Loi cantonale sur la protection des données (KDSG) - Objectif (KDSG)

1. Cette loi vise à protéger les personnes contre le traitement illicite de leurs données personnelles par des organismes publics.

1. Cette loi s'applique au traitement des données personnelles par les organismes publics.

2. Dans la mesure où un organisme public participe à la concurrence économique et n'agit pas de manière souveraine, les traitements de données sont soumis aux règles de la loi fédérale sur la protection des données. La surveillance est régie par la présente loi, sauf pour les organismes publics qui participent exclusivement à la concurrence économique et agissent de manière privée.

3. Le droit procédural applicable régit le traitement des données personnelles et les droits des personnes concernées dans les procédures judiciaires et dans les procédures selon les ordonnances de procédure fédérales, ainsi que dans les procédures de juridiction administrative, à l'exception des procédures de première instance devant les autorités administratives.

4. Les dispositions divergentes et complémentaires dans d'autres lois sont réservées, pour autant qu'elles assurent la protection des droits fondamentaux des personnes dont les organismes publics traitent les données personnelles, au sens de cette loi.

**1. Sont considérés comme organes publics au sens de cette loi :**

a) les autorités, administrations et commissions du canton, des régions, des communes et des associations de communes ;

b) les autorités, administrations et commissions des établissements, fondations et corporations de droit public du canton, des régions et des communes ;

c) les personnes physiques ou morales ou autres organisations de droit privé, dans la mesure où elles accomplissent des tâches publiques qui leur sont transférées.

**2. Les données personnelles au sens de cette loi sont toutes les informations qui se rapportent à une personne physique ou morale identifiée ou identifiable.**

**3. Les données personnelles particulièrement sensibles sont des données personnelles pour lesquelles il existe un risque particulier d'atteinte aux droits fondamentaux, notamment :**

a) les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales ;

b) les données sur la santé, l'intimité ou l'appartenance à une race ou une ethnie ;

c) les données génétiques ;

d) les données biométriques qui identifient de manière unique une personne physique ;

e) les données concernant les poursuites ou sanctions administratives et pénales ;

f) les données sur les mesures d'aide sociale.

**4. Les profils de personnalité sont des assemblages de données qui permettent une évaluation des aspects essentiels de la personnalité d'une personne physique.**

**5. Le profilage est tout type de traitement automatisé de données personnelles qui consiste à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, en particulier pour analyser ou prévoir des aspects relatifs à la performance au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, le lieu de résidence ou les déplacements de cette personne.**

**6. Traiter est toute manipulation de données personnelles, indépendamment des moyens et procédés utilisés, en particulier l'obtention, le stockage, la conservation, l'utilisation, la modification, la communication, l'archivage, la suppression ou la destruction des données.**

**7. Communiquer est transmettre ou rendre accessibles des données personnelles.**

**8. Une violation de la sécurité des données est une atteinte à la sécurité qui entraîne la perte, la suppression, la destruction ou la modification accidentelle ou illégale de données personnelles ou leur divulgation ou leur mise à disposition à des personnes non autorisées.**

**9. La sous-traitante ou le sous-traitant est une tierce personne qui traite des données personnelles pour le compte de l'organe public responsable.**

1. L'organisme public responsable de la protection des données est celui qui, seul ou conjointement avec d'autres, décide de l'objectif et des moyens du traitement.

2. Si plusieurs organismes publics traitent des données personnelles à partir d'une même base de données, ils réglementent entre eux la responsabilité et déterminent quel organisme public assume la responsabilité globale.

3. L'organisme public responsable doit pouvoir démontrer à l'autorité de surveillance, sur demande, qu'il respecte les dispositions relatives à la protection des données.

1. Les données personnelles doivent être traitées de manière licite.

2. Le traitement doit se faire de bonne foi et être proportionné.

3. Les données personnelles ne peuvent être collectées que dans un but déterminé et reconnaissable pour la personne concernée; elles ne peuvent être traitées que d'une manière compatible avec ce but.

