Ordonnance sur l'information et la protection des données - Mission (IDV)

1. Le mandat pour le traitement des données personnelles par des unités organisationnelles ou des personnes privées, qui ne sont pas soumises à la loi sur l'information et la protection des données, doit être donné par écrit.

1. Un pool de données au sens du présent règlement existe lorsqu'un ensemble d'informations contenant des données personnelles

a) est créé dans le but de remplir les tâches d'au moins deux organismes publics ou d'au moins un organisme public et un tiers, et

b) contient des informations provenant d'au moins deux organismes publics ou d'au moins un organisme public et d'au moins un tiers, et

c) les informations qu'il contient sont utilisées conjointement par plusieurs organismes publics et/ou tiers, sans qu'il soit nécessaire que les organismes publics ou tiers fournissant et recevant les informations soient identiques.

1. Les accès au fonds d'informations d'une base de données supposent l'existence de fondements juridiques conformément aux dispositions des articles 9 et 21 de la Loi sur les données (IDG).

2. Pour l'établissement, l'exploitation et l'organisation d'une base de données, des fondements juridiques doivent être créés au moins au niveau réglementaire.

3. Ceux-ci établissent notamment

a) * l'objectif de la base de données ;

b) * le contenu de la base de données ;

c) * l'organisme public responsable de l'ensemble et ses attributions (art. 6 al. 2 IDG) ;

d) * les droits et obligations des organismes publics ou des tiers fournissant les informations ;

e) * les droits et obligations des organismes publics ou des tiers recevant les informations ;

f) * la gestion des informations qui ne sont plus nécessaires ;

g) * les directives pour un transfert de traitement à des tiers (art. 7 IDG) ;

h) * la dissolution de la base de données en conformité avec l'article 1c de ce règlement.

1. Lorsqu'un pool de données est dissous, les ensembles d'informations qu'il contient doivent être restitués aux organismes publics fournisseurs d'informations respectifs et/ou à des tiers.

2. Si une restitution n'est pas possible, les ensembles d'informations doivent être détruits en tenant compte des dispositions de l'article 16 de la loi sur la protection des données (IDG).

1. La preuve du respect des dispositions en matière de protection des données (§ 6 al. 3 IDG) est fournie par une documentation et comprend

a) une description du traitement des données personnelles ;

b) une présentation de la situation juridique ;

c) une description des risques et des mesures correctives ;

d) une description des processus et des responsabilités.

2. La documentation peut être réalisée dans le cadre d'un système de gestion structuré de la protection des données ou de la sécurité de l'information.

1. Un risque élevé pour les droits fondamentaux des personnes concernées, au sens de l'article 12a alinéa 1 et de l'article 13 alinéa 1 lettre b IDG, existe notamment lorsqu'un projet de traitement de données personnelles

a) * prévoit une procédure de consultation ;

b) * concerne des données personnelles particulières ou des données personnelles soumises à un secret professionnel ou administratif ;

c) * inclut un profilage ;

d) * concerne un grand nombre de personnes ;

e) * comprend un traitement des données sous-traité à l'étranger dans un État sans protection adéquate des données ; ou

f) * prévoit la création d'un groupement de données au sens de l'article 1a.

2. ...

1. Le premier contact avec le délégué à la protection des données doit avoir lieu à un moment qui permet de prendre en compte ses recommandations issues de la consultation préalable dans le projet législatif ou l'initiative en question.

2. La consultation préalable a lieu en un ou plusieurs étapes d'examen selon la taille du projet législatif ou de l'initiative.

3. Le délégué à la protection des données effectue l'étape d'examen respective dans un délai raisonnable et communique le résultat de l'examen correspondant à l'organisme public.

1. Si la consultation préalable concerne un projet de traitement de données personnelles, l'organisme public soumet au délégué à la protection des données une documentation contenant tous les documents pertinents pour l'évaluation, notamment

a) une description du projet ;

b) la présentation de la situation juridique ; et

c) un aperçu des mesures visant à prévenir les atteintes à la personnalité.

