Loi sur la protection des données (Loi cantonale sur la protection des données, kDSG) - Objet (LPCD)

1. Cette loi a pour objet la protection de la personnalité et des droits fondamentaux des personnes dont les données sont traitées.

1. Cette loi s'applique au traitement des données des personnes physiques et morales par les organes cantonaux et communaux.

2. Elle n'est pas applicable à

1. les actions non souveraines des organes lors de la participation à la concurrence économique ;

2. les affaires sur lesquelles les électeurs ou le Grand Conseil prennent des décisions ;

3. les procédures civiles pendantes, les procédures pénales ainsi que les procédures de droit public et administratif, à l'exception des procédures administratives en première instance ;

4. les registres publics des transactions de droit privé ;

5. les documents internes à l'administration tels que les carnets de notes et les agendas, servant de moyens de travail personnels.

3. Pour les personnes privées et les organes fédéraux, les dispositions de la LPD s'appliquent.

1. Les termes suivants signifient

1. Données personnelles (Données) : toutes les informations se rapportant à une personne identifiée ou identifiable ;

2. Personnes concernées : personnes physiques ou morales sur lesquelles des données sont traitées ;

3. Données particulièrement sensibles : données concernant

a) les opinions ou activités religieuses, philosophiques, politiques ou syndicales ;

b) la santé, la sphère intime ou l'appartenance raciale ;

c) les mesures d'aide sociale ;

d) les poursuites et sanctions administratives ou pénales ;

4. Profil de la personnalité : un ensemble de données permettant d'évaluer les aspects essentiels de la personnalité d'une personne physique ;

5. Traiter : toute manipulation de données, indépendamment des moyens et procédures utilisés, notamment la collecte, le stockage, l'utilisation, la modification, la communication, l'archivage ou la destruction de données ;

6. Communiquer : rendre les données accessibles, comme le fait de permettre l'accès, la transmission ou la publication ;

7. Collection de données : tout ensemble de données structuré de manière à ce que les données soient accessibles par personnes concernées ;

8. Organes

a) les autorités ou services administratifs du canton, des communes et associations de communes ainsi que les organismes et établissements autonomes de droit public cantonaux et communaux ;

b) les personnes, dans la mesure où elles sont chargées de tâches publiques par les autorités ou services administratifs au sens de la let. a ;

9. Détenteur de la collection de données : organes qui décident de l'objectif et du contenu de la collection de données ;

10. Loi au sens formel

a) les actes et décisions au sens de l'art. 3 let. j DSG ;

b) les lois cantonales, les règlements communaux ainsi que tous les autres actes cantonaux et communaux soumis à référendum.

1. Les données ne peuvent être traitées que de manière légale.

2. Leur traitement doit se faire selon les règles de la bonne foi et doit être proportionnel.

3. Les données ne peuvent être traitées qu'à des fins qui

1. ont été indiquées au moment de leur collecte;

2. sont évidentes compte tenu des circonstances; ou

3. sont prévues par la loi.

4. La collecte des données et, en particulier, le but de leur traitement doivent être reconnaissables pour la personne concernée.

5. Si le traitement des données nécessite le consentement de la personne concernée, ce consentement n'est valide que s'il est donné volontairement après une information adéquate. Pour le traitement de données particulièrement sensibles ou de profils de personnalité, le consentement doit en outre être donné expressément.

1. Toute personne qui traite des données doit s'assurer de leur exactitude.

2. Toute personne concernée peut exiger la rectification des données inexactes.

1. Les données ne peuvent pas être divulguées à l'étranger si cela met gravement en danger la personnalité des personnes concernées, notamment en raison de l'absence d'une législation garantissant une protection adéquate.

2. En l'absence d'une législation garantissant une protection adéquate, les données ne peuvent être divulguées à l'étranger que si

1. des garanties suffisantes, en particulier par contrat, garantissent une protection adéquate à l'étranger ;

2. la personne concernée a donné son consentement dans un cas particulier ;

3. la divulgation dans un cas particulier est indispensable soit pour sauvegarder un intérêt public prépondérant, soit pour la constatation, l'exercice ou la défense de droits en justice ;

4. la divulgation dans un cas particulier est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée ;

5. la personne concernée a rendu les données généralement accessibles et n'a pas expressément interdit leur traitement.