4. Elles sont détruites ou anonymisées dès qu'elles ne sont plus nécessaires au regard de l'objectif du traitement.

5. Celui qui traite des données personnelles doit s'assurer de leur exactitude. Il ou elle doit prendre toutes les mesures raisonnables pour que les données inexactes ou incomplètes au regard de l’objectif pour lequel elles ont été collectées ou traitées soient corrigées, supprimées ou détruites. La pertinence des mesures dépend notamment de la nature et de l'ampleur du traitement ainsi que du risque qu'il comporte pour les droits fondamentaux des personnes concernées.

6. Si le consentement de la personne concernée est requis, ce consentement n'est valable que s’il est donné librement, après une information adéquate, pour un ou plusieurs traitements déterminés.

7. Le consentement doit être exprès pour

a) le traitement de données personnelles particulièrement sensibles;

b) un profilage ou le traitement d’un profil de personnalité.

1. L'organisme public responsable et le sous-traitant garantissent, par des mesures techniques et organisationnelles appropriées, une sécurité des données adaptée aux risques.

2. Les mesures doivent permettre d'éviter les violations de la sécurité des données.

3. Le gouvernement adopte des dispositions sur les exigences minimales en matière de sécurité des données.

1. Les organismes publics ne peuvent traiter des données personnelles que s'il existe une base légale pour ce faire ou si le traitement est indispensable à l'accomplissement d'une tâche légale.

2. Une base légale dans une loi est requise dans les cas suivants

a) il s'agit du traitement de données personnelles particulièrement sensibles ;

b) il s'agit d'un profil de personnalité ou d'un profilage ;

c) le but du traitement ou la manière dont les données sont traitées peuvent entraîner une atteinte grave aux droits fondamentaux de la personne concernée.

3. Pour le traitement des données personnelles visé au paragraphe 2 lettre a et lettre b, une base dans un règlement est suffisante si les conditions suivantes sont remplies

a) le traitement est indispensable pour une tâche expressément définie dans une loi ;

b) le but du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée.

4. Par dérogation aux paragraphes 1 à 3, les organismes publics peuvent traiter des données personnelles si l'une des conditions suivantes est remplie

a) la personne concernée a donné son consentement dans le cas individuel ou a rendu ses données personnelles accessibles de manière générale et n'a pas expressément interdit un traitement ;

b) le traitement est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable.

1. Le gouvernement peut autoriser le traitement automatisé de données personnelles particulièrement sensibles ou de profils de personnalité ou le profilage avant l'entrée en vigueur d'une loi, si

a) les tâches pour lesquelles le traitement est nécessaire sont régies par une loi déjà en vigueur ;

b) des mesures suffisantes sont prises pour limiter l'atteinte aux droits fondamentaux des personnes concernées au minimum nécessaire ; et

c) une phase de test avant l'entrée en vigueur est indispensable pour la mise en œuvre pratique du traitement des données, notamment pour des raisons techniques.

2. Le gouvernement recueille préalablement l'avis de l'autorité de surveillance.

3. L'organisme public responsable soumet au gouvernement, au plus tard deux ans après le début du projet pilote, un rapport d'évaluation. Il y propose la poursuite ou l'interruption du traitement.

4. Le traitement automatisé des données doit dans tous les cas être interrompu si, dans les cinq ans suivant le début du projet pilote, aucune loi contenant la base juridique nécessaire n'est entrée en vigueur.

1. Le traitement des données personnelles peut être contractuellement ou par la législation confié à une sous-traitante ou à un sous-traitant, si

a) les données sont traitées de la même manière que l'organisme public responsable serait autorisé à le faire lui-même; et

b) aucune obligation légale ou contractuelle de confidentialité n'interdit le transfert.

