Loi sur la protection des données (DSG) - Définitions (DSG)

1. Dans cet arrêté, on entend par

a) * Données personnelles : informations qui se rapportent à une personne physique identifiée ou identifiable ;

b) données personnelles particulièrement dignes de protection : informations concernant

1. Les opinions et activités religieuses, philosophiques et politiques. Sont exclues les informations sur l'appartenance à une communauté religieuse, une organisation ou un parti politique, si la personne concernée les a elle-même divulguées ou se porte candidate à une fonction publique ;

2. * La santé, la sphère intime et l'appartenance ethnique ;

2bis. * Les données génétiques ;

2ter. * Les données biométriques permettant d'identifier de manière unique une personne physique ;

3. Les prestations et mesures d'aide sociale ;

4. Les procédures et sanctions pénales et disciplinaires ;

c) * personne concernée : personne physique dont les données personnelles sont traitées ;

d) profil de personnalité : compilation de données personnelles permettant d'évaluer la personnalité d'une personne physique ;

dbis) * profilage : tout type de traitement automatisé de données personnelles qui consiste à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des aspects concernant la performance au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ;

e) * traitement : toute opération sur des données personnelles, indépendamment des moyens et procédures appliqués, notamment la collecte, l'enregistrement, l'utilisation, la modification, la divulgation, l'archivage, la suppression ou la destruction des données personnelles ainsi que l'exécution d'opérations logiques ou informatiques sur ces données personnelles ;

ebis) * violation de la sécurité des données : toute atteinte à la sécurité qui, indépendamment de l'intention ou de l'illégalité, conduit à la perte, la suppression, la destruction ou la modification des données personnelles ou à leur divulgation ou accès non autorisé ;

f) divulgation de données personnelles : mise à disposition des données personnelles ainsi que l'octroi d'accès, le transfert et la publication ;

g) collecte de données : ensemble de données personnelles, qui est classifié ou classifiable par personnes ;

h) * entité publique : organe, autorité ou service de

1. Canton ;

2. établissement de droit public autonome du canton ;

3. commune ;

4. entreprise communale de droit public autonome ;

5. association de communes et syndicat ;

i) destinataire : personne physique ou morale qui reçoit des données personnelles de l’entité publique ;

j) service de protection des données : organe mis en place par le canton et la commune pour la surveillance et le conseil en matière de protection des données ;

k) base légale : arrêté contenant des dispositions générales contraignantes, notamment la loi et le règlement. Les règlements d'exécution des communes qui sont exemptés du référendum facultatif sont assimilés au règlement ;

l) loi : arrêté adopté explicitement ou tacitement par les électeurs conformément à l'art. 67 de la Constitution cantonale du 10 juin 2001, ainsi que les accords internationaux qui, selon leur contenu, ont le rang constitutionnel ou législatif. Sont assimilées à la loi le règlement communal et les règlements et conventions ayant force de droit.

1. Cet arrêté régit le traitement des données personnelles par les organes publics.

1bis. Une personne privée est assimilée à un organe public lorsqu'elle exerce des tâches publiques.

2. Il n'est pas applicable

a) lorsque l'organe public participe à la concurrence économique sans exercer d'autorité publique ;

b) aux données personnelles traitées par une personne physique dans une relation de travail ou de mandat avec l'organe public pour un usage exclusivement personnel et qui ne sont ni remises à des tiers ni rendues accessibles à ceux-ci ;

c)* ...

d) aux données personnelles conservées de manière permanente par les archives compétentes du canton et de la commune.

3. Dans les procédures pendantes de droit civil, de droit pénal et de droit administratif judiciaire ainsi que dans les procédures d'entraide judiciaire pendantes, les droits et prétentions sont régis par le droit procédural respectif.

1. Ne s'appliquent pas dans le cadre de la statistique cantonale

a) L'art. 4 al. 1 de ce décret lors de l'utilisation de données à des fins statistiques;

b) L'art. 4 al. 2 de ce décret pour la collecte indirecte de données statistiques selon la loi sur la statistique.

1. Quiconque traite ou fait traiter des données personnelles est responsable du respect de la protection des données.

2. Si plusieurs organismes publics traitent des données personnelles d'une collection de données, ils désignent l'organisme responsable du respect de la protection des données. En cas de désaccord, la décision revient à l'autorité cantonale compétente en matière de protection des données.