3. L'autorité de surveillance doit être informée des garanties mentionnées au paragraphe 2 chiffre 1.

1. Les données doivent être protégées contre tout traitement non autorisé par des mesures techniques et organisationnelles appropriées.

2. Le Conseil exécutif émet des règlements concernant les exigences minimales en matière de sécurité des données.

1. Le titulaire d'une collection de données est tenu d'informer la personne concernée de l'acquisition de données particulièrement sensibles ou de profils de personnalité. Cette obligation d'information s'applique également lorsque les données sont obtenues auprès de tiers.

2. À la personne concernée, il doit être communiqué au minimum

1. le titulaire de la collection de données ;

2. la finalité du traitement des données ;

3. les catégories de destinataires des données, si une communication des données est prévue.

3. Lorsque les données ne sont pas recueillies auprès de la personne concernée, l'information doit être fournie au plus tard au début de la conservation des données ou, si la conservation est omise, lors de la première communication à des tiers.

4. L'obligation d'information du titulaire de la collection de données ne s'applique pas si la personne concernée a déjà été informée ou, dans les cas visés au par. 3, si

1. la conservation ou la communication des données est expressément prévue par une loi au sens formel ;

2. l'information n'est pas possible ou seulement avec un effort disproportionné.

1. La traitement des données peut être confié à des tiers par accord ou par la loi, si

1. les données ne sont traitées que de la manière dont le mandant ou la mandante serait autorisé(e) à le faire lui-même/elle-même ;

2. aucune obligation légale ou contractuelle de confidentialité ne l'interdit.

2. Le mandant ou la mandante doit en particulier s'assurer que le tiers garantit la sécurité des données.

1. L’organe responsable de la protection des données est celui qui traite ou fait traiter les données dans l'accomplissement de ses tâches légales.

2. Lorsque plusieurs organes traitent des données provenant d'une collection de données commune, la responsabilité incombe principalement au titulaire de la collection de données ; chaque organe reste responsable de son propre domaine.

3. Le titulaire de la collection de données doit être autorisé à effectuer des contrôles sur le respect des dispositions relatives à la protection des données auprès des autres organes.

1. Les organes peuvent traiter des données s'il existe une base légale pour ce faire.

2. Les données nécessitant une protection particulière et les profils de personnalité ne peuvent être traités que si une loi au sens formel le prévoit expressément ou, exceptionnellement

1. cela est indispensable pour une tâche clairement définie dans une loi au sens formel;

2. le Conseil d'État l'autorise au cas par cas, parce que les droits de la personne concernée ne sont pas menacés;

3. la personne concernée a consenti au cas par cas ou a rendu ses données généralement accessibles et n'a pas expressément interdit un traitement.

1. Lors de collectes de données systématiques, notamment par le biais de questionnaires, les organes doivent indiquer l'objectif et le fondement juridique du traitement, les catégories de personnes impliquées dans la collecte de données ainsi que les destinataires des données.

1. Les organismes peuvent divulguer des données si des bases légales au sens de l'art. 11 existent ou si

1. les données sont indispensables pour le destinataire ou la destinataire à l'accomplissement de sa mission légale dans un cas particulier ;

2. la personne concernée a consenti dans un cas particulier ;

3. la personne concernée a rendu ses données accessibles au public et n'a pas expressément interdit leur divulgation ; ou

4. le destinataire ou la destinataire rend crédible que la personne concernée refuse le consentement ou bloque la divulgation afin d'empêcher la défense de droits légaux ou la défense d'autres intérêts dignes de protection ; la personne concernée doit, si possible, avoir l'opportunité de prendre position préalablement.

2. Si une autorisation ou une obligation légale existe à cet effet ou si l'organisme récepteur des données prouve qu'il est autorisé, sous réserve des règles de confidentialité, à traiter les données demandées, les données peuvent également être mises à disposition des organismes publics par une procédure de consultation. Des données particulièrement sensibles et des profils de personnalité ne peuvent être accessibles par une procédure de consultation que si une loi formelle le prévoit expressément.