2. L'organisme public responsable doit notamment s'assurer que la sous-traitante ou le sous-traitant est en mesure de garantir la sécurité des données.

3. La sous-traitante ou le sous-traitant ne peut confier le traitement à un tiers qu'avec l'autorisation préalable de l'organisme public responsable.

1. Les organismes publics ne peuvent divulguer des données personnelles que si une base légale existe conformément à l'article 7, alinéas 1 à 3.

2. Ils peuvent divulguer des données personnelles, en dérogation à l'alinéa 1, dans des cas individuels, si l'une des conditions suivantes est remplie

a) la divulgation des données est indispensable pour l'organisme public responsable ou pour le destinataire afin de remplir une tâche légale ;

b) la personne concernée a consenti à la divulgation ou a rendu ses données généralement accessibles et n'a pas expressément interdit la divulgation ;

c) la divulgation des données est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée ou d'un tiers, et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable ;

d) le destinataire démontre de manière crédible que la personne concernée refuse le consentement ou s'oppose à la divulgation pour l'empêcher ou l'empêcher d'exercer des droits légaux ou de faire valoir d'autres intérêts dignes de protection ; la personne concernée doit avoir la possibilité de donner son avis au préalable, sauf si cela est impossible ou implique un effort disproportionné.

3. Ils peuvent également divulguer sur demande le nom, le prénom, l'adresse et la date de naissance d'une personne, même si les conditions de l'alinéa 1 ou de l'alinéa 2 ne sont pas remplies.

4. Les organismes publics refusent la divulgation, la limitent ou l'assortissent de conditions si

a) des intérêts publics essentiels ou des intérêts évidents dignes de protection de la personne concernée l'exigent ; ou

b) des obligations légales de confidentialité ou des dispositions particulières de protection des données l'exigent.

1. Les organes publics peuvent en outre divulguer des données personnelles dans le cadre de l'information officielle du public d'office, si

a) les données sont en lien avec l'accomplissement de tâches publiques ; et

b) il existe un intérêt public prépondérant à la divulgation.

2. Ils peuvent rendre les données personnelles accessibles au public via des services automatisés d'information et de communication, si une base légale prévoit la publication de ces données ou s'ils divulguent les données conformément à l'alinéa 1. Si l’intérêt public à rendre les données accessibles ne subsiste plus, les données concernées sont supprimées du service automatisé d'information et de communication.

3. La procédure d'accès aux documents officiels est régie par la loi sur le principe de transparence.

1. Les données personnelles peuvent être communiquées à l'étranger si la législation de l'État concerné ou de l'organisme international assure une protection adéquate.

2. Dans les États dont la législation n'assure pas une protection adéquate, les données personnelles ne peuvent être communiquées que si

a) des garanties suffisantes, notamment par le biais d'un contrat, assurent une protection adéquate à l'étranger ;

b) la personne concernée a expressément consenti à la communication ;

c) la communication est étroitement liée à la conclusion ou à l'exécution d'un contrat entre l'organisme public responsable et la personne concernée ou entre l'organisme public responsable et son partenaire contractuel dans l'intérêt de la personne concernée ;

d) la communication est nécessaire pour la sauvegarde d'un intérêt public prépondérant ou pour la constatation, l'exercice ou la défense de droits en justice devant un tribunal ou une autre autorité étrangère compétente ;

e) la communication est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée ou d'un tiers, et qu'il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable ;

f) la personne concernée a rendu les données généralement accessibles et n'a pas expressément interdit leur traitement ; ou

g) les données proviennent d'un registre prévu par la loi qui est accessible au public ou aux personnes ayant un intérêt légitime, dans la mesure où les conditions légales pour la consultation sont remplies au cas par cas.

3. Avant la communication des données personnelles à l'étranger, l'organisme public informe l'autorité de surveillance des garanties mentionnées au paragraphe 2 lettre a.

