Ordonnance d'exécution de la loi cantonale sur la protection des données (Ordonnance cantonale sur la protection des données, VKDSG) - Preuve du respect des dispositions sur la protection des données (VKDSG)

1. L'organisme public fournit la preuve du respect des dispositions relatives à la protection des données en documentant au minimum les points suivants en lien avec les activités de traitement

a) les processus de traitement des données;

b) les personnes responsables;

c) les bases légales pour le traitement des données;

d) les risques liés à la protection des données et les mesures prises.

2. L'organisme public peut notamment fournir cette preuve à travers

a) des règlements internes et d'autres dispositions générales concernant les processus d'affaires et l'organisation interne;

b) des instructions concernant le traitement des données et la gestion des données personnelles, y compris la suppression et l'archivage;

c) des concepts de sécurité de l'information et de protection des données ainsi que des évaluations d'impact sur la vie privée;

d) des concepts pour l'accès à l'information et aux moyens informatiques;

e) des rapports sur la gestion des violations de la sécurité des données soumises à notification;

f) d'autres documents et outils relatifs au traitement sécurisé des données.

1. Les autorités publiques garantissent, par des mesures organisationnelles et techniques appropriées, que les données personnelles

a) ne sont accessibles qu'aux personnes autorisées (Confidentialité) ;

b) sont disponibles lorsqu'elles sont nécessaires (Disponibilité) ;

c) ne sont pas modifiées sans autorisation ou de manière involontaire (Intégrité) ;

d) sont traitées de manière traçable (Traçabilité).

1. L'adéquation des mesures techniques et organisationnelles repose notamment sur les critères suivants

a) le besoin de protection des données traitées, tel qu'il résulte de l'objectif, de la nature, de l'étendue et des circonstances du traitement des données ;

b) l'évaluation des risques potentiels pour les personnes concernées ;

c) l'état de la technique.

2. Les mesures doivent être périodiquement vérifiées quant à leur utilité et leur proportionnalité, et ajustées si nécessaire.

1. Pour garantir la sécurité des données, les mesures techniques et organisationnelles suivantes peuvent notamment être prises

a) Restrictions d'accès aux installations : l'accès aux installations où des données matérielles et personnelles sont traitées doit être interdit aux personnes non autorisées ;

b) Contrôles des utilisateurs : l'utilisation de moyens informatiques permettant de traiter des données matérielles et personnelles doit être interdite aux personnes non autorisées ;

c) Contrôles des supports de données : la lecture, la copie, la modification ou le retrait de supports de données par des personnes non autorisées doivent être rendus impossibles ;

d) Limitations d'accès : l'accès doit être limité aux seules données matérielles et personnelles nécessaires à l'exécution des tâches des personnes autorisées ;

e) Restrictions de traitement : le traitement non autorisé de données matérielles et personnelles doit être empêché ;

f) Contrôles des saisies : lors de l'utilisation de moyens informatiques, il doit être possible de vérifier a posteriori quelles données matérielles et personnelles ont été traitées, à quel moment et par quelle personne ;

g) Identification des destinataires : les destinataires auxquels des données matérielles et personnelles sont divulguées doivent pouvoir être identifiés ;

h) Assurance de la continuité : des mesures doivent être prises pour que, en cas de défaillance des moyens informatiques, les fonctions importantes puissent être poursuivies rapidement ;

i) Assurance de la pérennité : des mesures doivent être prises pour que les données matérielles et personnelles puissent être préservées de manière durable face aux évolutions technologiques lors de l'utilisation de moyens informatiques.

1. Les organes publics consignent, dans le cadre du traitement automatisé de données personnelles, au moins l'enregistrement, la modification, la consultation, la divulgation, la suppression et la destruction des données, lorsque les mesures préventives ne garantissent pas la protection des données et qu'un tel système est disponible sur le marché.

2. La consignation doit fournir des informations sur l'identité de la personne ayant effectué le traitement, la nature, la date et l'heure du traitement, ainsi que, le cas échéant, l'identité du destinataire ou de la destinataire des données.

1. La réalisation d'une phase de test est indispensable pour la mise en œuvre pratique d'un traitement de données si l'une des conditions suivantes est remplie

a) L'accomplissement d'une tâche nécessite des innovations techniques dont les impacts doivent d'abord être évalués ;

b) L'accomplissement d'une tâche requiert des mesures organisationnelles ou techniques significatives dont l'efficacité doit d'abord être vérifiée, en particulier lors de la coopération avec des organes d'autres collectivités publiques et des organisations créées par des collectivités publiques ;

c) L'accomplissement d'une tâche nécessite que les données personnelles soient accessibles selon un procédé d'interrogation.

