Champ d'application

1. Ce règlement s'applique aux employés de l'administration cantonale (à l'exclusion des écoles), aux membres du Conseil d'État, aux employés du contrôle financier, de l'autorité de surveillance de la protection des données, de l'Ombudsman ainsi qu'aux tribunaux du canton de Bâle-Campagne (ci-après « employés »).

2. Le règlement doit être signé par tous les employés utilisant des moyens informatiques. Les autorités supérieures règlent la procédure de signature.

3. Les modifications du règlement doivent être communiquées aux employés de manière appropriée, mais restent valides pour eux même sans confirmation écrite, sauf si une autre ordonnance l'exige.

1. Le règlement régit l'utilisation sécurisée et légale des moyens informatiques.

2. Il a pour but de protéger les informations électroniques en termes de confidentialité, de disponibilité et d'intégrité, d'assurer l'utilisation économique des moyens informatiques ainsi que de respecter les droits de la personnalité des employés.

1. Les employés sont personnellement responsables de l'utilisation des moyens informatiques qu'ils utilisent dans le cadre de l'ordre juridique en vigueur et de ce règlement.

2. Les supérieurs hiérarchiques et les chefs de projet sont responsables de la communication et de l'application du règlement.

1. Lors de l'utilisation des moyens informatiques, la loi du 10 février 2011 relative à l'information et à la protection des données, le règlement du 4 décembre 2012 relatif à la loi sur l'information et la protection des données, ainsi que le règlement du 11 mars 2008 relatif à la sécurité de l'information et les règlements qui en découlent, s'appliquent en particulier.

1. Aux fins du présent règlement, on entend par

a. * «Moyens informatiques» : tous les appareils, programmes, installations et services permettant le traitement, le stockage, l’interprétation, la restitution et le transport de données ;

b. «Matériel» : tous les appareils techniques permettant le traitement, le stockage ou la transmission de données (p. ex. ordinateurs, ordinateurs portables, clés USB, téléphones mobiles, smartphones et tablettes) ;

c. «Logiciel» : tous les systèmes d'exploitation et programmes mis à disposition sur le matériel ;

d. «Données» : informations traitées ou générées par le canton pour remplir ses missions, quel que soit le support de données (p. ex. disques durs, clés USB, ordinateurs portables) ;

e. «Cloud» : infrastructure ou services virtuels proposés via un réseau (p. ex. espace de stockage de données, capacité de calcul, applications) ;

f. «Médias sociaux» : médias et technologies numériques permettant l'échange de communications, d'opinions et de contenus médiatiques individuellement ou en communauté ;

g. * «Accès à distance» : l'accès aux réseaux de l'administration cantonale ou aux systèmes qui y sont connectés depuis l'extérieur des locaux de l'administration cantonale (p. ex. télétravail/bureau à domicile, travail mobile, appareil tiers/appareil privé) ;

h. * «Appareil mobile» : moyens informatiques en utilisation mobile, qui se distinguent en

1. Smartphones et tablettes (professionnels ou personnels), utilisés à des fins professionnelles par les employés ; ces appareils ne sont pas définis dans le domaine BL ;

2. Appareils standards BL, qui sont définis dans le domaine BL et peuvent être utilisés en mobilité (p. ex. convertibles) ;

i * «VDI» (Virtual Desktop Infrastructure) : technologie permettant d'exploiter l'environnement de travail de l'utilisateur sur un serveur centralisé ; l'accès au poste de travail se fait par une application spéciale, pouvant être installée et utilisée sur presque tous les dispositifs finaux.

1. Les employés doivent utiliser les moyens informatiques mis à leur disposition avec soin et en respectant les ressources. Ils sont notamment responsables de s'assurer que leur utilisation ne cause aucun dommage aux moyens informatiques eux-mêmes, aux systèmes et réseaux associés, ni aux données qui y sont stockées.

2. Les mesures de sécurité mises en place par le canton ne doivent pas être manipulées ou supprimées.

3. Lorsqu'un employé ou une employée n'utilise pas immédiatement un moyen informatique, l'accès doit être verrouillé de manière à ce qu'il ne puisse être déverrouillé qu'avec l'identifiant personnel.