1. Les organismes publics peuvent traiter des données personnelles à des fins non personnelles, notamment pour la recherche, la planification ou les statistiques, lorsque

a) les données sont anonymisées dès que le but du traitement le permet ;

b) l'organisme public ne divulgue des données personnelles particulièrement sensibles à des personnes privées que de manière à ce que les personnes concernées ne soient pas identifiables ;

c) le destinataire ne peut transmettre les données à des tiers qu'avec le consentement de l'organisme public qui a divulgué les données ; et

d) les résultats ne sont publiés que de manière à ce que les personnes concernées ne soient pas identifiables.

2. L'article 5 paragraphe 3, l'article 7 paragraphe 2 ainsi que l'article 10 paragraphe 1 ne sont pas applicables.

1. Les espaces publics et accessibles au public peuvent être surveillés par des dispositifs de transmission et d'enregistrement d'images pour l'identification des personnes, à condition que

a) la sécurité et l'ordre publics soient menacés de manière concrète ; ou

b) cela soit nécessaire pour la protection des bâtiments servant à des fins d'intérêt public ou de leurs utilisatrices et utilisateurs.

2. Lors du traitement de données personnelles, les principes généraux doivent être respectés. De plus, il est impératif de garantir que

a) les dispositifs de surveillance soient signalés de manière appropriée et visible ;

b) les zones destinées à l'exercice d'activités soumises au secret professionnel au sens de l'article 171 du Code de procédure pénale suisse soient exclues de la surveillance ; et

c) les données personnelles enregistrées soient supprimées au bout de 90 jours au maximum ou remises à l'autorité compétente pour utilisation dans une procédure pénale ou pour l'exécution de revendications civiles dues à une infraction.

1. La surveillance par caméra de l'espace public et de l'espace accessible au public peut être ordonnée par un organisme public ayant le droit d'usage ou la souveraineté sur l'espace à surveiller.

2. L'organisme public édicte une décision générale dans laquelle sont déterminés l'objectif, la nature et la durée de la surveillance, les lieux à surveiller, les emplacements des dispositifs de surveillance, les mesures d'indication de la surveillance, les droits d'accès ainsi que les mesures prises pour la sécurité des données. La décision générale est valable pour une durée maximale de cinq ans.

3. L'organisme public doit publier préalablement la décision générale qui sera prise. Il recueille les avis des personnes concernées en leur accordant un délai raisonnable pour présenter leurs observations.

4. La protection juridique préalable n'est pas accordée pour les surveillances par caméra occasionnelles d'une durée maximale de trois mois et pour les surveillances par caméra des bâtiments servant des fins publiques, qui sont mises en service en fonction des événements et ne collectent pas de données personnelles.

1. L'organisme public offre les données personnelles dont il n'a plus besoin à l'archive compétente, conformément aux réglementations qui s'appliquent à cet effet.

2. Il détruit les données personnelles jugées non dignes d'archive par l'archive compétente, sauf si

a) celles-ci sont anonymisées ;

b) celles-ci doivent être conservées à des fins de preuve, de sécurité ou pour préserver les intérêts légitimes de la personne concernée.

1. L'organe public responsable informe de manière adéquate la personne concernée sur la collecte des données personnelles; cette obligation d'information s'applique également lorsque les données ne sont pas collectées auprès de la personne concernée.

2. Lors de la collecte, il communique à la personne concernée les informations nécessaires pour lui permettre d'exercer ses droits selon cette loi et pour garantir un traitement des données transparent; il doit au moins lui communiquer

a) l'identité et les coordonnées de l'organe public responsable;

b) le fondement juridique et la finalité du traitement;

c) les droits de la personne concernée;

d) le cas échéant, les destinataires ou les catégories de destinataires auxquels les données personnelles sont divulguées;

e) les catégories de données personnelles traitées, si les données ne sont pas collectées auprès de la personne concernée;

f) si les données sont divulguées à l'étranger, l'État ou l'organisation internationale, et le cas échéant, les garanties ou l'application d'une exception selon l'article 12, paragraphe 2.