1. L'organisme public qui mène l'essai pilote recueille l'avis de l'autorité de surveillance.

2. Il met à la disposition de l'autorité de surveillance tous les documents nécessaires à l'évaluation de l'autorisation de l'essai pilote, en particulier

a) une description générale de l'essai pilote ;

b) un rapport démontrant que l'accomplissement des tâches prévues par la loi nécessite un traitement et qu'une phase de test avant l'entrée en vigueur de la loi est indispensable ;

c) une description des mesures de sécurité et de protection des données ;

d) le projet de règlement définissant les modalités du traitement, ou le concept d'un règlement.

3. L'avis doit être soumis au gouvernement avant qu'il ne décide sur une demande d'autorisation.

1. Dans la mesure où le traitement par une sous-traitante ou un sous-traitant n'est pas prévu par la loi, les points suivants doivent être réglés contractuellement au minimum

a) Objet et portée des tâches transférées ;

b) Respect du secret professionnel ainsi que des obligations particulières de confidentialité ;

c) Responsabilités ;

d) Mesures techniques et organisationnelles pour garantir la protection et la sécurité des données ;

e) Lieu du traitement des données ;

f) Contrôle de l'exécution du contrat ;

g) Recours à des tiers ;

h) Sanctions prévues en cas de manquement aux obligations ;

i) Durée du contrat et conditions de résiliation ainsi que leurs conséquences, en particulier la restitution et la suppression des données ;

j) Droit applicable et for judiciaire.

1. L'autorisation préalable de l'organisme public, qui permet à la sous-traitante ou au sous-traitant de faire appel à des tiers pour le traitement des données, peut être de nature spécifique ou générale.

2. En cas d'autorisation générale, la sous-traitante ou le sous-traitant informe l'organisme public responsable de toute modification envisagée concernant le recours ou le remplacement d'autres tiers. L'organisme public responsable peut refuser cette modification.

1. L'autorité publique peut, pour évaluer si la législation d'un État bénéficiaire assure une protection adéquate, se référer à l'évaluation de l'adéquation de la protection des données d'un État, d'un territoire, d'un secteur spécifique dans un État ou d'une organisation internationale effectuée par la Confédération selon l'article 8 du Règlement sur la protection des données.

2. Si l'organe de surveillance a été informé des garanties conformément à l'article 12, paragraphe 3 de la Loi cantonale sur la protection des données, l'obligation d'information est considérée comme remplie pour toutes les divulgations ultérieures effectuées sous les mêmes garanties, dans la mesure où les catégories de destinataires, le but du traitement et les catégories de données restent essentiellement inchangés.

3. L'obligation d'information est également considérée comme remplie lorsque les données sont transmises sur la base de contrats-types ou de clauses contractuelles standard élaborés ou reconnus par le Préposé fédéral à la protection des données et à la transparence, et lorsque l'organe de surveillance a été informé de manière générale par l'autorité publique responsable de l'utilisation de ces contrats-types ou clauses contractuelles standard.

1. Lorsque des données personnelles sont rendues accessibles au public par le biais de services automatisés d'information et de communication, cela ne constitue pas un transfert à l'étranger.

1. Lorsqu'il est envisagé de communiquer des données personnelles à des fins non personnelles, la destinataire ou le destinataire doit fournir au minimum les informations suivantes

a) Désignation de la destinataire ou du destinataire;

b) Brève description du projet;

c) Description des données personnelles requises;

d) Déroulement et méthode du traitement des données;

e) Informations sur les mesures à prendre pour protéger les données personnelles.

2. L'organisme public obtient de la destinataire ou du destinataire une déclaration d'engagement, garantissant que les exigences de l'article 13, alinéa 1, lettre a de la Loi sur la protection des données cantonales sont respectées. Il peut assortir la communication de données personnelles de conditions supplémentaires pour protéger les données personnelles.

1. L'autorité de surveillance doit recevoir au moins les documents élaborés dans le cadre de l'analyse d'impact relative à la protection des données. L'autorité de surveillance peut demander d'autres documents si cela est nécessaire pour évaluer le risque pour les droits fondamentaux.

2. La consultation préalable peut être omise dans la mesure où la participation de l'autorité de surveillance à l'organisation du projet est assurée par d'autres moyens.

3. La consultation préalable est terminée lorsque l'autorité de surveillance déclare l'application sans risque ou a émis une recommandation conformément à l'article 36 de la Loi cantonale sur la protection des données.