1. L'obligation d'information lors de l'acquisition conformément à l'article 15, paragraphe 1, de l'IDG peut être remplie notamment par des formulaires de collecte et par la remise d'une fiche d'information.

1. Lors de la communication de données personnelles à des fins non personnelles, notamment pour des statistiques, de la recherche et de la planification, l'information des personnes concernées peut être omise.

1. Les domaines, départements et services suivants désignent une conseillère ou un conseiller en protection des données

a) le secteur des services à la population et de la migration ;

b) la police cantonale ;

c) le ministère public ;

d) le département de l'économie et du travail ;

e) l'aide sociale.

2. Les établissements de droit public suivants désignent une conseillère ou un conseiller en protection des données

a) les travaux industriels de Bâle ;

b) les hôpitaux publics ;

c) l'université de Bâle.

1. Le règlement pour le système de vidéosurveillance spécifie notamment

a) la base légale pour l'utilisation de la vidéosurveillance,

b) quel organisme public est responsable du système de vidéosurveillance,

c) quel objectif est poursuivi par l'utilisation du système de vidéosurveillance,

d) quel espace est couvert par la vidéosurveillance,

e) quelles personnes sont concernées par la vidéosurveillance,

f) quand le système de vidéosurveillance est en service (heures de fonctionnement ou conditions pour la mise en marche),

g) combien de caméras avec ou sans fonction de zoom sont utilisées,

h) si et par qui une analyse en temps réel des enregistrements a lieu,

i) si et sous quelles conditions un enregistrement (stockage) des séquences est effectué,

j) sous quelles conditions et par qui une analyse ultérieure des enregistrements peut être effectuée,

k) après quelle durée les enregistrements sont supprimés,

l) quelles mesures techniques et organisationnelles sont prises pour protéger les données contre toute manipulation non autorisée, et

m) quelles mesures sont prises pour évaluer l'efficacité de la vidéosurveillance.

2. L'annexe au règlement contient notamment

a) un plan de situation avec les emplacements des caméras et les zones de couverture ainsi que

b) une représentation des moyens par lesquels l'utilisation du système de vidéosurveillance est signalée, notamment les pictogrammes accompagnés de l'indication de l'entité responsable.

3. Pour les tribunaux, les communes et les établissements et organismes autonomes, la réglementation s'applique par analogie (§ 18 al. 5 IDG).

1. Il convient d'indiquer l'utilisation de la vidéosurveillance à toutes les entrées de la zone surveillée au moyen de pictogrammes bien visibles et en mentionnant l'entité responsable.

1. L'organisme public soumet le projet de vidéosurveillance au préposé ou à la préposée à la protection des données pour consultation préalable conformément à l’art. 13 IDG ainsi que l'art. 2 et suivants de ce règlement.

2. L'organisme public présente au préposé ou à la préposée à la protection des données les documents nécessaires, en particulier

a) des explications sur le fait que le but n’a pas pu être atteint par d’autres mesures jusqu'à présent,

b) le cas échéant, des explications sur les raisons pour lesquelles la durée de conservation standard d'une semaine ne suffit pas pour atteindre l'objectif concret et avec quelles mesures techniques et organisationnelles le risque d'atteinte à la personnalité est minimisé, et

c) * le projet de règlement, si celui-ci est déjà disponible au moment du dépôt pour la consultation préalable.

1. Si un règlement de vidéosurveillance doit être prolongé, l'organisme public soumet le projet de prolongation au préposé ou à la préposée à la protection des données pour consultation préalable, au plus tard trois mois avant l'expiration de la durée de validité du règlement.

2. Le projet contient toutes les informations pertinentes nécessaires à l'évaluation de l'efficacité, notamment concernant les questions suivantes

a) dans quelle mesure l'objectif visé a pu être atteint avec la vidéosurveillance et/ou en raison d'autres facteurs, et

b) dans quelle mesure des modifications par rapport à la configuration antérieure sont possibles ou s'imposent.

