui participent exclusivement à la concurrence économique en agissant dans un cadre de droit privé.

a) * ...

b) * ...

c) * ...

2bis. Dans les procédures pendantes de droit civil et pénal ainsi que dans les juridictions constitutionnelles et administratives, les droits et les prétentions de la personne concernée, l'obligation d'information de l'organe public lors de la collecte de données personnelles, la communication de données personnelles aux participants de la procédure, l'information du public et le droit général d'accès à l'information du public sont exclusivement régis par le droit procédural applicable.

3. Les dispositions divergentes et complémentaires d'autres lois sont réservées, à condition qu'elles assurent la protection des droits fondamentaux des personnes dont les organes publics traitent les données personnelles, au sens de la présente loi.

4. Le Conseil d'État veille à ce que les institutions intercantonales avec la participation de Bâle-Ville garantissent une protection des données équivalente.

1. Les organes publics au sens de cette loi sont

a) les unités organisationnelles du canton et des communes qui remplissent une tâche publique;

b) les unités organisationnelles des personnes morales de droit public cantonal et communal qui remplissent une tâche publique;

c) les privés, dans la mesure où le canton ou les communes leur ont confié l'exécution de tâches publiques.

2. Les informations au sens de cette loi sont toutes les inscriptions qui concernent l'exécution d'une tâche publique, indépendamment de leur forme de présentation et de leur support d'information.

3. Les données personnelles sont des informations qui se rapportent à une personne physique déterminée ou déterminable.

4. Les données personnelles particulières sont

a) * Les données personnelles dont le traitement présente un risque particulier d'atteinte aux droits fondamentaux (données sensibles), notamment

1. * Les informations sur les opinions ou activités religieuses, idéologiques, politiques ou syndicales;

2. * Les informations sur la santé, le patrimoine génétique (données génétiques), la sphère personnelle secrète, la vie sexuelle, l'orientation sexuelle ou l'origine ethnique;

3. * Les informations sur les mesures d'aide sociale;

4. * Les informations sur les poursuites et sanctions administratives ou pénales; et

5. * Les données personnelles obtenues par des procédés techniques spécifiques concernant les caractéristiques physiques, physiologiques ou comportementales d'une personne physique, permettant ou confirmant l'identification unique de cette personne (données biométriques).

b) Les compilations d'informations permettant une évaluation des aspects essentiels de la personnalité d'une personne physique (profil de personnalité).

5. Le traitement est toute opération concernant des informations, indépendamment des moyens et procédures appliqués, notamment l'obtention, la conservation, l'utilisation, la modification, la divulgation, l'archivage, la suppression ou la destruction ainsi que l'exécution d'opérations logiques ou informatiques avec ces informations.

6. La divulgation est tout acte de rendre accessible des informations, tel que l'accord d'accès, le transfert ou la publication.

7. Le profilage est toute évaluation automatisée des informations pour analyser des caractéristiques personnelles essentielles ou prédire des évolutions, notamment en ce qui concerne la performance professionnelle, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la situation géographique ou les changements de localisation.

8. Le sous-traitant ou la sous-traitante de données est la personne privée ou l'organe public qui, sur mandat de l'organe public chargé de la publication, traite des informations.

1. L'organisme public organise la gestion des informations de manière à pouvoir informer rapidement, de manière complète et objective.

1. L'organisme public gère ses informations conformément aux dispositions relatives à la tenue des dossiers prévues par la loi sur les archives.

1. La responsabilité de la gestion des informations incombe à l'organisme public qui traite les informations pour remplir ses tâches légales.

2. Si plusieurs organismes publics traitent un ensemble commun d'informations, ils réglementent la responsabilité et déterminent lequel d'entre eux assume la responsabilité globale.

3. L'organisme public doit être en mesure de prouver qu'il respecte les dispositions sur la protection des données. Le Conseil d'État règle les détails pour l'administration cantonale. Pour les tribunaux, les communes, les autres collectivités et les établissements autonomes, la réglementation du canton s'applique par analogie, dans la mesure où ils n'en édictent pas une propre.

1. L'organisme public peut déléguer le traitement des informations à des tiers si

a) aucune disposition légale ou convention contractuelle ne s'y oppose, et

b) il est garanti que les informations ne seront traitées que de la manière dont l'organisme public serait autorisé à le faire.

2. Il reste responsable du traitement des informations conformément à cette loi.

3. Un sous-traitant chargé du traitement des données ne peut sans l'accord préalable écrit de l'organisme public donneur d'ordre déléguer le traitement des données à un autre sous-traitant.