3. Si les données ne sont pas collectées auprès de la personne concernée, l'organe public responsable informe la personne concernée des informations selon le paragraphe 2 au plus tard un mois après avoir reçu les données. Si les données personnelles sont divulguées avant l'expiration de ce délai, il informe la personne concernée au plus tard au moment de la divulgation.

1. L'obligation d'informer lors de la collecte de données personnelles est supprimée si l'une des conditions suivantes est remplie

a) la personne concernée dispose déjà des informations correspondantes ;

b) le traitement est prévu par la loi ;

c) les données personnelles ne sont pas collectées auprès de la personne concernée et l'information est impossible ou nécessite un effort disproportionné.

2. L'organisme public responsable peut restreindre, différer ou renoncer à la communication des informations dans les mêmes conditions que pour le droit à l'information tel que prévu à l'article 25.

1. L'organisme public responsable établit préalablement une analyse d'impact relative à la protection des données lorsqu'un traitement peut comporter un risque élevé pour les droits fondamentaux de la personne concernée. Si plusieurs traitements similaires sont envisagés, une analyse commune peut être réalisée.

2. Le risque élevé résulte notamment de l'utilisation de nouvelles technologies, de la nature, de l'étendue, des circonstances et de la finalité du traitement. Il est notamment présent

a) lors du traitement à grande échelle de données personnelles particulièrement sensibles ;

b) lorsqu'une surveillance systématique et étendue de zones publiques est effectuée.

3. L'analyse d'impact relative à la protection des données contient une description du traitement prévu, une évaluation des risques pour les droits fondamentaux de la personne concernée ainsi que les mesures de protection des droits fondamentaux.

1. Si l'évaluation d'impact relative à la protection des données révèle que le traitement prévu, malgré les mesures envisagées par l'organisme public responsable, présente encore un risque élevé pour les droits fondamentaux de la personne concernée, l'organisme doit préalablement consulter l'avis de l'autorité de contrôle.

2. L'autorité de contrôle communique à l'organisme public responsable, dans un délai raisonnable, ses objections concernant le traitement prévu et propose des mesures appropriées.

1. L'organisme public responsable signale à l'autorité de contrôle, dès que possible, une violation de la sécurité des données susceptible d'entraîner un risque élevé pour les droits fondamentaux de la personne concernée.

2. Dans la notification, il mentionne au moins la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées.

3. Le sous-traitant informe l'organisme public responsable, dès que possible, d'une violation de la sécurité des données.

4. L'organisme public responsable informe la personne concernée lorsqu'il est nécessaire pour sa protection ou lorsque l'autorité de contrôle l'exige.

5. Il peut restreindre, différer ou renoncer à l'information de la personne concernée si

a) cela est nécessaire en raison d'intérêts prépondérants de tiers ;

b) cela est nécessaire en raison d'intérêts publics prépondérants, notamment pour préserver la sécurité intérieure ou extérieure ;

c) la divulgation de l'information peut compromettre une enquête, une investigation ou une procédure administrative ou judiciaire ;

d) une obligation légale de confidentialité l'interdit ;

e) l'information est impossible ou nécessite un effort disproportionné ;

f) l'information est assurée de manière comparable par une annonce publique.

1. Les organes publics désignés par le gouvernement et les juridictions pénales tiennent un registre de leurs activités de traitement pour démontrer le respect des règles relatives à la protection des données.

2. Le registre contient au moins

a) l'identité et les coordonnées de l'organe public responsable ;

b) le fondement juridique et l'objectif du traitement ;

c) une description des catégories de personnes concernées et des catégories de données personnelles traitées ;

d) le cas échéant, les destinataires ou les catégories de destinataires auxquels les données personnelles sont divulguées ;

e) la durée de conservation des données personnelles ou les critères pour déterminer cette durée ;

f) une description générale des mesures visant à assurer la sécurité des données ;

g) l'indication si les données sont divulguées à l'étranger et, le cas échéant, les garanties ou l'application d'une exception conformément à l'article 12, paragraphe 2.

