Objet

1. Cette loi établit l'organisation de l'informatique et régit l'utilisation des moyens informatiques en incluant la protection des données.

1. La loi s'applique à l'administration cantonale (y compris les hôpitaux et les écoles cantonales) et aux tribunaux. Sont exclus la Caisse de compensation de Lucerne, l'Office AI de Lucerne, la Caisse de chômage, l'Assurance bâtiments, la Caisse de pensions de Lucerne, les hautes écoles et les hautes écoles spécialisées gérées dans le cadre d'un concordat, l'Université de Lucerne ainsi que la Haute école pédagogique de Lucerne.

2. Pour les entités exemptées énumérées au paragraphe 1 et pour d'autres entités désignées par ordonnance par le Conseil d'État, les parties 1, 2 et 6 s'appliquent. La partie 5 leur est applicable dans la mesure où elles utilisent les moyens informatiques du canton de Lucerne.

3. Pour les communes, les parties 1, 2 et 6 s'appliquent.

4. Le Conseil d'État peut exclure certaines installations du champ d'application de cette loi.

1. Les termes «données personnelles», «données personnelles sensibles», «personne concernée», «traitement des données personnelles», «profilage», «organisme responsable» ainsi que «organisme» sont définis selon la Loi cantonale sur la protection des données personnelles (Loi cantonale sur la protection des données) du 2 juillet 1990. Dans cette loi, ils incluent généralement aussi les informations concernant des personnes morales déterminées ou déterminables, ou des sociétés de personnes relevant du droit commercial.

2. Le terme informatique inclut la gestion, la planification et l'introduction ainsi que le fonctionnement et l'entretien des processus et techniques servant au traitement automatisé ou assisté par des machines de toutes sortes d'informations.

3. Les moyens informatiques sont des appareils, installations et services, tels que les systèmes informatiques, programmes informatiques et services de communication, qui servent à la collecte, traitement, stockage, transmission, évaluation, archivage ou destruction électronique des informations.

4. Les bases de données centrales sont composées de données agrégées provenant de divers organismes. Elles peuvent se situer à n'importe quel endroit. Les entrepôts de données et les hubs de données sont des bases de données centrales.

5. Les entrepôts de données (data warehouses) servent au stockage permanent de données.

6. Dans les hubs de données, les données sont temporairement disponibles pour l'échange de données.

7. Les procédures de consultation sont des processus automatisés qui permettent à des tiers de traiter des données personnelles sans intervention de l'organisme ayant communiqué les données.

8. Une externalisation est le recours d'un organisme à des moyens informatiques de tiers pour accomplir ses tâches. Les organismes au sein d'une même collectivité ne sont pas considérés comme des tiers.

1. L'informatique soutient la rentabilité et l'efficacité des processus commerciaux et d'apprentissage.

2. L'utilisation de l'informatique doit être économique, servir à l'accomplissement des tâches publiques et correspondre aux besoins des utilisatrices et utilisateurs.

3. Les techniques susceptibles de produire à partir de données ou de données personnelles des données personnelles particulièrement dignes de protection, ou d'effectuer un profilage, ne peuvent être utilisées que si les conditions selon l'article 5, paragraphe 2 de la loi cantonale sur la protection des données sont remplies.

1. L'établissement et l'exploitation de bases de données centralisées sont autorisés, à condition que les dispositions relatives à la protection des données et les dispositions de cette loi soient respectées.

2. L'établissement et l'exploitation de bases de données centralisées nécessitent un accord de service conclu entre les organes concernés et l'opérateur, approuvé par les autorités compétentes. Cet accord régit au moins les points suivants

a. Structure de la base de données centralisée,

b. Contenu de la base de données, notamment en ce qui concerne les données personnelles,

c. Techniques utilisées, y compris le développement et la maintenance,

d. Gestion des accès,

e. Concept de sécurité et d'effacement des données,

f. Emplacement du matériel informatique,

g. Droits et obligations de contrôle,

h. Responsabilités,

i. Publication conformément à l'article 10.