1. L'organisme public protège les informations par des mesures organisationnelles et techniques appropriées.

2. Les mesures se basent sur les objectifs de protection suivants

a) Les informations ne doivent pas être consultées de manière illégitime (Confidentialité) ;

b) Les informations doivent être correctes et complètes (Intégrité) ;

c) Les informations doivent être disponibles en cas de besoin (Disponibilité) ;

d) Les traitements d'informations doivent pouvoir être attribués à une personne (Attribution) ;

e) Les modifications des informations doivent être détectables et traçables (Traçabilité).

3. Les mesures à prendre dépendent de la nature de l'information, de la nature et du but de l'utilisation ainsi que de l'état actuel de la technologie.

4. Le Conseil d'État règle les détails pour l'administration cantonale, le Conseil municipal pour l'administration communale. Pour les tribunaux, les communes, les autres corporations et les établissements autonomes, la réglementation du canton s'applique par analogie, à moins qu'ils n'en édictent une propre.

1. Un organisme public peut traiter des données personnelles lorsque

a) une base légale le permet, ou

b) cela est nécessaire pour l'accomplissement d'une tâche légale.

2. Des données personnelles sensibles peuvent être traitées et un profilage peut être effectué lorsque

a) une loi le permet ou l'oblige expressément, ou

b) cela est impérativement nécessaire pour une tâche clairement définie par une loi.

3. Le traitement des données personnelles doit être effectué de bonne foi et être proportionnel.

4. Les données personnelles ne peuvent être traitées que tant que cela est nécessaire à l'accomplissement de la tâche légale.

1. Le Conseil d'État peut, après avoir consulté le préposé à la protection des données dans le cadre d'une consultation préalable selon l'article 13, autoriser le traitement de données personnelles sensibles ou un profilage avant l'entrée en vigueur d'une loi, si

a) les tâches nécessitant ce traitement sont régies par une loi,

b) des mesures suffisantes pour prévenir les atteintes à la personnalité sont prises, et

c) la mise en œuvre pratique d'un traitement de données exige impérativement une phase de test avant l'entrée en vigueur de la loi.

2. La mise en œuvre pratique d'un traitement de données peut exiger impérativement une phase de test si

a) l'accomplissement d'une tâche nécessite des innovations techniques dont les impacts doivent d'abord être évalués,

b) l'accomplissement d'une tâche nécessite des mesures organisationnelles ou techniques importantes dont l'efficacité doit d'abord être vérifiée, notamment lors de la collaboration avec des organes publics de la Confédération, d'autres cantons et des particuliers ; ou

c) elle nécessite la transmission de données personnelles sensibles ou de résultats d'un profilage à des tiers par le biais d'une procédure de consultation.

3. Les projets pilotes doivent être limités à une durée maximale de cinq ans.

4. Chaque projet pilote doit être évalué.

5. Le Conseil d'État règle les modalités du traitement des données dans un règlement.

1. Un organisme public peut traiter des données personnelles à une fin non personnelle, notamment pour des statistiques, la planification ou la recherche, si

a) il n'utilise ou ne divulgue plus ces données à des fins personnelles, et

b) il anonymise ou pseudonymise ces données dès que le but du traitement le permet, et

c) il publie les résultats du traitement de manière à ce qu'aucune déduction concernant les personnes concernées ne soit possible.

2. ...

1. Les données personnelles doivent être exactes et, dans la mesure où la finalité de leur utilisation l'exige, complètes.

2. L'organisme public qui traite les données personnelles doit s'assurer de leur exactitude.

3. Toutes les mesures appropriées doivent être prises pour que les données qui sont inexactes ou incomplètes, au regard de la finalité de leur collecte ou traitement, soient rectifiées ou détruites.

1. Les données personnelles ne peuvent être traitées que dans le but pour lequel elles ont été collectées, à moins qu'une base légale n'autorise expressément une utilisation ultérieure ou que la personne concernée ne donne son consentement dans un cas particulier.

1. L'organe public responsable examine, pour chaque projet de traitement de données personnelles, s'il existe un risque élevé pour les droits fondamentaux des personnes concernées. Le risque élevé résulte, notamment en cas d'utilisation de nouvelles technologies, de la nature, de l'ampleur, des circonstances et de l'objectif du traitement.

2. Si un risque élevé est prévisible, une analyse d'impact sur la protection des données doit être effectuée.

3. L'analyse d'impact contient au moins

a) une description générale des opérations de traitement prévues ;

b) une évaluation des risques existants à l'égard des droits fondamentaux des personnes concernées ainsi que

c) une présentation et une évaluation des mesures correctives prévues, des garanties, des dispositifs de sécurité et des procédures par lesquels la protection des droits fondamentaux des personnes doit être assurée et la preuve doit être apportée que cette loi est respectée.