3. L'organisme public a la charge de la preuve du respect des dispositions relatives à la protection des données.

1. L'organisme public traite les données personnelles conformément à l'objectif fixé dans la base légale, mentionné lors de leur collecte ou évident par les circonstances.

2. Il veille à ce que la collecte des données personnelles et leur finalité soient reconnaissables pour la personne concernée et que les données personnelles soient correctes et, en fonction de leur usage, complètes.

3. Il prend des mesures organisationnelles et techniques pour protéger les données contre la perte et le vol ainsi que contre toute prise de connaissance et traitement non autorisés.

1. Le traitement des données personnelles est autorisé lorsqu'une base légale existe ou lorsque le traitement est nécessaire à l'accomplissement d'une mission légale.

2. Le traitement de données personnelles particulièrement sensibles, des profils de personnalité ainsi que le profilage est autorisé lorsque

a) la loi prévoit le traitement, ou

b) le traitement est indispensable à l'accomplissement d'une mission légale, ou

c) la personne concernée

1. a expressément consenti dans un cas particulier en connaissance du but et du type de traitement envisagé, ou

2. a rendu ses données généralement accessibles.

1. L'organisme public annonce lors d'une collecte systématique de données personnelles par des questionnaires ou d'autres formes de sondages auprès d'un grand nombre de personnes

a) L'objectif et le fondement juridique du traitement;

b) L'autorité ou le service impliqué dans la collecte;

c) Les catégories de destinataires des données personnelles collectées.

1. L'organisme public anonymise les données personnelles qu'il traite à des fins non personnelles, notamment pour des statistiques, la planification et la recherche, dès que l'objectif du traitement permet l'anonymisation.

2. Il veille à ce qu'aucune déduction concernant les personnes concernées ne soit possible lors de la divulgation du résultat.

3. Il peut transmettre des données personnelles à un autre organisme public ou à des tiers pour traitement à des fins non personnelles, si le destinataire offre des garanties et s'engage par écrit

a) à respecter les obligations prévues aux alinéas 1 et 2 de cette disposition;

b) à ne pas divulguer les données personnelles.

1. L'organisme public établit préalablement une analyse d'impact sur la protection des données lorsqu’un traitement peut entraîner un risque élevé pour les droits fondamentaux de la personne concernée. Si plusieurs traitements similaires sont prévus, une analyse commune peut être effectuée.

2. Le risque élevé découle, notamment lors de l'utilisation de nouvelles technologies, de la nature, de l'ampleur, des circonstances et de l'objectif du traitement. Il existe notamment

a) lors du traitement à grande échelle de données personnelles particulièrement sensibles ou de profils de personnalité;

b) lors d'un profilage.

3. L'analyse d'impact sur la protection des données comporte une description du traitement envisagé, une évaluation des risques pour les droits fondamentaux de la personne concernée ainsi que les mesures pour protéger ces droits fondamentaux.

**1. L'organisme public soumet à la consultation préalable de l'Office de protection des données :**

a) les projets de législation qui concernent la protection des données ;

b) les projets de traitement de données personnelles pouvant entraîner un risque élevé pour les droits fondamentaux des personnes concernées.

**2. La consultation préalable a généralement lieu dans un délai de deux semaines à compter de la réception de la demande, au plus tard dans un délai de six semaines.**

**3. L'Office de protection des données désigne les processus de traitement essentiels qui doivent lui être soumis.**

**1. L'organisme public peut confier le traitement de données personnelles à des tiers, si la transmission n'est pas exclue par la loi ou le règlement et si les tiers mandatés garantissent un traitement conforme aux exigences de la législation sur la protection des données.**

2. Il veille au respect de la protection des données et fixe en particulier que les données personnelles

a) ne soient traitées que de manière conforme à ce que l'organisme public serait autorisé à faire lui-même ;

b) soient traitées conformément aux dispositions légales applicables à l'organisme public ;

c) soient protégées contre la perte, le vol ainsi que contre l’accès et le traitement non autorisés.

3. Il vérifie par des contrôles réguliers appropriés si la protection des données est respectée. Si des manquements aux dispositions de l'alinéa 2 de cette disposition ou des infractions à d'autres prescriptions sur la protection des données sont constatés, il annule la transmission.

4. La sous-traitance ultérieure du traitement des données nécessite l'accord écrit préalable de l'organisme public mandant.

1. L'organe public signale à l'Autorité de protection des données une violation de la sécurité des données dès que possible, si celle-ci est susceptible de présenter un risque élevé pour les droits fondamentaux de la personne concernée.