1. L'organisme public doit conserver l'évaluation des impacts sur la protection des données et les résultats de la consultation préalable pendant au moins deux ans après la fin de l'activité de traitement.

1. L'autorité de surveillance fournit un formulaire pour la notification des violations de la sécurité des données.

2. Si l'organisme public n'est pas en mesure de communiquer toutes les informations en même temps, il doit transmettre les informations manquantes dès que possible.

3. L'organisme public doit documenter la violation de la sécurité des données. La documentation doit contenir les faits liés aux incidents, leurs impacts et les mesures prises. Elle doit être conservée pendant au moins deux ans après la notification.

1. Si l'organisme public est tenu d'informer la personne concernée de la violation de la sécurité des données, il lui communique au moins, dans un langage simple et compréhensible

a) la nature de la violation ;

b) les conséquences, y compris les éventuels risques, pour les personnes concernées ;

c) les mesures qui ont été prises ou sont prévues pour remédier au manquement et atténuer les conséquences, y compris les éventuels risques ;

d) le nom et les coordonnées d'une personne de contact.

2. Si une information individuelle sur la violation de la sécurité des données apparaît disproportionnée en raison du grand nombre de personnes concernées, l'information peut être publiée sous une forme appropriée.

1. Les obligations de cette section s'appliquent aux organismes publics désignés aux articles 22 et 23 de la Loi cantonale sur la protection des données, ainsi qu'à

a) l'Office de l'exécution des peines ;

b) la Police cantonale ;

c) le Ministère public ;

d) la Police municipale de Coire.

2. D'autres organismes publics peuvent mettre en œuvre volontairement les exigences particulières selon les articles 22 et 23 de la Loi cantonale sur la protection des données. S'ils choisissent de le faire, ils doivent respecter les dispositions de cette section.

1. Les organismes publics concernés mettent régulièrement à jour le registre des activités de traitement.

2. Les modifications doivent être communiquées à l'autorité de surveillance.

3. Sont exemptés de l'obligation de déclaration les organismes publics qui tiennent volontairement le registre des activités de traitement.

1. Les organismes publics concernés désignent au moins une personne en tant que conseillère ou conseiller en protection des données, disposant des connaissances spécialisées requises.

2. Plusieurs organismes publics concernés peuvent conjointement nommer une conseillère ou un conseiller en protection des données.

3. Le nom et les coordonnées de la conseillère ou du conseiller en protection des données doivent être communiqués à l'autorité de surveillance et publiés.

4. L'autorité de surveillance forme périodiquement les conseillères et conseillers en protection des données.

1. La personne concernée peut faire valoir ses droits auprès de l'organisme public responsable, soit par écrit, soit verbalement.

2. L'organisme public responsable doit prendre des mesures appropriées pour identifier la personne concernée. Celle-ci est tenue de coopérer.

1. L'autorité publique responsable rend les données personnelles accessibles autant que possible sous la forme créée pour l'usage officiel. Les informations peuvent être fournies par voie électronique, à condition que la transmission soit suffisamment protégée contre l'accès de tiers non autorisés.

2. En accord avec l'autorité publique responsable, la personne concernée peut consulter ses données sur place. Les informations peuvent être fournies oralement si la personne concernée y consent.

1. L'organisme public responsable qui a reçu l'opposition confirme la réception de l'opposition sous une forme appropriée. Il veille à ce que d'autres organismes publics, qui ont reçu les données personnelles concernées de sa part, soient informés de l'opposition.

2. Si la personne concernée demande l'annulation de l'opposition, elle en informe l'organisme public responsable par écrit.

1. Un effort disproportionné est notamment présent lorsque

a) la personne concernée dépose à plusieurs reprises une demande dans la même affaire ;

b) la personne concernée, malgré la demande de l'organisme responsable, ne respecte pas son obligation de coopération ; ou

c) le traitement de la demande nécessite un effort matériel ou temporel considérable.

2. L'organisme public responsable doit informer la personne concernée du montant des frais avant de fournir les informations. Si la personne concernée ne confirme pas la demande dans un délai de dix jours, celle-ci est considérée comme retirée.

1. Les systèmes informatiques existants, qui ne prévoient pas une journalisation conformément à l'article 5, peuvent être exploités jusqu'à la fin de leur cycle de vie. L'article 5 doit être pris en compte lorsqu'ils sont remplacés par un nouveau système.

2. Les accords existants concernant le traitement des commandes restent valides jusqu'à leur expiration. Les articles 8 et 9 doivent être respectés lorsqu'ils sont prolongés ou modifiés.