1. L'organe public responsable soumet à une consultation préalable du ou de la délégué(e) à la protection des données

a) Les projets législatifs qui concernent le traitement de données personnelles ou qui sont significatifs pour la gestion des informations, et

b) Les projets de traitement de données personnelles qui, en raison de la nature du traitement ou des données à traiter, entraînent un risque élevé pour les droits fondamentaux des personnes concernées.

2. Le ou la délégué(e) à la protection des données établit une liste des opérations de traitement qui doivent être soumises à une consultation préalable.

1. L'organisme public prend dès le départ des mesures pour réduire le risque de violations des droits fondamentaux lors du traitement des données et prévenir de telles violations.

2. Il veille par des réglages appropriés à ce que, par défaut, seules les données personnelles nécessaires à chaque finalité d'utilisation soient traitées.

1. L'organisme public responsable informe la personne concernée de chaque collecte de données personnelles. Cette obligation d'information s'applique également lorsque les données sont collectées auprès de tiers.

2. L'information comprend notamment les indications suivantes

a) * l'organisme public responsable ainsi que ses coordonnées ;

b) * les données traitées ou les catégories de données traitées ;

c) * la base légale et l'objectif du traitement ;

d) * les destinataires des données ou les catégories de destinataires des données, si les données sont communiquées à des tiers ; et

e) * les droits de la personne concernée.

3. L'obligation d'information ne s'applique pas si

a) * la personne concernée dispose déjà des informations visées au paragraphe 2 ;

b) * le traitement des données personnelles est expressément prévu par la loi ; ou

c) * l'information est impossible ou n'est possible qu'au prix d'efforts disproportionnés.

4. La transmission des informations peut être restreinte dans les mêmes conditions que l'accès aux données personnelles propres.

1. L'ID de la personne est un numéro non fonctionnel et invariable qui identifie de manière unique une personne.

2. Elle est à utiliser exclusivement en interne pour l'échange et le lien des données personnelles de manière systématique entre et au sein des organes publics conformément à l'article 3, alinéa 1, lettres a et b.

3. Un ID de personne est attribué à une personne physique ou morale ayant son domicile ou son siège dans le canton de Bâle-Ville, ou lorsque cela est nécessaire pour les échanges avec les organes publics. L'attribution est effectuée par un organe central.

4. L'autorité compétente établit les directives pour l'utilisation correcte de l'ID de la personne et en contrôle le respect.

1. Les données personnelles qui ne sont plus nécessaires et qui ont été jugées non dignes d'archive par l'organisme compétent conformément à la loi sur les archives doivent être détruites par l'organisme public.

2. Pour les ensembles d'informations contenant des données personnelles, des délais doivent être fixés pour leur destruction ou pour vérifier si les données sont encore nécessaires à l'accomplissement des tâches.

1. L'organisme public responsable informe le ou la déléguée à la protection des données d'une violation de la protection des données sans délai indu.

2. Le sous-traitant informe immédiatement l'organisme public mandataire d'une violation de la protection des données.

3. Une violation de la protection des données survient lorsque des données à caractère personnel traitées sont détruites ou perdues de manière irréversible suite à une atteinte à la sécurité de l'information, modifiées ou divulguées de manière non intentionnelle ou illicite, ou lorsque des personnes non autorisées accèdent à ces données.

4. Il n'existe pas d'obligation de notification si la violation de la protection des données ne devrait vraisemblablement pas entraîner de risque pour les droits fondamentaux de la personne concernée.

5. L'organisme public informe les personnes concernées lorsque les circonstances l'exigent ou à la demande du ou de la déléguée à la protection des données.

6. La notification aux personnes concernées peut être omise en tout ou en partie ou différée si une restriction conformément à l'article 29 est permise.

1. Les départements de l'administration cantonale, les tribunaux et les communes d'habitants et de bourgeoisie désignent une conseillère ou un conseiller en protection des données.

2. Le Conseil d'État détermine en outre les secteurs, départements et services de l'administration cantonale, ainsi que les établissements de droit public relevant du droit cantonal, qui doivent désigner leur propre conseillère ou conseiller en protection des données. Il tient compte de la nature et de la quantité de données personnelles traitées par ces entités.

3. Cette personne a les tâches suivantes

a) elle conseille et soutient dans le traitement des données personnelles ;

b) elle aide à la réalisation des évaluations d'impact sur la protection des données conformément à l'article 12a, alinéa 1 ;

c) elle collabore avec le ou la préposée à la protection des données.

1. Dans des lieux publics, généralement accessibles ou non, la surveillance vidéo, permettant l'identification des personnes, ne peut être utilisée que pour la protection des personnes et des biens contre des actes criminels ou pour la poursuite de tels actes criminels.

2. La surveillance vidéo doit être limitée, quant au lieu et au temps, à ce qui est nécessaire pour atteindre l'objectif concret.