3. L'organe public responsable communique ses registres à l'autorité de surveillance et peut les publier.

1. Les organes publics désignés par le gouvernement et les tribunaux pénaux désignent une personne responsable du conseil en matière de protection des données. Celle-ci a notamment les tâches suivantes

a) elle conseille et soutient les employés dans le traitement des données personnelles en ce qui concerne le respect des réglementations sur la protection des données;

b) elle veille à la réalisation des évaluations d'impact sur la protection des données;

c) elle est la personne de contact pour l'organisme de surveillance et collabore avec celui-ci.

1. Toute personne concernée peut demander à l'organisme public responsable de lui fournir des informations sur le traitement de ses données personnelles.

2. La personne concernée reçoit les informations nécessaires pour faire valoir ses droits conformément à la présente loi et pour garantir un traitement transparent des données. Dans tous les cas, les informations suivantes lui sont communiquées

a) les indications mentionnées à l'article 17, paragraphe 2;

b) la durée de conservation des données personnelles ou les critères pour déterminer cette durée;

c) les informations disponibles sur l'origine des données personnelles, dans la mesure où elles n'ont pas été obtenues auprès de la personne concernée.

3. Les données personnelles relatives à la santé peuvent être communiquées à la personne concernée, avec son consentement, par un professionnel de santé désigné par elle.

4. Si l'organisme public responsable fait traiter les données personnelles par un sous-traitant, il reste tenu de fournir des informations.

5. Nul ne peut renoncer à son droit d'accès de manière anticipée.

6. Les informations sont généralement fournies dans un délai de 30 jours.

1. L'organisme public responsable peut refuser, limiter ou différer la communication si

a) une obligation de confidentialité légale spécifique le prescrit ;

b) cela est nécessaire en raison d'intérêts prépondérants de tiers ;

c) la mesure est nécessaire en raison d'intérêts publics prépondérants, notamment pour la sécurité intérieure ou extérieure ; ou

d) la divulgation de l'information peut compromettre une enquête, une instruction ou une procédure administrative ou judiciaire.

1. La personne concernée, qui rend vraisemblable un intérêt digne de protection, peut s'opposer à la divulgation de certaines données personnelles par l'organisme public responsable.

2. L'organisme public rejette la demande si l'une des conditions suivantes est remplie

a) il existe une obligation légale de divulgation ;

b) l'accomplissement de ses tâches serait autrement compromis.

3. L'article 11 alinéa 1 reste réservé.

1. Toute personne ayant un intérêt digne de protection peut demander à l'organisme public responsable qu'il

a) s'abstienne de traiter illicitement les données personnelles en question;

b) élimine les conséquences d'un traitement illicite;

c) établisse l'illicéité du traitement.

2. Le requérant peut notamment demander à l'organisme public responsable

a) de rectifier, effacer ou détruire les données personnelles en question;

b) de communiquer ou publier sa décision, en particulier sur la rectification, l'effacement ou la destruction, l'opposition à la divulgation ou la mention de contestation, à des tiers.

3. Si ni l'exactitude ni l'inexactitude des données personnelles en question ne peuvent être établies, l'organisme public responsable appose une mention de contestation dans les données.

1. Si un organisme public ne répond pas à une demande fondée sur cette loi, il rend une décision motivée.

2. L'exercice du droit d'accès et du droit de rectification des données personnelles, ainsi que la demande d'opposition à la divulgation de données personnelles, est en règle générale gratuit.

3. Une taxe appropriée peut être exigée lorsque

a) l'exercice des droits entraîne un effort disproportionné ; ou

b) la demande est manifestement infondée, notamment si elle poursuit un objectif contraire à la protection des données, ou est manifestement abusive.