3. Les organismes rejettent la divulgation, la restreignent ou l'assortissent de conditions si cela est requis par

1. des intérêts publics majeurs ou des intérêts dignes de protection évidents de la personne concernée ; ou

2. des obligations légales de confidentialité ou des dispositions particulières sur la protection des données.

1. Le contrôle des habitants peut, sur demande, communiquer aux tiers

1. Des informations individuelles sur le nom, le prénom, le sexe et l'adresse actuelle (en cas de déménagement, la date et le lieu de déménagement) sans condition préalable; la demande et l'information peuvent être fournies par écrit ou oralement;

2. Des informations individuelles sur la date de naissance, l'état civil, le lieu d'origine, la nationalité et le lieu de provenance, dans la mesure où un intérêt digne de protection est rendu crédible; la demande et l'information sont fournies par écrit;

3. Des informations groupées sur le nom, le prénom, le sexe, la date de naissance, l'adresse actuelle et les personnes ayant emménagé pendant une période déterminée, dans la mesure où

a) un intérêt est rendu crédible;

b) les données sont utilisées à des fins non lucratives;

c) la personne physique ou morale demandant l'information a son domicile ou son siège dans le canton.

2. Les informations groupées peuvent être communiquées triées selon un ou plusieurs des critères susmentionnés. La demande et l'information sont fournies par écrit. Les demandeurs et demandeuses doivent s'engager par leur signature à utiliser les données exclusivement aux fins indiquées et à ne pas les transmettre.

3. ...

1. Une personne concernée, qui démontre un intérêt digne de protection, peut exiger du détenteur ou de la détentrice du fichier de données de bloquer la divulgation de certaines données.

2. L'organisme refuse le blocage ou le lève si

1. une obligation légale de divulgation existe ;

2. l'accomplissement de sa mission serait autrement compromis.

1. Les organismes peuvent traiter des données à des fins non personnelles, notamment pour la recherche, la planification et les statistiques, si

1. les données sont anonymisées dès que le but du traitement le permet ;

2. le destinataire ne communique les données qu'avec l'accord de l'organisme ;

3. les résultats sont publiés de manière à ce que les personnes concernées ne puissent pas être identifiées.

2. Les exigences des dispositions suivantes ne doivent pas être remplies

1. Art. 4 al. 3 sur le but du traitement ;

2. Art. 11 al. 2 sur les bases légales pour le traitement de données nécessitant une protection particulière et des profils de personnalité ;

3. Art. 13 al. 1 sur la communication des données.

1. Les lieux accessibles au public peuvent être surveillés à l'aide de dispositifs techniques, notamment des appareils d'enregistrement d'images, pour la protection des personnes et des biens, si

1. la surveillance est rendue visible de manière appropriée ;

2. les données enregistrées sont supprimées au plus tard dans un délai de 30 jours ou pendant cette période transmises à la police avec une plainte pénale ou un rapport d'infraction ;

3. l'autorité de surveillance a été informée à l'avance de l'installation de la surveillance.

2. L'utilisation de dispositifs techniques peut être ordonnée par l'instance qui détient le droit d'utilisation ou la souveraineté sur le lieu à surveiller.

1. Si des données ne sont plus nécessaires pour remplir des obligations légales ou à des fins de preuve ou de sécurité, elles doivent être détruites, à moins qu'elles ne soient archivées conformément aux dispositions de la législation sur les archives.

1. Le canton, les communes, les associations de communes ainsi que les organismes et établissements autonomes de droit public cantonaux et communaux tiennent chacun un registre public des collectes de données de leurs organes.

2. L'autorité de surveillance tient

1. le registre du canton ;

2. un registre central des autres collectes de données enregistrées.

3. Elle peut donner des instructions aux autres entités responsables de la tenue du registre. Les modifications dans le registre doivent être signalées à l'autorité de surveillance.