3. L'utilisation de la surveillance vidéo doit être rendue visible au moyen de mesures appropriées indiquant l'entité responsable.

4. Les éventuels enregistrements, copies et impressions doivent en règle générale être détruits au plus tard une semaine après leur réalisation. À titre exceptionnel, le règlement peut fixer un délai plus long si cela est nécessaire pour atteindre l'objectif concret, et si le risque d'atteinte à la vie privée est minimisé par des mesures techniques et organisationnelles.

5. Sous réserve de l'utilisation dans le cadre d'une procédure pénale ou civile; dans ce cas, les enregistrements doivent être remis aux autorités compétentes avec la plainte ou le recours.

1. Pour tout système de vidéosurveillance, un règlement doit être édicté avant sa mise en service, réglant notamment l'objectif du système, la responsabilité et le délai de suppression.

2. Sont compétents pour l'édiction des règlements

a) les départements pour les systèmes relevant de la responsabilité des organismes publics cantonaux ;

b) le conseil communal pour les systèmes relevant de la responsabilité des organismes publics communaux ;

c) * le conseil judiciaire pour les systèmes relevant de la responsabilité des tribunaux ;

d) * l'organe de direction suprême des établissements et corporations de droit public autonomes pour les systèmes relevant de leur responsabilité.

3. Le règlement doit être limité à une durée maximale de quatre ans. Avant toute éventuelle prolongation, l'efficacité de la vidéosurveillance doit être évaluée.

4. Avant l'édiction et la prolongation d'un règlement, le projet doit être soumis à la consultation préalable du ou de la préposé(e) à la protection des données.

4bis Les règlements doivent être facilement accessibles au public.

4ter Dans la mesure où la divulgation des emplacements des caméras ou d'autres détails d'utilisation rendrait impossible l'atteinte des objectifs, leur publication peut être omise.

5. Le Conseil d'État règle les détails pour l'administration cantonale. Pour les tribunaux, les communes, les autres corporations et les établissements autonomes, la réglementation du canton s'applique par analogie, dans la mesure où elles n’en édictent pas une propre.

1. L'organisme public peut faire examiner et évaluer ses procédures, son organisation et ses installations techniques par un organisme indépendant et reconnu pour garantir la qualité du traitement de l'information.

1. L'organisme public informe le public sur les affaires d'intérêt général dans son domaine d'activité.

2. Sont d'intérêt général les informations qui concernent les affaires d'intérêt public et qui sont importantes pour la formation de l'opinion et pour la sauvegarde des droits démocratiques de la population.

3. L'organisme public met à disposition des informations sur sa structure, ses compétences et sur les personnes de contact.

4. Le Conseil du gouvernement réglemente l'activité d'information pour l'administration cantonale. Pour les tribunaux, les communes, les autres collectivités et les établissements autonomes, la réglementation du canton s'applique par analogie, dans la mesure où ils ne disposent pas de leurs propres règlements.

1. L'organisme public communique des données personnelles lorsque

a) une disposition légale l'exige ou l'autorise, ou

b) cela est nécessaire à l'exécution d'une mission légale, ou

c) dans un cas particulier, la personne concernée a expressément donné son consentement ou, si elle en est incapable, la communication est dans son intérêt et son consentement peut être présumé de bonne foi.

2. Les données personnelles sensibles ou les résultats d'un profilage sont communiqués par l'organisme public lorsque

a) une loi l'exige expressément ou l'autorise, ou

b) cela est impérativement nécessaire à l'exécution d'une mission clairement définie dans une loi, ou

c) dans un cas particulier, la personne concernée a expressément donné son consentement ou, si elle en est incapable, la communication est dans son intérêt et son consentement peut être présumé de bonne foi.

1. L'organe public peut communiquer des données personnelles à d'autres organes publics du canton, d'autres cantons ou de la Confédération pour un but non personnel, notamment pour des statistiques, de la planification ou de la recherche, à condition que cela ne soit pas exclu par une disposition particulière de confidentialité.

2. Le destinataire doit s'engager à

a) anonymiser ou pseudonymiser les données personnelles dès que l'objectif du traitement le permet, et

b) communiquer les évaluations de manière à ce qu'aucune déduction sur les personnes concernées ne soit possible.

3. ...

4. L'organe public peut communiquer des données personnelles à des privés à des fins de recherche, à condition que cela ne soit pas exclu par une disposition particulière de confidentialité et que le destinataire s'engage, en plus de respecter les exigences de l'al. 2, à

a) ne pas traiter les données personnelles à d'autres fins, et

b) ne pas divulguer les données personnelles à des tiers, et

c) garantir la sécurité de l'information.