4. En l’absence de réglementation propre à l'organisme public pour la perception d'une taxe, l'ordonnance sur les frais dans les procédures administratives s'applique par analogie.

5. Par ailleurs, la procédure est régie par la loi sur la procédure administrative.

1. Lorsqu'une procédure relative à l'accès à des documents officiels contenant des données personnelles est en cours, au sens de la loi sur le principe de transparence, la personne concernée peut faire valoir dans cette procédure les droits qui lui sont conférés par l'article 27 à l'égard des documents faisant l'objet de la procédure d'accès.

1. L'Autorité de surveillance de la protection des données supervise l'application des dispositions relatives à la protection des données.

2. Ne relèvent pas de la surveillance de l'Autorité de surveillance

a) les traitements de données dans les procédures civiles et pénales en cours;

b) les traitements de données dans les procédures constitutionnelles et administratives en cours;

c) le Grand Conseil et ses organes parlementaires.

1. L'autorité de surveillance comprend au minimum le délégué à la protection des données et un suppléant.

2. L'autorité de surveillance exerce ses fonctions de manière autonome et indépendante. Elle n'est pas soumise à des instructions dans l'accomplissement de ses tâches.

3. Sur le plan administratif, elle est rattachée à la chancellerie d'État.

4. Le gouvernement exerce la surveillance sur l'autorité de surveillance.

5. Les relations de travail et la prévoyance professionnelle de tous les employés de l'autorité de surveillance sont régies par le droit cantonal du personnel ou des caisses de pensions, dans la mesure où la présente loi n'en dispose pas autrement.

6. Le gouvernement classe les postes de délégué à la protection des données et de son suppléant dans les classes fonctionnelles conformément au droit cantonal du personnel.

1. Le gouvernement désigne une personne experte en matière de protection des données en tant que déléguée ou délégué à la protection des données, ainsi qu'un ou une suppléant(e), pour un mandat de quatre ans. La réélection est autorisée.

2. Le gouvernement peut révoquer la déléguée ou le délégué à la protection des données et son ou sa suppléant(e) avant l'expiration de la durée du mandat si elle ou il

a) a gravement manqué à ses obligations officielles de manière intentionnelle ou par négligence grave; ou

b) a définitivement perdu la capacité d'exercer ses fonctions.

1. Le ou la délégué(e) à la protection des données et son suppléant ne doivent exercer aucune autre fonction publique, aucun poste de direction dans un parti politique, ni aucune autre activité rémunérée. Le gouvernement peut accorder des exceptions, à condition que l'exercice de la fonction ainsi que l'indépendance et la réputation ne soient pas compromis.

2. Si le ou la délégué(e) à la protection des données et son suppléant exercent leur activité à temps partiel, une autre activité rémunérée doit être autorisée par le gouvernement. L'autorisation ne peut être refusée que si cette activité rémunérée compromet l'exercice de la fonction ainsi que l'indépendance et la réputation.

1. La ou le délégué à la protection des données établit son propre budget.

2. Le gouvernement annonce dans le message budgétaire si la proposition a été adoptée telle quelle. Les écarts doivent être justifiés.

3. Dans le cadre du budget, la ou le délégué à la protection des données est responsable de l'embauche, de la cessation et de la réorganisation des relations de travail des employés.

1. L'Autorité de surveillance

a) surveille l'application des dispositions relatives à la protection des données ;

b) conseille les personnes concernées sur leurs droits ;

c) agit en tant qu’intermédiaire entre les personnes concernées et les organismes publics ;

d) conseille les organismes publics sur les questions de protection des données et surveille la sécurité des données ;

e) prend position sur les ordonnances et les projets informatiques dans la mesure où ils sont significatifs pour la protection des données ;

f) traite les signalements des personnes concernées sur le non-respect des dispositions de cette loi et les informe sous trois mois au plus tard du résultat ou de l’état d’avancement des vérifications ;

g) sensibilise les organismes publics à leurs obligations en matière de protection des données et le public aux questions liées à la protection des données ;

h) suit les développements pertinents pour la protection des données personnelles ;

i) coopère avec les organes des autres cantons, de la Confédération et de l’étranger, qui remplissent les mêmes tâches, pour accomplir ses missions.

