Loi sur la protection des données (loi sur la protection des données, kDSG) (Datenschutzgesetz, kDSG) - Champ d'application

1. Cette loi régit le traitement des données des personnes physiques par les organismes publics.

2. Elle s’applique aux autorités cantonales et communales, ainsi qu’à d’autres personnes morales et institutions de droit public, dans la mesure où elles accomplissent des tâches publiques.

3. La loi ne s'applique pas à

a. des organismes publics agissant selon le droit privé ;

b.-d. * ...

e. des outils de travail internes à l’administration destinés à l’usage personnel.

4. Sont réservées les dispositions relatives à la protection des données dans la législation spécifique, notamment en ce qui concerne le traitement des dossiers judiciaires, des données des patients et des données du contrôle des habitants.

5. Dans les procédures de juridiction civile, pénale et administrative, les droits et prétentions des personnes concernées sont régis par le droit procédural applicable. Les dispositions de cette loi s'appliquent à la procédure administrative de première instance.

1. Dans la mesure où la présente loi ne contient pas de dispositions dérogatoires, les dispositions de la loi fédérale sur la protection des données (LPD) s'appliquent mutatis mutandis.

2. Si des organismes publics traitent conjointement ou avec des tiers des données personnelles issues d'un ensemble de données, le titulaire de cet ensemble de données est responsable; chaque organisme public reste responsable pour son propre domaine.

3. L'organisme public doit être en mesure de prouver qu'il respecte les dispositions de la protection des données.

4. Les organes responsables des peines et de l’exécution des peines, conformément à l'art. 3 chiffre 7 de la directive (UE) 2016/680, informent l'autorité, de laquelle proviennent les données personnelles, ainsi que les destinataires à qui les données ont été divulguées, des mesures de rectification prises, autant que cela est possible avec des efforts raisonnables.

1. Les données personnelles doivent généralement être collectées auprès de la personne concernée ou à partir de la base de données d'un organisme public.

2. Une autre collecte de données personnelles est exceptionnellement permise, dans la mesure où la présente loi ne s'y oppose pas.

3. ...

1. Si une évaluation d'impact relative à la protection des données menée par les autorités pénales et d'exécution des peines conformément à l'article 3, point 7, de la directive (UE) 2016/680 révèle que le traitement prévu des données à caractère personnel comporte des risques élevés pour les droits et libertés de la personne concernée, malgré les mesures prévues, l'organe planificateur recueille au préalable l'avis de la personne chargée de la protection des données.

2. La personne chargée de la protection des données communique à l'organe planificateur ses objections au traitement prévu dans un délai de deux mois. Ce délai peut être prolongé d'un mois si le traitement des données est complexe.

3. La personne chargée de la protection des données peut désigner les opérations de traitement des données qui doivent lui être soumises.

1. Les autorités pénales et pénitentiaires, conformément à l'art. 3 point 7 de la directive (UE) 2016/680, tiennent les registres nécessaires de leurs activités de traitement des données et mettent ces registres à la disposition de la personne chargée de la protection des données sur demande.

2-3

...

1. Les organes de poursuite et d'exécution des peines conformément à l'art. 3 chiffre 7 de la directive (UE) 2016/680 désignent au sein de leur unité organisationnelle une personne responsable de la protection des données (personne consultative pour la protection des données). Cette responsabilité ne couvre pas l'activité judiciaire des tribunaux et des autres organes répressifs indépendants.

2. Le conseil exécutif et le tribunal supérieur peuvent désigner une personne commune pour plusieurs unités organisationnelles.

3. La personne consultative pour la protection des données procède également à l'évaluation des conséquences sur la protection des données.

1. Les organes publics selon l'art. 5 du règlement sur les archives de l'État offrent aux archives de l'État toutes les données personnelles dont ils n'ont plus besoin de manière permanente.

1a. Les organes de poursuite pénale et d'exécution des peines conformément à l'art. 3 chiffre 7 de la directive (UE) 2016/680 fixent pour toutes les données personnelles des délais pour la conservation ou pour l'évaluation, afin de déterminer si les données sont encore nécessaires pour l'accomplissement des tâches ou si elles doivent être proposées aux archives de l'État.