4. Les employés veillent à ce que lors de l'utilisation des moyens informatiques et de l'impression de documents, les données personnelles sensibles et autres informations à caractère confidentiel ne puissent être consultées ou manipulées par des personnes non autorisées.

5. L'impression de documents et de données professionnelles à contenu non public est interdite en dehors de l'environnement professionnel/télétravail. Dans l'environnement professionnel, il doit être garanti que les données non publiques ne puissent pas être consultées par des personnes non autorisées.

6. Après la fin du travail, l'ordinateur doit être complètement éteint. Cela assure que les mises à jour techniques et de sécurité sont installées et activées.

1. Les collaborateurs sont responsables de l'utilisation appropriée des dispositifs et mesures de contrôle d'accès existants (par exemple, choix et conservation des mots de passe, certificats, cartes à puce).

2. Les mots de passe liés aux moyens d'identification personnelle tels que les identifiants d'utilisateur ou les cartes à puce doivent être traités de manière confidentielle et ne doivent pas être divulgués.

1. Les moyens informatiques sont acquis par le service d'approvisionnement compétent conformément aux directives et normes en vigueur.

1bis. Tous les moyens informatiques mis à disposition restent la propriété du canton.

1ter. Aucun support sur site n’est fourni pour le télétravail. Les outils habituels et les processus pour signaler les pannes et les défaillances sont disponibles.

2. L'installation de logiciels sur le matériel fourni par le canton (y compris VDI) ainsi que l'installation et l'utilisation de matériel non fourni par le canton sur le lieu de travail est en principe interdite. Les exceptions nécessitent une décision du groupe d'experts en informatique, du conseil ITO ou du conseil exécutif.

3. Les employés sont tenus de restituer spontanément les moyens informatiques en cas de changement de poste ou de disparition des raisons qui ont conduit à leur délivrance.

4. Avant de quitter l’entreprise, les employés transmettent les données pertinentes pour l'activité professionnelle de leur dossier personnel (non privé) à l'entité désignée par le supérieur hiérarchique. Après leur départ, les comptes utilisateurs et les comptes e-mail (ainsi que toutes les autres archives de données personnelles et privées) sont désactivés et ensuite supprimés. Les e-mails et données privés peuvent être emportés par les employés.

1. Pour des raisons opérationnelles ou commerciales, la personne responsable peut, sur demande, accorder une autorisation d'accès à distance. L'autorisation de télétravail est conforme à la directive de la Direction du personnel relative au télétravail.

2. Si l'accès à distance est autorisé via un dispositif tiers, le salarié est responsable de la protection contre les logiciels malveillants, qui doit être fonctionnelle et à jour sur ce dispositif.

3. Pour l'accès à distance, l'informatique centrale met à disposition des accès sécurisés.

3bis Les salariés disposant d'un appareil de travail mobile (par exemple, un convertible) ou utilisant un dispositif privé avec un logiciel client VDI installé doivent accéder à distance au réseau du canton et aux systèmes associés. Les appareils établissent automatiquement une connexion chiffrée au réseau du canton par les accès fournis par l'informatique centrale. Cette connexion ne doit pas être modifiée ou altérée de quelque manière que ce soit.

3ter Pour le télétravail, les salariés doivent fournir une connexion Internet adaptée.

4. En cas d'accès à distance, aucun coût d'installation ou de fonctionnement (électricité, téléphone, etc.) n'est remboursé aux salariés.

1. Les appels téléphoniques confidentiels ne doivent être effectués qu'en l'absence d'auditeurs non autorisés. Les assistants vocaux intelligents (Alexa, Siri, etc.) ne doivent pas être à portée d'écoute.

2. Il est interdit de prendre des captures d'écran de données professionnelles lorsque celles-ci ne sont pas stockées dans la mémoire sécurisée (BL-Addon) des smartphones/tablettes ou sur les espaces de stockage des services informatiques centraux (Convertibles).