1. Sont considérés comme communication de données dans le cadre de la procédure d'appel

a) la communication de données via une interface utilisateur (accès en ligne),

b) la mise à disposition de données via un service web, et

c) la mise à disposition périodique et automatisée de listes.

1. La divulgation de données personnelles par procédure de consultation nécessite une autorisation par la propriétaire ou le propriétaire des données, c'est-à-dire par l'organisme public responsable au sens de l'article 6 de la loi sur la protection des informations (IDG).

2. L'autorisation doit être soumise au préposé ou à la préposée à la protection des données pour consultation préalable.

3. Si l'organisme responsable a lui-même obtenu, en totalité ou en partie, les données personnelles auxquelles se réfère la demande par procédure de consultation, il n'est pas habilité à les divulguer par la même procédure sans le consentement de l'organisme public de qui il a obtenu les données personnelles demandées.

1. Pour la présentation de la demande ou l'autorisation au sens de l'article 9b, paragraphes 1 et 2, il convient d'utiliser les modèles cantonaux.

2. Dans des cas justifiés, il est possible de déroger à cette règle.

**1. Dans le cas où des données personnelles doivent être divulguées pour une finalité non personnelle, une déclaration d'engagement écrite doit être obtenue auprès du récipiendaire au sens de l'article 22, alinéas 2 et 4 de la Loi sur la protection des informations (IDG) avant la transmission.**

**2. La déclaration d'engagement doit notamment inclure :**

a) des informations détaillées concernant le récipiendaire,

b) une description précise de la finalité du traitement des données,

c) le déroulement prévu et le mode de traitement des données,

d) des informations sur les mesures prévues pour protéger les informations,

e) l'engagement à anonymiser ou à pseudonymiser les données personnelles dès que la finalité du traitement le permet, et

f) l'obligation de divulguer les résultats de manière à ce qu'aucune conclusion ne puisse être tirée sur les personnes concernées.

**3. Lorsque des données personnelles sont divulguées à des entités privées, la déclaration inclut en outre l'indication de la menace de sanctions pénales prévue par l'article 51, alinéa 2 de l'IDG et les engagements suivants :**

a) ne pas traiter les données personnelles à d'autres fins,

b) ne pas transmettre les données personnelles à des tiers, et

c) s'assurer que les données personnelles ne soient notamment pas portées à la connaissance de personnes non autorisées.

**4. Le récipiendaire doit être contraint de faire signer à toutes les personnes chargées du traitement des données et ayant accès aux informations non anonymisées une déclaration d'engagement au moins aussi étendue, et de la présenter à l'organisme public sur demande.**

1. L'organisme public peut se référer à la liste des États, territoires, secteurs spécifiques dans un État et organisations internationales figurant à l'annexe 1 de l'Ordonnance fédérale sur la protection des données (Ordonnance sur la protection des données, OPD) du 31 août 2022 concernant la protection des données pour déterminer si la législation d'un État récepteur assure une protection adéquate au sens de l'article 23 lettre a IDG.

2. Si, lors d'une divulgation de données à un récipiendaire dans un État dont la législation n'assure pas une protection adéquate, la protection doit être garantie par des accords contractuels au sens de l'article 23 lettre b IDG, l'organisme public doit informer préalablement le ou la délégué(e) à la protection des données des mesures de sécurité convenues.

1. Toute personne concernée peut exiger de l'organisme public qu'il rectifie des données personnelles incorrectes ou, si la rectification n'est pas possible, qu'il les détruise.

2. Si l'organisme public conteste l'inexactitude, il lui incombe de prouver l'exactitude des données personnelles, à moins que les informations correspondantes ne proviennent de la personne concernée elle-même.