2. Les organes publics détruisent les données personnelles désignées comme non archivables par les archives de l'État, sauf si celles-ci

a. sont anonymisées et peuvent être utilisées à des fins officielles ou statistiques;

b. doivent être conservées à des fins de preuve ou de sécurité.

3. Les dispositions des alinéas 1 et 2 s'appliquent mutatis mutandis aux organes publics communaux.

1. Les lieux accessibles au public peuvent être surveillés à l'aide de dispositifs techniques pour protéger les personnes et les biens, si

a. la surveillance est signalée de manière appropriée ;

b. les données personnelles enregistrées sont supprimées au plus tard dans les 100 jours, ou, dans ce délai, transmises à la police avec une plainte ou une dénonciation pénale, et

c. * la personne chargée de la protection des données a été informée à l'avance de l'introduction d'une surveillance.

2. L'installation de dispositifs de surveillance est ordonnée par l'organe public qui détient le droit d'utilisation ou la souveraineté sur le lieu à surveiller.

1. Données personnelles et données des personnes juridiques, y compris les données particulièrement sensibles, peuvent être traitées par les organes publics dans des systèmes d'information électronique, de gestion des affaires et de stockage des données, à condition qu'elles servent à

a. traiter des affaires ;

b. organiser des flux de travail ;

c. déterminer si des données concernant une personne particulière sont traitées ;

d. faciliter l'accès aux documents officiels ;

e. accomplir les tâches légales.

2. L'accès aux données personnelles et aux données des personnes juridiques, y compris les données particulièrement sensibles, peut être accordé à d'autres organes publics ou à des tiers, si la base légale nécessaire à la divulgation est présente.

1. Le Conseil d'État est compétent au niveau cantonal pour les arrêtés, décisions et mesures qui, conformément à la législation fédérale sur la protection des données, relèvent au niveau fédéral du Conseil fédéral.

2. Il émet les dispositions d'exécution nécessaires à l'application de la loi. Il peut notamment régler en détail les domaines suivants

a. * Traitement, acquisition, divulgation, conservation, formes spéciales de traitement dans le cadre du droit fédéral (art. 2, al. 1 de cette loi) ;

b. Responsabilité lors du traitement conjoint de données par plusieurs organes publics (art. 2, al. 2 de cette loi) ;

c. * Exigence minimale en matière de sécurité des données (art. 8 LPD) ;

d. * ...

e. * Modalités du droit d'accès (art. 25 à 29 LPD) ;

f. * Droit d'exiger des mesures (art. 41 LPD) ;

g. * Actes administratifs payants ;

h. * Preuve de la protection des données (art. 2, al. 3 de cette loi) ;

i. * Registre des activités de traitement des données (art. 5 de cette loi) ;

j. * Personne consultative pour la protection des données (art. 5a de cette loi) ;

k. * Systèmes d'information, de gestion des affaires et d'archivage des données (art. 7a de cette loi) ;

l. * Contenu et étendue de l'évaluation d'impact relative à la protection des données (art. 22 LPD).

3. Le Tribunal supérieur émet, dans son domaine de supervision, les règlements nécessaires à l'application, notamment ceux relatifs aux organes de poursuite et d'exécution pénales selon l'art. 3, ch. 7 de la directive (UE) 2016/680.

4. Le Conseil d'État et le Tribunal supérieur peuvent déclarer applicables les règlements relatifs aux organes de poursuite et d'exécution pénales selon l'art. 3, ch. 7 de la directive (UE) 2016/680 à d'autres organes publics.

1. Le Conseil cantonal élit, pour la durée du mandat constitutionnel, une personne chargée de la protection des données ainsi qu'un suppléant.

2. La personne chargée de la protection des données exerce sa mission de manière indépendante et autonome; les dispositions des art. 21 et suivants de la loi sur l'organisation judiciaire concernant l'administration judiciaire sont applicables par analogie.

3. Elle est placée sous la supervision du Conseil cantonal. Administrativement, elle est rattachée à un département ou à la Chancellerie d'État.

4. La personne chargée, le suppléant ainsi que leurs auxiliaires sont soumis aux mêmes règles de confidentialité que l'organisme public traitant les données; cela s'applique également après la cessation de leur fonction.

5. Le Conseil exécutif peut, tout en respectant le droit d'élection et de supervision du Conseil cantonal, confier, par accord, les tâches de la personne chargée de la protection des données à une personne ou entité appropriée d'un autre canton ou créer avec d'autres cantons un organe commun pour ces tâches.