1. Le registre contient pour chaque collecte de données des informations sur

1. le titulaire de la collecte de données ;

2. la base légale ;

3. l'objectif, les moyens et la procédure de traitement des données ;

4. le type et l'origine des données ;

5. les destinataires réguliers des données ;

6. les autres organes impliqués dans la collecte de données ;

7. le lieu de conservation des copies.

2. Ne doivent pas être inscrites au registre les collectes de données qui

1. ne sont conservées que pour une courte durée ;

2. sont légalement publiées ;

3. représentent des collectes de données auxiliaires.

1. Toute personne peut consulter les registres.

1. Toute personne peut demander à la propriétaire ou au propriétaire d'une base de données si des données la concernant existent ou sont traitées.

2. La propriétaire ou le propriétaire de la base de données doit informer la personne concernée

1. de toutes les données la concernant présentes dans la base de données, y compris les informations disponibles sur l'origine des données ;

2. de l'objectif et, le cas échéant, des bases juridiques du traitement ainsi que des catégories de données traitées, des parties impliquées dans la collecte et des destinataires des données.

3. Les données concernant la santé peuvent être communiquées à la personne concernée par une médecin désignée par elle ou un médecin désigné par elle.

4. Si la propriétaire ou le propriétaire de la base de données fait traiter des données par un tiers, elle ou il reste tenue ou tenu de fournir des informations. Le tiers est tenu de fournir des informations s'il ne divulgue pas la propriétaire ou le propriétaire ou si ces derniers n'ont pas de domicile dans le canton.

5. Les informations doivent généralement être fournies par écrit, sous forme d'une impression ou d'une photocopie.

6. Nul ne peut renoncer à l'avance à son droit à l'information.

1. La titulaire ou le titulaire de la collection de données peut refuser, restreindre ou différer l'information selon l'art. 8 ou la communication selon l'art. 22 dans la mesure où

1. une loi au sens formel le prévoit;

2. cela est nécessaire en raison d'intérêts publics ou privés prépondérants;

3. l'information ou la communication remet en cause le but d'une enquête pénale ou d'une autre procédure d'enquête.

1. Quiconque a un intérêt digne de protection peut exiger du titulaire ou de la titulaire du fichier de données qu'il ou elle

1. cesse le traitement illicite des données ;

2. élimine les conséquences d'un traitement illicite ;

3. établisse l’illicéité du traitement.

2. Si ni l’exactitude ni l’inexactitude des données ne peuvent être prouvées, l’organisme doit apposer une mention correspondante.

3. La personne concernée peut notamment exiger que l’organisme

1. corrige, détruise ou bloque la communication de données à des tiers ;

2. communique sa décision, notamment la correction, la destruction, le blocage ou la mention de la contestation, à des tiers.

1. Si la demande d'information ou de satisfaction d'une revendication au sens de l'art. 24 n'est pas satisfaite dans sa totalité et si la personne concernée le demande, l'organisme émet une décision susceptible de recours.

2. Celle-ci doit en outre être communiquée à l'autorité de surveillance.

1. Le Conseil d'État élit pour la durée constitutionnelle du mandat un délégué ou une déléguée à la protection des données en tant qu'autorité de surveillance.

2. L'autorité de surveillance remplit ses fonctions de manière indépendante et est administrativement rattachée à la Chancellerie d'État.

3. Le Conseil d'État peut confier les tâches de l'autorité de surveillance à une entité d'un autre canton ou établir une autorité de surveillance commune avec d'autres cantons.

1. L'organe de surveillance est l'entité de contrôle au sens de l'art. 37 al. 2 DSG et

1. surveille le respect des dispositions relatives à la protection des données par les organes, en procédant à des contrôles d'office ou sur dénonciation;

2. conseille les organes sur les questions de protection des données;

3. informe les personnes concernées sur leurs droits;

4. assure la médiation entre les organes et les personnes concernées dans tous les différends concernant la protection des données;

5. prend position à un stade précoce sur les règlements et projets pouvant concerner des aspects de la protection des données, notamment dans le sens d'un contrôle préalable en cas de traitement de données prévu avec des risques particuliers pour les droits et libertés des personnes;

6. informe les organes des points essentiels de protection des données;

7. publie des avis;

8. coopère avec les organes de contrôle d'autres cantons, de la Confédération et de l'étranger;

9. fait rapport annuellement au Conseil d'État, lequel est rendu public.