3. Si, par la nature des données, ni l'exactitude ni l'inexactitude des données personnelles ne peut être prouvée, notamment pour celles contenant une évaluation du comportement humain ou celles que l'organisme public a reçues d'un autre organisme public ou d'une tierce personne, la personne concernée peut demander l'insertion d'une déclaration contradictoire.

4. Lorsqu'un organisme public rejette la demande de rectification de données personnelles incorrectes, il en informe la personne requérante, sur demande, sous la forme d'une décision susceptible de recours.

1. Si un organisme public rejette la demande d'interdiction d'un traitement illicite, de suppression des conséquences d'un traitement illicite, notamment de suppression de données, ou de constatation du caractère illicite d'un traitement de données personnelles, il en informe la personne requérante, sur demande, sous la forme d'une décision susceptible de recours.

1. L'organisme public qui a procédé au verrouillage veille à ce que les autres organismes publics, qui reçoivent de lui les données personnelles concernées par le verrouillage, soient informés de celui-ci.

2. Si la personne concernée demande la levée du verrouillage, elle en informe l'organisme public par écrit.

3. L'organisme public attire l'attention sur le droit de verrouillage

a) par un avertissement écrit sur les formulaires avec lesquels il collecte des données,

b) par un avertissement sur le site web lors des collectes en ligne, et

c) par des avertissements dans les publications qui informent sur les collectes de données.

1. Le Conseil exécutif règle l'activité d'information relative à ses décisions dans son règlement intérieur.

2. Les tribunaux, les communes et les autres collectivités ainsi que les établissements autonomes règlent eux-mêmes leur activité d'information.

1. Le registre des procédures de traitement de données personnelles contient pour chaque procédure au moins les informations suivantes

a) la désignation de la procédure,

b) la base légale pour le traitement des données,

c) l'organisme public responsable et

d) l'objectif du traitement des données.

1. Une note est considérée comme inachevée notamment lorsque

a) elle n'a pas encore été signée par la rédactrice ou le rédacteur,

b) elle n'a pas encore été remise par la rédactrice ou le rédacteur à la destinataire ou au destinataire,

c) elle est à l'état de brouillon,

d) le texte manuscrit ou saisi électroniquement comporte des ratures ou des annotations, ou

e) elle sert de note de travail informelle.

1. Lorsqu’un organisme public rédige des rapports contenant des informations dignes de protection à l’attention du Conseil d’État, il attribue à ces informations, en fonction de leur degré de protection, l’un des niveaux de classification suivants

a) secret ;

b) confidentiel.

1bis. D'autres informations dignes de protection peuvent également être classifiées.

2. Lorsqu'un support d'information est physiquement regroupé en un recueil, il convient de vérifier si, et dans quelle mesure, celui-ci doit être classifié ou attribué à un niveau de classification supérieur.

1. Sont classifiées comme secrets, notamment

a) les informations dont la divulgation pourrait gravement compromettre la sécurité publique ou la sécurité d'individus, ou causer autrement un dommage grave,

b) les informations dont la divulgation pourrait mettre en danger la capacité d'action des organes publics, en particulier du Grand Conseil et du Conseil d'État, et

c) les supports d'information contenant des informations sensibles au cours de la bourse concernant des entreprises dans lesquelles le canton ou les communes ont des participations.

2. Des informations sont également classifiées comme secrets lorsque

a) cette classification est requise en raison d'obligations légales ou contractuelles de confidentialité, ou

b) elles se basent sur des documents qui ont été attribués à un niveau de classification comparable par des autorités étrangères, fédérales, cantonales ou communales.