3. Le Conseil de gouvernement peut, après avoir consulté l'avis du ou de la Responsable de la protection des données, autoriser avant l'entrée en vigueur d'une loi formelle une base de données centralisée contenant des données personnelles particulièrement dignes de protection ou des résultats de profilages pour une période limitée, unique et n'excédant pas cinq ans, si

a. les tâches rendant ce traitement nécessaire sont régies par une loi formelle,

b. des mesures suffisantes pour prévenir les atteintes à la personnalité sont prises,

c. la mise en œuvre pratique d'un traitement de données avant l'entrée en vigueur d'une loi formelle nécessite impérativement une phase de test et

d. l'accord du Tribunal cantonal est donné dans le cas où seuls des organes du système judiciaire cantonal participent à la base de données centralisée.

4. Lorsqu'une base de données centralisée est exploitée sur la base d'une autorisation conformément au paragraphe 3, les organes connectés à la base de données centralisée informent annuellement le Conseil de gouvernement sur l'état des travaux du projet et sur la nécessité de poursuivre l'exploitation.

1. L'exploitant d'une base de données centrale est responsable et chargé de l'exploitation technique et de la sécurité technique.

2. L'exploitant peut être un organisme participant à la base de données centrale, un organe d'informatique conformément à l'article 17, alinéa 2, ou, sous réserve des dispositions relatives à la sous-traitance, un tiers.

3. L'exploitant dispose des droits d'accès et de traitement nécessaires à l'accomplissement de ses tâches sur les données personnelles stockées. L'administration du système et la gestion des accès ne doivent pas être confiées à la même personne.

4. L'exploitant ainsi que toute personne mandatée par lui pour des tâches d'exploitation sont tenus à la confidentialité concernant les données personnelles auxquelles ils ont accès.

5. L'article 6, alinéa 3, de la loi cantonale sur la protection des données n'est pas applicable aux bases de données centrales.

1. L'étendue du droit d'accès et du droit de traitement des organes sur les données personnelles d'une base de données centrale est déterminée conformément à la Loi cantonale sur la protection des données et doit être assurée de manière techniquement et organisationnellement appropriée. L'article 6, paragraphe 3, est réservé.

2. Si les données personnelles stockées dans un entrepôt de données ne sont plus nécessaires à aucun organe impliqué, elles doivent être proposées aux archives compétentes pour prise en charge. Si elles sont jugées non dignes d'archivage par les archives, elles doivent être supprimées ou détruites sans délai.

1. Données personnelles, qui doivent être stockées dans un entrepôt de données, peuvent être collectées pour plusieurs organismes conjointement.

2. Si des données personnelles, qui doivent être stockées dans un entrepôt de données, sont collectées pour plusieurs organismes conjointement, la personne concernée doit être informée lors de la collecte de la conservation de ses données personnelles dans l'entrepôt de données ainsi que des organismes impliqués.

1. Lors de l'acquisition de moyens informatiques pour des bases de données centrales, il convient de prendre en compte de manière appropriée la protection des données fournie par les technologies.

2. Avant que des moyens informatiques pour des bases de données centrales ne soient acquis, les autorités de surveillance compétentes en matière de protection des données doivent être consultées. Elles peuvent émettre un avis dans un délai raisonnable.

1. La création de bases de données (data warehouses) doit être publiée dans la Feuille officielle du canton par l'exploitant avant la mise en service. La publication doit indiquer pour chaque entrepôt de données, les organes impliqués, les ensembles de données correspondants ainsi que l'exploitant. De plus, la publication doit fournir des informations pour chaque ensemble de données concernant la base légale, le but, les moyens et procédures de traitement, la nature et l'origine des données personnelles ainsi que leurs destinataires réguliers, et l'existence et le lieu de conservation des copies.

2. La publication doit également indiquer les droits de contrôle de chaque personne ainsi que les autorités de surveillance compétentes pour la protection des données conformément à cette loi et à la loi cantonale sur la protection des données.

3. Les informations conformément à l'alinéa 1 doivent être incluses dans le registre des activités de traitement des données.

**1. Toute personne peut demander des informations à l'autorité de contrôle compétente en matière de protection des données**

a. *sur le contenu du registre des activités de traitement des données,*

b. si des données personnelles la concernant sont stockées dans un entrepôt de données; elle doit prouver son identité à cet égard.