5. Dans les mêmes conditions, l'autorité judiciaire peut communiquer aux avocats inscrits dans un registre cantonal des avocats en vertu de la loi fédérale sur la libre circulation des avocats (Loi sur les avocats, LLCA) du 23 juin 2000, des jugements contenant des données personnelles à des fins d'exercice professionnel, à condition que ces jugements n'aient pas déjà été publiés sous forme anonymisée.

1. Les organismes publics ne peuvent divulguer des données personnelles à d'autres organismes ou à des particuliers qui ne relèvent pas de la juridiction d'un État ou d'une organisation ayant adhéré à la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, que si

a) la législation de l'État destinataire garantit une protection adéquate ou

b) un accord contractuel garantit une protection adéquate ou

c) cela est indispensable dans un cas particulier soit pour la sauvegarde d'un intérêt public prépondérant, soit pour la constatation, l'exercice ou la défense de droits en justice ou

d) dans un cas particulier, la personne concernée a expressément consenti ou, si elle est incapable de le faire, la divulgation est dans son intérêt et son consentement peut être présumé de bonne foi.

1. L'organisme public tient un registre complet de ses procédures dans lesquelles des données personnelles sont traitées.

2. Les registres doivent être facilement accessibles au public, notamment par le biais de réseaux de données publics.

3. Le Conseil d'État règle dans le règlement le contenu du registre et les exceptions à l'obligation de publication.

1. Toute personne a le droit d'accéder aux informations détenues par un organisme public au sens de l'article 3, alinéa 1, lettres a et b de cette loi, à l'exception des documents qui ne sont pas achevés.

2. Dans les procédures administratives et de recours administratifs en cours, le droit d'accès aux informations est régi par le droit procédural applicable.

1. Toute personne a le droit de savoir si un organisme public détient des données personnelles la concernant et, le cas échéant, d'avoir accès à ces données personnelles.

2. L'accès comprend

a) toutes les données personnelles relatives à la personne requérante ;

b) toutes les informations disponibles sur l'origine des données personnelles, si elles n'ont pas été recueillies auprès de la personne concernée, et

c) les autres indications selon le § 15 alinéa 2.

1. Toute personne concernée peut exiger de l'organisme public qu'il, gratuitement

a) rectifie des données personnelles inexactes ou, si la rectification est impossible, les détruise;

b) s'abstienne de traiter de manière illicite des données personnelles;

c) * élimine les conséquences du traitement illicite de données personnelles, notamment en supprimant les données personnelles la concernant ou en bloquant leur divulgation à des tiers;

d) constate par écrit l'illicéité du traitement de données personnelles.

1bis

L'intérêt légitime de la personne concernée est présumé.

1ter

La rectification, destruction ou suppression des données personnelles et le blocage de la divulgation à des tiers doivent également être communiqués aux personnes ou entités auxquelles les données ont préalablement été divulguées, sauf si cela est impossible ou implique un effort disproportionné.

2. Le Conseil d'État règle les détails.

1. La personne concernée peut demander par écrit à l'organisme public de bloquer la divulgation de ses données personnelles à des tiers.

2. L'organisme public attire l'attention sur le droit de blocage de manière appropriée.

3. La divulgation est autorisée malgré le blocage si

a) l'organisme public est légalement obligé de divulguer, ou

b) la divulgation est indispensable pour accomplir une mission légale, ou

c) la personne demandant la divulgation prouve de manière crédible que les données personnelles sont nécessaires pour faire valoir ses droits.

4. Si une demande selon l'alinéa 3 lit. c ne doit pas être rejetée d'emblée, l'organisme public donne à la personne concernée l'occasion de faire des observations dans un délai raisonnable. Il rend sa décision sous forme d'une décision susceptible de recours, si la personne concernée ou la personne demandant le droit le demande.

1. Toute personne a le droit de s'adresser à la déléguée ou au délégué à la protection des données avec une dénonciation réglementaire si elle estime qu'un organe public, une sous-traitante ou un sous-traitant traite ses données personnelles en violation des dispositions sur la protection des données.

2. La personne faisant la dénonciation n'a pas le statut de partie dans cette procédure.

3. La ou le délégué à la protection des données l'informe dans un délai de trois mois de l'état ou du résultat des investigations et de la résolution.

1. L'organe public doit refuser ou différer totalement ou partiellement la divulgation ou l'accès à des informations dans des cas spécifiques, lorsqu'il existe une obligation légale de secret particulière ou un intérêt public ou privé prépondérant qui s'y oppose.

2. Un intérêt public est notamment en jeu lorsque la divulgation ou l'accès à l'information

a) menace la sécurité de l'État ou la sécurité publique, ou

b) compromet les relations avec un autre canton, la Confédération ou l'étranger, ou

c) entrave le processus de formation de l'opinion et de la volonté des organes publics, ou

d) affecte la position dans les négociations, ou

e) nuit à l'application conforme à l'objectif de mesures administratives concrètes, notamment des mesures policières.