1. ...

2. La personne chargée de la protection des données

a. surveille l'application des dispositions relatives à la protection des données ;

b. * conseille les organes publics et les personnes concernées sur les questions de protection des données ;

b1. * sensibilise les organes publics à leurs obligations en matière de protection des données ainsi que le public aux enjeux de la protection des données ;

c. donne son avis sur les projets de décrets et sur les mesures qui revêtent une importance significative pour la protection des données ;

d. rend compte de son activité.

3. La personne chargée de la protection des données remplit ces tâches en particulier en

a. réalisant des contrôles auprès des organes publics ;

b. * émettant des avis dans le cadre de consultations préalables ;

c. * traitant les demandes et notifications concernant la protection des données ;

d. * ...

e. collaborant avec les organes de contrôle des autres cantons, de la Confédération et de l'étranger ;

f. * rédigeant un rapport de gestion à l'intention du Conseil cantonal.

4. La personne chargée de la protection des données peut publier des constatations et mesures importantes dans le domaine de la protection des données.

1. La personne chargée de la protection des données est autorisée, nonobstant toute obligation de confidentialité, auprès des organismes publics ou des tiers mandatés

a. à obtenir toutes les informations nécessaires à l'accomplissement de la mission de contrôle concernant les données et leur traitement ;

b. à consulter toutes les collections de données, documents et dossiers ;

c. à effectuer des inspections ;

d. à se faire présenter les traitements.

2. Elle peut faire appel à des experts pour certaines tâches.

3. Les organismes publics sont tenus d'assister la personne chargée de la protection des données dans l'accomplissement de sa mission.

1. De la surveillance de la personne chargée de la protection des données sont exemptés

a. le Grand Conseil;

b. le Conseil d'État;

c. les autorités judiciaires dans le cadre de leur activité juridictionnelle;

d. le ministère public dans le cadre de son activité en procédure pénale;

e. les autres organes publics cantonaux et communaux dans le cadre de leur activité juridictionnelle.

1. La procédure est régie par la loi sur l'administration de l'État.

1. Si la demande d'une personne, notamment pour obtenir des informations, un accès ou la satisfaction d'une prétention au sens de l'art. 25 de la loi fédérale sur la protection des données n'est pas entièrement satisfaite, l'organisme public rendra une décision contestable à la demande de la personne concernée.

2. La décision doit également être communiquée à la personne désignée pour la protection des données, qui a le droit de recours.

1. La personne chargée de la protection des données agit d'office ou suite à une dénonciation.

2. Elle clarifie les faits d'office.

3. Si la clarification révèle que les dispositions en matière de protection des données ont été violées, la personne chargée de la protection des données propose des mesures à l'organisme public. L'autorité supérieure doit être informée.

4. Si la demande n'est pas pleinement satisfaite, la personne chargée de la protection des données peut, en cas de violations importantes de la protection des données, émettre une décision susceptible de recours. Aucune décision ne peut être émise à l'égard de la Cour suprême ou du tribunal administratif.

5. L'organisme public et la personne chargée de la protection des données ont le droit de recours. L'organisme public compétent pour la soumission de la plainte est déterminé conformément à l'art. 10 al. 1 et les instances de recours à saisir selon l'art. 10 al. 3 de la loi sur le principe de la transparence.

1. L'accès à l'information et la consultation par la personne concernée sont généralement gratuits.

1. Est puni d'une amende ou d'une peine privative de liberté pouvant aller jusqu'à trois ans quiconque

a. en tant que tiers, traite des données personnelles pour le compte d'un organisme public et utilise ou divulgue ces données en violation du contrat ;

b. en tant que tiers, reçoit des données personnelles d'un organisme public à des fins non personnelles et utilise ou divulgue ces données à des fins contraires à celles prévues.

2. Par ailleurs, les dispositions de la loi sur le droit pénal cantonal s'appliquent.

1. Les dispositions s'appliquent aux traitements de données effectués après l'entrée en vigueur de cette loi.

2. Le traitement des collections de données existantes doit être adapté au nouveau droit dans un délai de deux ans après l'entrée en vigueur de cette loi.

1. ...

1. Le Conseil d'État détermine la date d'entrée en vigueur de cette loi. Elle est soumise au référendum facultatif.