3. Les utilisateurs et utilisatrices d'un appareil mobile doivent s'assurer que les applications et programmes privés n'accèdent pas aux données de contact professionnelles et que celles-ci ne sont pas synchronisées.

4. Les appareils mobiles ne doivent pas être utilisés par des tiers, y compris les membres de la famille.

1. La redirection automatique depuis un compte e-mail cantonal personnel vers des adresses e-mail internes ou externes n'est pas autorisée.

2. En cas d'absence, un contact alternatif est indiqué dans le message d'absence automatique du compte e-mail cantonal.

3. Pour les activités commerciales, seul le compte e-mail cantonal doit être utilisé.

4. L'envoi de courriels contenant des informations professionnelles vers son propre compte e-mail personnel (p. ex. pour un traitement ultérieur) n'est pas autorisé.

1. Les e-mails confidentiels doivent être marqués et envoyés avec l'option de confidentialité « Confidentiel ».

2. Les données confidentielles, en particulier les données personnelles, ne doivent être envoyées à des adresses e-mail en dehors de l'administration que de manière chiffrée ou protégée par mot de passe. À cette fin, il convient d'utiliser les techniques offertes par le canton.

1. Les courriels privés doivent être marqués de l'option de confidentialité « Privé » et envoyés sans signature cantonale aux conditions de l'article 17.

2. Le classement des courriels privés doit se faire dans le répertoire « Privé ».

3. L'adresse e-mail cantonale ne doit pas être utilisée pour des newsletters privées, des commandes, des concours, des réseaux sociaux ou des activités similaires.

1. Tout envoi en masse à l'ensemble des collaboratrices et collaborateurs de l'administration cantonale requiert l'approbation de la secrétaire générale ou du secrétaire général responsable du contenu, de la chancelière ou du chancelier, des directions du contrôle financier et de l'autorité de surveillance de la protection des données, de la personne ombudsman ou de l'administration judiciaire.

2. La Conférence des secrétaires généraux détermine qui obtient l'autorisation technique pour un tel envoi.

1. Les rendez-vous calendaires privés et confidentiels doivent être marqués avec l'option de confidentialité « Privé ».

2. Les documents confidentiels ne peuvent être joints qu'à des rendez-vous calendaires marqués « Privé ».

1. Tous les appareils connectés aux réseaux de l'administration cantonale utilisent exclusivement l'accès Internet centralisé.

2. Il n'existe aucun droit légal d'accès à Internet.

3. Le Conseil d'État se réserve le droit de bloquer ou de filtrer des informations/publications ayant un contenu inapproprié (par exemple pornographique, discriminatoire, contraire à l'éthique, immoral).

4. Les blocages définitifs dus à des exigences de sécurité ou techniques nécessitent l'approbation des comités informatiques compétents.

1. L'utilisation des moyens informatiques doit se conformer à l'ordre juridique en vigueur et tenir compte des intérêts du canton.

2. Il est notamment interdit d'accéder à des données au contenu illicite, contrefaisant, raciste, injurieux, pornographique ou dégradant, ou de diffuser de telles données.

1. L'utilisation privée des moyens informatiques est autorisée, à condition que les ressources sollicitées (temps de travail, capacité du réseau, espace de stockage, temps et volume de connexion) soient négligeables.

2. L'utilisation privée durant le temps de travail ne doit pas entraver l'accomplissement des tâches assignées et doit être limitée au strict nécessaire.

3. ...

4. Les frais d'utilisation privée à l'étranger sont à la charge des employés et doivent être facturés conformément aux instructions de la Direction des finances et de l'administration ecclésiastique.

1. Les données qui ne sont pas publiques ou destinées à être publiées doivent être stockées sur les dépôts de données de l'informatique centrale. En particulier, il est interdit de stocker ces données sur des supports privés (disque dur interne ou externe d'un PC, appareils mobiles ou autres supports de masse, clé USB, etc.) ou sur Internet (par exemple sur un site web, une plateforme de réseaux sociaux ou via un compte Cloud personnel ou fourni par des tiers tel que Dropbox, iCloud, etc.).