3. Un intérêt privé est notamment en jeu lorsque

a) la divulgation ou l'accès à des informations porterait atteinte à la protection de la vie privée, ou

b) la divulgation ou l'accès à des informations révélerait des secrets professionnels, de fabrication ou commerciaux ou violerait des droits d'auteur, ou

c) la divulgation ou l'accès à des informations est demandé pour des informations qui ont été volontairement communiquées à l'organe public par des tiers et dont il a assuré la confidentialité.

4. Si l'accès à ses propres données personnelles dans le domaine médical ou psychiatrique, selon l'appréciation de l'organe public, pèse trop lourdement sur la personne concernée, cet accès peut être accordé à une personne de confiance. Toutefois, si la personne concernée le demande expressément, un accès direct et complet à ses données personnelles doit lui être accordé.

1. Si l'accès aux données personnelles détenues par un organisme public ne doit pas déjà être refusé en tout ou en partie conformément à l'article 29, alors ces données personnelles doivent être anonymisées avant l'octroi de l'accès.

2. Si une anonymisation n'est pas possible ou pas entièrement possible, l'organisme public peut accorder l'accès aux données personnelles non anonymisées si

a) * il existe un intérêt public prépondérant à l'accès à ces données personnelles, ou

b) * les conditions de divulgation des données personnelles prévues par la présente loi (articles 20 et suivants) sont remplies.

1. Quiconque souhaite accéder aux informations conformément aux §§ 25 et 26 doit présenter une demande par écrit ou oralement, laquelle doit désigner l'information souhaitée de manière suffisamment précise.

2. La personne qui présente une demande pour accéder à ses propres données personnelles doit prouver son identité, sauf si son identité est sans équivoque pour l'organisme public sollicité.

1. Si une demande concerne exclusivement des informations déjà publiques et raisonnablement disponibles, l'organisme public ne donne pas suite à la demande en se référant à la source.

2. Si des intérêts de tiers ou d'autres organismes publics au sens de l'article 29 sont concernés, l'organisme public donne à ces personnes ou organismes l'occasion de se prononcer dans un délai raisonnable, sauf s'il est clair, même sans leur prise de position, que l'accès doit être refusé en tout ou en partie.

1. S'il n'existe aucun obstacle à l'octroi de l'accès aux informations, l'organisme public accorde l'accès à la personne requérante.

2. Si l'organisme public envisage, sur la base de son examen ou des avis recueillis, de rejeter totalement ou partiellement la demande, il en informe la personne requérante.

3. S'il envisage de répondre à la demande d'accès contrairement aux avis recueillis, il en informe les tiers concernés ou d'autres organismes publics.

4. Dans les 30 jours suivant la réception de la communication conformément aux alinéas 2 et 3, la personne requérante et la personne tierce peuvent demander à l'organisme public de rendre une décision susceptible de recours.

1. L'organisme public accorde l'accès aux informations en

a) remettant les informations par écrit, sous forme de copies ou sur supports de données, ou

b) communiquant les informations oralement avec le consentement de la personne requérante, ou en lui accordant l'accès sur place aux informations.

2. Suite à une demande d'accès formulée oralement, l'organisme public peut communiquer les informations à la personne requérante oralement.

1. L'organisme public doit, dans un délai de 30 jours après la réception de la demande,

a) accorder à la personne requérante l'accès aux informations,

b) lui communiquer une notification conformément à l'article 33 alinéa 2, ou,

c) si le délai ne peut être respecté, lui indiquer les raisons du retard et la date à laquelle la décision sera rendue.

**1. En règle générale, aucune redevance n'est perçue pour la procédure d'accès aux informations.**

**2. Des frais raisonnables basés sur l'effort peuvent être perçus, à l'exception de l'accès à leurs propres données personnelles :**

a) dans le cas de procédures complexes, comme lors de situations compliquées ou d'importantes anonymisations d'informations ;

b) pour la production de copies ou d'autres supports de données pour la personne faisant la demande.

**3. L'organisme public informe la personne faisant la demande si la requête est associée à des coûts significatifs ; dans ce cas, il peut exiger une avance sur les frais avant de poursuivre le traitement de la demande.**

**4. Si les informations se prêtent à une utilisation commerciale, une redevance peut être perçue, calculée en fonction du marché.**

**5. Le Conseil d'État adopte un tarif des redevances.**

1. Le canton crée, sous le nom de « La préposée à la protection des données » ou « Le préposé à la protection des données », un organe de surveillance indépendant.