3. Les supports d'information contenant des informations classifiées comme secrets doivent être numérotés.

**1. Sont classifiées comme confidentielles les informations qui:**

a) la connaissance porterait atteinte à la sécurité publique ou à la sécurité des personnes, ou causerait des dommages d'une autre manière,

b) la connaissance pourrait perturber la libre formation de l'opinion et de la volonté des organes publics, en particulier du Grand Conseil et du Conseil d'État,

c) la connaissance pourrait gêner la mise en œuvre de mesures administratives concrètes,

d) contiennent des données personnelles sensibles conformément à l'article 3, paragraphe 4, IDG, ou des informations sur les situations familiales ou financières des individus,

e) concernent des contributions financières à des particuliers, pour lesquelles il n'existe pas de droit légitime,

f) contiennent des secrets d'affaires, professionnels ou de fabrication, ou

g) concernent des procédures de recours et des notifications réglementaires de surveillance.

**2. Les informations sont également classifiées comme confidentielles lorsque:**

a) cette classification est nécessaire en raison d'obligations de confidentialité légales ou contractuelles, ou

b) elles se basent sur des documents assignés par des autorités étrangères, fédérales, cantonales ou municipales à un niveau de classification comparable.

**3. Les porteurs d'informations classifiées comme confidentielles peuvent être numérotés.**

1. La classification doit être limitée dans le temps lorsque l'on peut prévoir à quel moment l'intérêt à protéger cessera.

1. Les informations classifiées ne doivent être communiquées ou rendues accessibles qu'aux personnes qui ont besoin d'en prendre connaissance.

1. Lorsqu'il s'agit de données personnelles sensibles et des résultats d'un profilage, il est présumé que l'intérêt privé de la personne concernée prévaut sur l'intérêt d'une tierce partie à l'accès.

1. Il n'existe pas de droit d'accès aux projets de décision et aux rapports que les départements et la chancellerie d'État préparent en vue de la prise de décision par le Conseil d'État.

2. Sous réserve de dispositions contraires prévues dans les règlements municipaux, cette restriction du droit d'accès s'applique également aux projets de décision et aux rapports préparés en vue de la prise de décision par le Conseil municipal.

1. L'organisme public garantissant l'accès conserve une copie de la pièce d'identité dans les dossiers, lorsqu'il doit exiger une carte d'identité en vertu de l'article 31, paragraphe 2, de la loi sur l'identité (IDG), parce que l'identité de la personne requérante n'est pas établie de manière certaine.

1. Un autre organisme public doit généralement être accordé un délai de sept jours pour présenter ses observations sur une demande d'accès à l'information.

2. Une tierce personne doit généralement être accordé un délai de quatorze jours pour présenter ses observations sur une demande d'accès à l'information ; si aucune observation n'est reçue dans le délai, un délai supplémentaire maximal de quatorze jours est accordé.

3. Si aucune observation n'est reçue, l'organisme public décide sur la base des dossiers disponibles.

1. Lors de demandes d'accès formulées par des professionnels des médias, il convient de tenir compte, dans la mesure du possible, de l'urgence temporelle de la couverture médiatique.

1. Le temps de travail jusqu'à une heure est gratuit.

2. Pour le temps de travail à partir de la deuxième heure, un tarif horaire de CHF 100 sera facturé.

1. Les frais suivants sont perçus pour la reproduction

a) pour la création de photocopies ou de copies électroniques, par page : CHF 1,

à partir de la 40ème page, par page : CHF 0.50,

b) pour les copies électroniques sur support de données lisible par machine, en plus du tarif par page éventuel selon let. a, par support de données : CHF 20,

c) par cassette audio, enregistrée par l'organisme public : CHF 20,

d) pour des reproductions qui doivent être réalisées par des prestataires externes : selon devis.

1. La Chancellerie d'État est responsable de la mise en œuvre du principe de transparence dans les affaires du Conseil exécutif et traite, dans ce cadre, les demandes d'accès à l'information.

2. La Chancellerie d'État a par ailleurs les tâches suivantes

a) elle coordonne la mise en œuvre du principe de transparence dans les affaires interdépartementales,

b) elle transmet les demandes reçues, qui ne concernent pas les affaires de l'ensemble du Conseil exécutif, à l'autorité compétente, et

c) elle élabore en outre des bases pour les activités d'information de l'ensemble de l'administration cantonale et soutient les organismes publics dans la mise en œuvre du principe de transparence.