1. L'autorité de surveillance peut, indépendamment de toute disposition de confidentialité éventuelle, obtenir des informations sur le traitement des données auprès des organes, consulter des collections de données, des documents et des dossiers, et se faire démontrer le traitement des données. Elle peut faire appel à des experts externes pour des tâches spécifiques.

2. Elle est soumise aux mêmes dispositions de confidentialité que l'organe traitant les données, ceci même après la cessation de son activité professionnelle.

3. Les organes sont tenus de soutenir l'autorité de surveillance dans l'accomplissement de ses tâches.

1. Si les investigations de l'autorité de surveillance révèlent des violations des dispositions en matière de protection des données, elle recommande à la propriétaire ou au propriétaire de la collecte de données de modifier ou cesser le traitement.

2. Elle informe de ses recommandations

1. pour les autorités ou les services administratifs

a) du canton, la direction compétente ou la chancellerie d'État ;

b) des communes, le conseil administratif ;

c) des associations de communes, le conseil d'administration ;

d) des entités et établissements de droit public cantonaux et communaux autonomes, la direction générale ;

2. pour les personnes, dans la mesure où elles sont chargées de tâches publiques, l'instance à informer selon le chiffre 1.

1. Si une recommandation n'est pas suivie ou est rejetée, l'organe de surveillance peut soumettre l'affaire à l'instance compétente pour décision.

2. La décision est communiquée à la personne concernée et à l'organe de surveillance sous forme d'arrêté.

1. Les décisions fondées sur l'art. 25 et l'art. 30 en liaison avec l'art. 29 al. 2 ch. 1 let. a-c peuvent être contestées par recours devant le Conseil d'État dans un délai de 20 jours à compter de leur notification.

2. Les autres décisions ainsi que les décisions sur recours du Conseil d'État peuvent être contestées par recours devant le Tribunal administratif dans un délai de 20 jours à compter de leur notification.

1. L'autorité de surveillance peut exercer les recours du droit cantonal.

1. Les organes et l'autorité de surveillance ne perçoivent aucune redevance pour les demandes des personnes qui exercent les droits de contrôle qui leur sont conférés par la présente loi.

2. Une redevance d'au maximum CHF 1'000.- peut être exigée des demandeurs dans les cas suivants

1. Demandes nécessitant un effort considérable ;

2. Demandes répétées ou abusivement introduites.

3. L'obligation de payer des redevances selon la législation sur les redevances pour la divulgation de données à des tiers reste réservée, à moins que cette divulgation ne serve exclusivement des objectifs idéalistes.

1. D'une amende pouvant s'élever jusqu'à CHF 100'000.- sera punie

1. quiconque n'utilise pas à des fins idéelles les renseignements collectifs au sens de l'art. 14, al. 1, ch. 3, ou les transmet à des tiers;

2. quiconque utilise de manière inappropriée, à des fins non personnelles, les données fournies selon l'art. 16 ou les transmet à des tiers.

1. Les registres des recueils de données doivent être établis dans un délai d'un an après l'entrée en vigueur de cette loi.

2. Les recueils de données doivent être adaptés au nouveau droit dans un délai de deux ans après l'entrée en vigueur de cette loi. Le Conseil d'État peut prolonger ce délai pour certains recueils de données pour des raisons importantes.

1. La loi du 27 avril 1980 sur l'établissement des Suisses est modifiée comme suit : ...

1. La loi du 3 juin 1998 relative à la relation de travail de droit public (loi sur le personnel) est modifiée comme suit : ...

1. Le règlement du 12 juin 1975 relatif aux archives de l'État est modifié comme suit : ...

1. La loi du 26 avril 1987 relative à la police (Loi sur la police) est modifiée comme suit : ...

1. Le Conseil exécutif adopte les dispositions nécessaires à l'exécution de cette loi.

1. Cette loi est soumise au référendum facultatif.

2. Le Conseil d'État fixe la date de l'entrée en vigueur.