2. Il peut diriger l’organe de surveillance en collaboration avec d'autres cantons sur la base d’un accord étatique.

1. La ou le délégué(e) à la protection des données remplit les tâches de manière indépendante des instructions.

2. L'organe de surveillance est organisé et rattaché au Bureau du Grand Conseil.

3. Le contrôle par la ou le délégué(e) à la protection des données ne s'applique pas à

a) les membres du Grand Conseil et le Grand Conseil en tant qu'autorité et

b) * le Conseil d'État en tant qu'autorité ;

c) * les traitements de données dans les procédures civiles et pénales en cours et

d) * les traitements de données dans les procédures constitutionnelles et administratives en cours.

1. L'autorité de surveillance est dirigée par une personne qualifiée en matière de protection des données (le ou la délégué(e)). La rémunération est analogue à celle des président(e)s des tribunaux civils du canton de Bâle-Ville.

2. Le Grand Conseil élit le ou la délégué(e) sur proposition de sa commission de préparation des élections pour un mandat fixe de six ans. La proposition d'élection doit être soumise au Conseil d'État pour avis. La réélection est possible.

3. Le poste de délégué(e) peut être partagé par deux personnes avec un maximum de 100 pour cent d’emplois au total.

4. Le ou la délégué(e) peut être révoqué(e) avant l'expiration de son mandat par le Grand Conseil avec une majorité des deux tiers en cas de manquement grave aux devoirs de sa fonction ou d'insuffisance professionnelle.

1. La personne chargée de mission ne peut pas occuper d’autre fonction publique, de mandat au sein d’un conseil d'administration, de poste de direction dans un parti politique ni exercer aucune autre activité professionnelle. Le Grand Conseil peut autoriser des dérogations.

2. Si la personne chargée de mission accomplit un temps partiel auprès de l’organe de surveillance, elle peut, avec l’accord de la commission de préparation des élections, exercer une autre activité professionnelle ou en débuter une. La commission de préparation des élections ne donne pas son accord si des raisons importantes s’y opposent.

1. Le droit du personnel du canton s'applique à la mandataire ou au mandataire ainsi qu'aux autres collaborateurs, dans la mesure où la présente loi n'en dispose pas autrement.

2. La ou le mandataire est compétent, dans le cadre du budget approuvé par le Grand Conseil, pour les affaires de personnel des autres collaborateurs de l'office de surveillance et pour les mesures relevant du droit du personnel. La procédure de recours est régie par les §§ 40 et suivants de la Loi sur le personnel.

3. Le bureau du Grand Conseil décide de la classification du personnel après avoir consulté le Service central du personnel. La classification se fait selon les principes d'évaluation du travail prévus par la loi sur le salaire du 18 janvier 1995.

4. Les décisions concernant les classifications, ainsi que le refus d'initier une procédure relative à la classification, peuvent être contestés par la titulaire ou le titulaire du poste par une opposition auprès du bureau du Grand Conseil dans un délai de 30 jours. Celui-ci décide après avoir consulté la commission d'évaluation.

1. L'autorité de surveillance établit son budget de manière autonome.

1. Les communes locales peuvent mener un service de contrôle propre pour le domaine communal.

2. Si elles s'en abstiennent ou si le service de contrôle communal ne répond pas aux exigences d'indépendance, le préposé cantonal à la protection des données est compétent.

3. Le préposé communal et d'éventuels autres employés ne doivent en aucun cas exercer d'autres fonctions officielles au sein de la commune.

4. Les articles 44 à 50 s'appliquent au service de contrôle communal dans le cadre de leur champ de compétence.

1. La ou le Délégué à la protection des données

a) contrôle, selon un programme de vérification autonome, l'application des dispositions relatives au traitement des informations;

b) * donne un avis sur les projets législatifs et autres initiatives qui lui sont soumis pour consultation préalable conformément à l'article 13;

c) conseille les organismes publics en matière de traitement des informations;

d) conseille les personnes concernées sur leurs droits;

e) sert de médiateur entre les personnes concernées et les organismes publics;

f) * traite les notifications de surveillance conformément à l'article 28a;

g) * sensibilise les organismes publics à leurs obligations en matière de protection des données et le public aux enjeux de la protection des données et de la transparence;

h) * suit les évolutions pertinentes pour la protection des données personnelles et le principe de transparence.

1. La ou le délégué à la protection des données peut, auprès des organismes publics, des sous-traitants en matière de traitement de données ainsi que des tierces personnes ayant reçu des données personnelles d'un organisme public, indépendamment de toute obligation de confidentialité éventuelle, obtenir par écrit ou verbalement des informations sur les traitements de données, examiner tous les documents, effectuer des visites et se faire présenter les traitements.