**2. L'autorité de contrôle compétente en matière de protection des données et le ou les responsables informatiques compétents vérifient conjointement si des données personnelles concernant la personne concernée sont stockées dans l'entrepôt de données et quels organes ont le droit d'accès ou de traitement. L'autorité de contrôle compétente en matière de protection des données et le ou les responsables informatiques disposent des droits d'accès nécessaires aux locaux et installations de l'opérateur, ainsi que des droits d'accès et de traitement nécessaires pour les données personnelles stockées dans l'entrepôt de données. L'opérateur doit fournir toute l'assistance nécessaire à l'examen.**

**3. L'autorité de contrôle compétente en matière de protection des données informe la personne concernée des organes impliqués dans l'entrepôt de données qui sont autorisés à accéder à ses données personnelles ou à les traiter. L'autorité de contrôle compétente en matière de protection des données peut restreindre, assortir de conditions ou refuser cette information en raison d'intérêts publics prépondérants ou d'intérêts privés prépondérants de tiers ou de la personne concernée.**

**4. La procédure relative à l'information sur les données personnelles existantes concernant une personne concernée ainsi que celle relative à la consultation, à la rectification et à d'autres réclamations est régie par la loi cantonale sur la protection des données. À la demande de la personne concernée, l'autorité de contrôle compétente en matière de protection des données engage la procédure auprès des organes qui sont autorisés à accéder à ses données personnelles ou à les traiter.**

**5. Les autorités de contrôle en matière de protection des données et les responsables informatiques sont tenus au secret professionnel concernant les données personnelles dont ils ont connaissance.**

1. La partie 2 de cette loi s'applique mutatis mutandis à l'établissement et à l'exploitation des procédures sur demande. Sont réservées les dispositions relatives à la publication et au registre.

**1. L'externalisation des services informatiques est autorisée sous réserve du respect des lois sur la protection des données ainsi que des dispositions de la présente loi. Les dispositions financières sont réservées.**

**2. L'externalisation nécessite un accord écrit qui doit, au minimum, réglementer les points suivants :**

a. Contenu du service,

b. Respect du secret professionnel ainsi que des obligations spécifiques de confidentialité,

c. Responsabilités,

d. Techniques utilisées, y compris le développement et la maintenance,

e. Droits d'accès et d'entrée,

f. Concept de sécurité et de suppression des données,

g. Localisation du matériel et du traitement des données,

h. Droits de contrôle,

i. Recours à des tiers,

j. Archivage,

k. Rapatriement et suppression des données en cas de résiliation du contrat.

**3. L'organisme externalisant assure, par des mesures organisationnelles ou techniques ainsi que par des dispositions contractuelles, que l'accomplissement des tâches étatiques est garanti sans perturbation majeure, même si le contractant ne respecte pas les accords ou cesse ses activités.**

1. L'externalisation des services informatiques d'intérêt supérieur ou stratégique nécessite l'approbation du Conseil d'État.

2. Les autres projets d'externalisation doivent être signalés à l'autorité compétente à l'avance.

1. Le cocontractant, y compris ses employés et auxiliaires, doit respecter les mêmes obligations de confidentialité administratives, professionnelles et spécifiques ainsi que les dispositions relatives à la protection des données et à la sécurité informatique auxquelles est soumis l'organisme externalisant.

2. Il doit accorder à l'organisme externalisant, à l'autorité de surveillance compétente pour la protection des données ainsi qu'au contrôle financier l'accès aux locaux et installations ainsi que les droits d'accès nécessaires aux données correspondantes et leur apporter un soutien approprié.

1. Le responsable du traitement est considéré comme le détenteur de la base de données.

2. Si des droits de contrôle sont exercés auprès du sous-traitant conformément au droit de la protection des données, ce dernier doit renvoyer la personne concernée à l'organisme externalisateur et s'abstenir de traiter matériellement les demandes.

1. L'organisation informatique du canton de Lucerne se compose de l'informatique d'entreprise et de l'informatique départementale.

2. Le Conseil d'État désigne les organes de l'informatique et détermine leurs tâches fondamentales, fonctions et compétences.