1. L'autorité de surveillance agit d'office ou sur signalement des personnes concernées. L'organisme public responsable doit être informé d'un signalement et avoir la possibilité de donner son avis.

2. L'autorité de surveillance peut, nonobstant d'éventuelles dispositions de confidentialité, recueillir toutes les informations nécessaires à l'accomplissement de sa mission de contrôle concernant le traitement des données, consulter tous les documents, procéder à des inspections et se faire présenter les traitements.

3. L'autorité de surveillance peut émettre des recommandations concernant le traitement des données personnelles. L'organisme public auquel la recommandation s'adresse doit déclarer à l'autorité de surveillance s'il entend suivre la recommandation.

4. Les organismes publics et le sous-traitant ou la sous-traitante ont l'obligation d'assister l'autorité de surveillance dans l'accomplissement de ses fonctions. Ils contribuent notamment à l'établissement des faits.

1. Si un organisme public déclare ne pas vouloir suivre la recommandation de l'autorité de surveillance, ou ne suit effectivement pas la recommandation, l'autorité de surveillance peut émettre la recommandation ou des parties de celle-ci sous forme de décision.

2. L'autorité de surveillance peut émettre directement une décision s'il est prévisible que l'organisme public rejette une recommandation ou ne s'y conformera pas.

3. Contre les décisions selon l'article 37, alinéa 1 et alinéa 2, l'organisme public concerné peut former un recours auprès du tribunal supérieur. La loi sur la juridiction administrative s'applique.

4. Contre les décisions concernant le tribunal supérieur, ce dernier peut former un recours auprès de la cour de justice.

1. L'organe de surveillance fait rapport annuellement au gouvernement sur l'étendue et les axes principaux de ses activités, ainsi que sur les constatations et appréciations importantes.

2. L'organe de surveillance donne à l'entité publique concernée par les recommandations et décisions l'opportunité de fournir une réponse écrite. Les réponses sont annexées au rapport.

3. Le rapport est publié.

1. L'autorité de surveillance est tenue à la même obligation de confidentialité en ce qui concerne les données personnelles que l'organisme public qui traite ces données. L'obligation de confidentialité s'applique au-delà de la cessation de la fonction.

2. Sous réserve de dispositions spécifiques relatives au secret, l'autorité de surveillance ne peut divulguer les informations qu'elle obtient dans le cadre de son activité que dans la mesure où cela est nécessaire à l'accomplissement de ses tâches.

1. Quiconque, en tant que responsable du traitement, utilise intentionnellement ou par négligence des données personnelles pour son propre compte ou pour le compte d'autres, ou les divulgue à d'autres, sans autorisation expresse de l'organisme public mandant, sera puni d'une amende.

2. Quiconque traite intentionnellement ou par négligence, à des fins autres que celles pour lesquelles les données ont été reçues d'un organisme public aux fins non personnelles, contrairement à l'obligation prévue à l'article 13, ou les transmet à des tiers, sera puni d'une amende.

1. Les traitements de données qui reposent sur une base légale suffisante selon le droit en vigueur peuvent être poursuivis pendant deux ans sur la base des fondements juridiques existants.

2. La preuve du respect des dispositions relatives à la protection des données doit pouvoir être fournie au plus tard deux ans après l'entrée en vigueur de cette loi.

3. Les articles 19 et 20 ne s'appliquent pas aux traitements de données commencés avant l'entrée en vigueur de cette loi, à condition qu'aucun changement substantiel du but du traitement ou de l'activité de traitement ne soit effectué.