2. Les organismes publics, les sous-traitants en matière de traitement de données, ainsi que les tierces personnes ayant reçu des données personnelles d'un organisme public, sont tenus de soutenir l'autorité de surveillance dans l'accomplissement de ses missions. Ils coopèrent notamment à la constatation des faits.

3. Les rapports, que la ou le délégué à la protection des données établit dans le cadre de l'activité de contrôle, et les documents sur lesquels ils se fondent ne sont pas accessibles au public au sens du § 25 al. 1.

1. La déléguée ou le délégué à la protection des données peut émettre des recommandations concernant la gestion des informations.

2. L'organe public auquel la recommandation est adressée doit déclarer à la déléguée ou au délégué à la protection des données s'il entend suivre la recommandation.

1. Si un organisme public déclare ne pas vouloir suivre la recommandation du ou de la délégué(e) à la protection des données, ou ne suit effectivement pas la recommandation, le ou la délégué(e) à la protection des données peut émettre la recommandation ou certaines de ses parties à titre d'instruction sous forme de décision, si

a) la recommandation concerne le traitement de données personnelles et

b) l'intérêt à faire respecter la recommandation est important.

2. Aucune instruction ne peut être émise à l'encontre du tribunal d'appel.

3. Le ou la délégué(e) à la protection des données peut émettre directement une instruction s'il est prévisible que l'organisme public refusera une recommandation ou n'y donnera pas suite.

4. Si des intérêts dignes de protection sont manifestement menacés ou violés, le ou la délégué(e) à la protection des données peut ordonner que l'organisme public limite ou cesse le traitement jusqu'à ce que le tribunal d'appel ait procédé à la vérification.

5. L'organisme public auquel l'instruction est adressée peut la contester par voie de recours selon les dispositions générales devant le tribunal d'appel.

1. Le ou la délégué(e) à la protection des données collabore dans l'accomplissement de ses tâches avec les organes des autres cantons, de la Confédération et de l'étranger, qui remplissent les mêmes fonctions.

1. Le mandataire ou la mandataire et les collaborateurs sont soumis, en ce qui concerne les informations dont ils prennent connaissance dans l'exercice de leurs fonctions, à la même obligation de discrétion que l'organe public traitant.

2. L'obligation de discrétion s'applique au-delà de la cessation de la fonction.

1. Le ou la délégué(e) à la protection des données présente périodiquement et au besoin, un rapport à l'autorité électorale et au public sur l'étendue et les axes principaux des activités, sur les constatations et évaluations importantes ainsi que sur l'effet de la loi.

2. ...

1. Est puni d'une amende quiconque

a) * en tant que sous-traitante ou sous-traitant de données conformément à l'article 7, utilise ou divulgue intentionnellement ou par négligence les données personnelles pour soi-même ou pour autrui, sans autorisation expresse de l'organisme public mandant ; ou

b) * en tant que sous-traitante ou sous-traitant de données conformément à l'article 7, transfère le traitement des données à un autre sous-traitant sans le consentement écrit préalable de l'organisme public mandant.

2. Quiconque traite ou transmet à des tiers à des fins autres que celles non personnelles des données personnelles obtenues d'un organisme public, intentionnellement ou par négligence, en violation de l'obligation prévue à l'article 22, alinéa 4, est puni d'une amende.

1. Loi sur le séjour

La loi relative à la réglementation du séjour (Loi sur le séjour) du 16 septembre 1998 est modifiée comme suit

2. Loi sur l'organisation

La loi concernant l'organisation du Conseil exécutif et de l'administration du canton de Bâle-Ville (Loi sur l'organisation) du 22 avril 1976 est modifiée comme suit

3. Loi sur les archives

La loi relative à la gestion des archives (Loi sur les archives) du 11 septembre 1996 est modifiée comme suit

4. Loi sur le personnel

La loi sur le personnel du 17 novembre 1999 est modifiée comme suit

5. Loi sur les impôts

La loi relative aux impôts directs (Loi sur les impôts) du 12 avril 2000 est modifiée comme suit

6. Loi d'introduction à la loi fédérale sur l'assurance-invalidité pour un office AI de Bâle-Ville

La loi d'introduction à la loi fédérale sur l'assurance-invalidité pour un office AI de Bâle-Ville du 19 janvier 1994 est modifiée comme suit

1. Avec l'entrée en vigueur de cette loi, la loi relative à la protection des données personnelles (Loi sur la protection des données) du 18 mars 1992 est abrogée.

1. Dans un délai de deux ans après l'entrée en vigueur de cette loi, les répertoires des ressources d'information contenant des données personnelles conformément à l'article 24 doivent être publiés.

2. Le Conseil d'État peut prolonger ce délai d'un an sur demande motivée.

1. Cette loi doit être publiée. Le Conseil d'État détermine la date d'entrée en vigueur après l'acquisition de force de chose jugée.