2. Les exceptions nécessitent l'approbation du Conseil ITO sur la base d'une analyse de risque.

3. Le transport de données confidentielles, en particulier des données personnelles, sur des supports de données, doit se faire uniquement de manière cryptée. Ces supports de données doivent être obtenus auprès du service d'approvisionnement compétent.

4. Les données privées doivent être stockées (sous les conditions de l'article 17) dans un dossier intitulé « Privé ».

1. En cas d'absence imprévisible d'un ou d'une employé(e) et si l'accès à ses données professionnelles s'avère nécessaire pendant cette période, un tel accès doit être autorisé au cas par cas par la secrétaire générale, le secrétaire général, la secrétaire d'État, le secrétaire d'État, les directions du contrôle financier et de l'autorité de protection des données, l'ombudspersonne ou l'administration judiciaire.

2. L'accès s'effectue par la personne supérieure hiérarchique ainsi qu'une autre personne selon le principe des quatre yeux.

3. L'opération est consignée dans un rapport. Le rapport est remis à la personne absente à son retour.

4. Dans la mesure du possible, la personne absente doit être informée préalablement de l'accès.

1. Constatations concernant des défauts techniques et des incidents liés à la sécurité en rapport avec les moyens informatiques (par exemple, comportement inexpliqué du système, perte ou modification de données et de programmes, suspicion d'abus de son propre identifiant utilisateur, etc.) doivent être signalées sans délai au Service Desk.

2. Si informer le Service Desk pourrait aboutir à un conflit d'intérêts ou si celui-ci n'est pas joignable, la ou le supérieur hiérarchique doit être informé(e).

1. En cas de perte d'un appareil, il est impératif d'informer le service d'assistance et de déposer une déclaration de vol ou de perte auprès de l'autorité de police compétente.

2. La carte SIM doit être immédiatement bloquée par le ou la collaborateur(trice) auprès de l'opérateur de téléphonie mobile.

3. Toute participation des collaborateurs(trices) aux dommages est régie par la loi du 24 avril 2008 sur la responsabilité du canton et des communes.

1. Les données de journal ne servent exclusivement qu'à la sécurité des données et à garantir un fonctionnement adéquat, à des fins de contrôle de la protection des données et de l'audit informatique. Elles ne sont pas utilisées pour une évaluation préventive du comportement ou de la performance.

2. La journalisation prend en compte les décrets cantonaux relatifs à la protection des données et à la sécurité des informations ainsi que d'autres dispositions concernant la conservation des documents.

1. Les organes désignés par la Secrétaire générale ou le Secrétaire général, la Chancelière ou le Chancelier d'État, la direction du contrôle financier et de l'office de surveillance de la protection des données, l'Ombudsperson et l'administration judiciaire examinent périodiquement une évaluation sommaire et anonyme (sans possibilité de revenir à des personnes spécifiques) de l'utilisation des systèmes, des applications, des réseaux, des communications par courriel, de l'accès à distance et de l'accès à Internet, ainsi que des données stockées sur les serveurs.

2. Si l'examen révèle un soupçon de violation du présent règlement, des examens personnels appropriés restent réservés.

3. Un contrôle préventif personnel n'est pas autorisé.

4. En principe, les employés sont informés à l'avance lorsque des examens personnels sont effectués. L'annonce préalable peut être omise si

a. la sécurité des données, en particulier la disponibilité du système, ne peut plus être garantie, ou

b. il existe des indices d'un acte illégal, en particulier d'une infraction pénale.

5. Si un abus est constaté à la suite de l'examen personnel, l'office compétent ou l'autorité de poursuite pénale en est informée.

6. Le supérieur hiérarchique peut vérifier les données professionnelles dans la mesure où cela est nécessaire pour sa supervision. Les dispositions particulières relatives au secret professionnel ainsi que les dispositions relatives au secret de fonction restent réservées.

1. Le règlement d'utilisation des moyens informatiques du 17 décembre 2002 est abrogé.

1. Ce règlement entre en vigueur le 1er janvier 2015.