3. L'informatique départementale relève des départements, de la Chancellerie d'État ainsi que du Tribunal cantonal, tout en tenant compte des directives stratégiques de l'informatique d'entreprise.

1. Les moyens informatiques doivent être sécurisés par l'organisme responsable ou l'exploitant d'une base de données centrale contre la perte et les influences indésirables. Les données personnelles doivent être protégées contre tout accès non autorisé et toute manipulation non autorisée.

2. Les organes informatiques soutiennent les organismes responsables et les exploitants de bases de données centrales dans la définition et la mise en œuvre de mesures de sécurité.

1. Les services, les tribunaux et les autres instances relevant de la portée d'application selon l'article 2, paragraphe 2, classifient les données et les moyens informatiques et déterminent sur cette base les objectifs de protection. Ils établissent un plan de mesures pour atteindre ces objectifs de protection.

2. Les objectifs de protection et le plan de mesures doivent être vérifiés périodiquement.

3. Le Conseil d'État règle les détails.

1. Tous les utilisateurs et utilisatrices sont personnellement responsables de l'utilisation des moyens informatiques conformément à l'ordre juridique en vigueur et à cette loi. Les moyens informatiques ne doivent pas être utilisés de manière abusive.

2. Le Conseil d'État réglemente l'utilisation des moyens informatiques sur le lieu de travail et désigne les cas d'utilisation abusive.

3. Les principes suivants s'appliquent aux mesures de contrôle et de surveillance

a. Les mesures de contrôle et de surveillance visent principalement à vérifier et à garantir la sécurité technique, le bon fonctionnement et la disponibilité des moyens informatiques.

b. Tous les accès à Internet et l'ensemble du trafic e-mail des utilisateurs et utilisatrices sont enregistrés (journalisés). Le contenu des e-mails ne peut être lu sans le consentement des utilisateurs concernés. Ce principe ne peut être dérogé que si cela est indispensable à l'accomplissement des tâches de l'État.

c. Les données de journalisation doivent être évaluées sous forme anonymisée.

d. Les évaluations personnelles ne sont exceptionnellement autorisées que si la sécurité technique, le bon fonctionnement ou la disponibilité des moyens informatiques sont gravement menacés et que cela est indispensable pour résoudre les perturbations. Ces évaluations ne doivent pas porter sur le contenu des e-mails et des accès Internet.

e. En cas de suspicion fondée d'abus des moyens informatiques, des évaluations personnelles peuvent être effectuées après annonce écrite, portant également sur le contenu des e-mails et des accès Internet.

f. Les instruments techniques de surveillance et de contrôle ainsi que les filtres de blocage sont autorisés à l'exception des programmes dits d'espionnage.

4. Le Conseil d'État règle les détails, notamment la procédure de contrôle. Il peut notamment prévoir de faire effectuer des contrôles de plausibilité anonymisés sur une durée d'utilisation limitée.

1. Le conseil exécutif détermine l'autorité compétente conformément à l'article 5, paragraphe 2, et à l'article 14, paragraphe 2.

2. Dans les communes, le conseil municipal détermine l'autorité compétente.

1. Les ordonnances suivantes sont modifiées selon l'annexe[4]

a. Loi sur la protection des données personnelles (Loi sur la protection des données) du 2 juillet 1990[5],

b. Loi sur la police cantonale du 27 janvier 1998[6].

1. Quiconque enfreint les dispositions des §§ 4 alinéa 3, 6 alinéa 4, 10 alinéa 1 et 15 alinéa 1 est passible d'une amende allant jusqu'à 5000 francs.

2. Le Conseil d'État peut, par règlement, prévoir des amendes allant jusqu'à 3000 francs pour les infractions aux dispositions de l'article 20 ou aux dispositions réglementaires prises sur la base de cet article.

3. Une mesure peut remplacer la sanction, à condition que le contrevenant y consente. Cette mesure consiste en un cours de protection des données aux frais du contrevenant.

4. Le ou la préposé(e) à la protection des données organise le cours de protection des données. Celui-ci peut être dispensé par des tiers.

5. Les dispositions du Code pénal suisse sont réservées.

1. La loi entre en vigueur le 1er juillet 2005. Elle est soumise au référendum facultatif.