3. Les départements, tribunaux, communes et autres collectivités ainsi que les établissements autonomes organisent eux-mêmes la mise en œuvre du principe de transparence.

4. Les départements de l'administration cantonale désignent une entité chargée de la mise en œuvre du principe de transparence au niveau départemental et qui sert d'interlocuteur à la Chancellerie d'État.

1. Les départements de l'administration cantonale communiquent chaque année à la Chancellerie d'État aux fins du rapport administratif

a) le nombre de demandes écrites d'accès à l'information déposées au cours de l'année de référence,

b) le nombre de demandes acceptées et de demandes refusées en tout ou en partie, et

c) les incidents particuliers liés à l'octroi de l'accès à l'information.

2. La Chancellerie d'État met à disposition de la ou du délégué à la protection des données les informations nécessaires pour le rapport conformément à l'article 50 LDIP.

1. Les communes informent le ou la délégué(e) à la protection des données lorsqu'elles instaurent ou abolissent une autorité de surveillance communale.

1. Règlement sur le marché des données

Le Règlement sur le marché des données du 12 juillet 2005 est modifié comme suit

2. Règlement sur la sécurité informatique (RSI)

Le Règlement sur la sécurité informatique (RSI) du 9 avril 2002 est modifié comme suit

3. Règlement sur les registres et l'archivage (Règlement sur les registres et l'archivage)

Le Règlement sur les registres et l'archivage (Règlement sur les registres et l'archivage) du 13 octobre 1998 est modifié comme suit

4. Règlement sur l'accueil des enfants dans les foyers et les familles d'accueil

Le Règlement sur l'accueil des enfants dans les foyers et les familles d'accueil du 9 septembre 1997 est modifié comme suit

5. Règlement sur le registre foncier (RRF)

Le Règlement sur le registre foncier (RRF) du 16 décembre 2003 est modifié comme suit

6. Règlement sur le service médical dans la protection civile

Le Règlement sur le service médical dans la protection civile du 15 septembre 1992 est modifié comme suit

7. Règlement relatif à la loi concernant la garde d'enfants (Règlement sur la garde d'enfants, RGE)

Le Règlement relatif à la loi concernant la garde d'enfants (Règlement sur la garde d'enfants, RGE) du 25 novembre 2008 est modifié comme suit

8. Règlement sur la reconnaissance des institutions pour la promotion de l'intégration des adultes invalides (Règlement de reconnaissance)

Le Règlement sur la reconnaissance des institutions pour la promotion de l'intégration des adultes invalides (Règlement de reconnaissance) du 16 octobre 2007 est modifié comme suit

9. Règlement sur l'harmonisation et la coordination des prestations sociales en fonction des besoins (Règlement HaCo)

Le Règlement sur l'harmonisation et la coordination des prestations sociales en fonction des besoins (Règlement HaCo) du 25 novembre 2008 est modifié comme suit

1. Avec l'entrée en vigueur du présent règlement, le Règlement sur la vidéoprotection (Vidéoprotection règlement) du 4 janvier 2005 est abrogé.

1. Projets d'extension des traitements de données déjà en cours au moment de l'entrée en vigueur de l'IDG ne doivent être soumis à un contrôle préalable auprès du délégué à la protection des données que si l'extension remplit, de manière nouvelle, l'une des conditions énoncées à l'article 2, paragraphe 1, de ce règlement.

1. Pour les systèmes de traitement de données existants, la preuve de conformité aux dispositions de protection des données selon § 6 al. 3 IDG ainsi que § 1d de ce règlement doit être apportée au plus tard le 31 décembre 2029.

1. Ce règlement doit être publié ; il entre en vigueur simultanément avec la loi sur l'information et la protection des données (Loi sur l'information et la protection des données) du 9 juin 2010.