2. Dans sa déclaration, il mentionne au moins le type de violation de la sécurité des données, ses conséquences, et les mesures prises ou envisagées pour remédier à la violation.

3. Le tiers qui traite des données personnelles pour le compte de l'organe public signale à cet organe toute violation de la sécurité des données dès que possible.

4. L'organe public informe la personne concernée lorsque cela est nécessaire pour sa protection ou si l'Autorité de protection des données l'exige.

5. Il peut limiter, différer ou renoncer à informer la personne concernée si

a) cela est nécessaire en raison d'intérêts prépondérants de tiers;

b) cela est nécessaire en raison d'intérêts publics prépondérants, notamment pour préserver la sécurité intérieure ou extérieure de la Suisse;

c) la communication de l'information peut compromettre une enquête, une investigation ou une procédure administrative ou judiciaire;

d) l'information est impossible ou exige un effort disproportionné; ou

e) l'information de la personne concernée est assurée de manière comparable par une communication publique.

1. L'organe public propose dans un délai raisonnable les données personnelles dont il n'a plus besoin à l'archive compétente du canton ou de la commune. Sont réservées les dispositions particulières concernant l'archivage.

2. L'organe public détruit immédiatement les données personnelles jugées non archivables par l'archive compétente. Sont exceptées les données personnelles dont la destruction pourrait porter atteinte aux intérêts dignes de protection de la personne concernée.

3. Il peut être renoncé à la destruction si les données personnelles

a) sont anonymisées ;

b) sont anonymisées par l'organe public immédiatement après la communication de l'archive compétente.

1. Les autorités judiciaires et la police tiennent un registre de leurs activités de traitement.

2. Le registre contient au moins

a) l'identité de l'organe public;

b) l'objectif du traitement;

c) une description des catégories de personnes concernées et des catégories de données personnelles traitées;

d) les catégories de destinataires;

e) la durée de conservation des données personnelles ou les critères pour déterminer cette durée;

f) une description générale des mesures visant à garantir la sécurité des données;

g) si les données sont communiquées à l'étranger, l'indication du pays et les garanties lors de la communication de données personnelles conformément à la législation fédérale sur la protection des données.

3. Lors du traitement de données personnelles en sous-traitance, le registre contient

a) les informations sur l'identité du tiers et de l'organe public mandant;

b) les informations sur les catégories de traitements effectués pour le compte de l'organe public;

c) si possible, une description générale des mesures visant à garantir la sécurité des données;

d) si les données sont communiquées à l'étranger, l'indication du pays et les garanties lors de la communication de données personnelles conformément à la législation fédérale sur la protection des données.

4. L'organe public signale le registre au service spécialisé de la protection des données.

1. La divulgation de données personnelles est autorisée si

a) une base légale existe ou

b) la personne concernée a donné son consentement ou

c) la divulgation est dans l'intérêt de la personne concernée et que son consentement ne peut être obtenu ou

d) un intérêt public essentiel existe, qui l'emporte sur l'intérêt légitime de la personne concernée à la confidentialité des données personnelles, ou

e) le destinataire ou la destinataire rend vraisemblable un intérêt légitime qui l'emporte sur l'intérêt légitime de la personne concernée à la confidentialité des données personnelles.

2. L'organisme public divulgue des données personnelles à une autorité fédérale, d'un autre canton ou à un autre organisme public, lorsque le destinataire a besoin des données personnelles pour accomplir une tâche légale.

1. L'organisme public restreint la divulgation des données personnelles ou l'associe à des conditions lorsque

a) des dispositions particulières sur la protection des données l'exigent, ou

b) des intérêts publics ou des intérêts privés dignes de protection l'exigent.

1. La communication de données personnelles particulièrement sensibles et de profils de personnalité est autorisée si

a) la loi prévoit la communication ou

b) la personne concernée a consenti ou

c) la communication est dans l'intérêt de la personne concernée et son consentement ne peut être obtenu.

2. L'organe public communique des données personnelles particulièrement sensibles et des profils de personnalité à une autorité fédérale, d'un autre canton ou à un autre organe public, si ces données personnelles sont indispensables pour le destinataire afin d'accomplir une tâche légale qui lui est impartie.

1. L'organisme public peut, sur demande, communiquer le nom, le prénom, la date de naissance, l'adresse ainsi que l'arrivée dans le canton ou la commune et le départ du canton ou de la commune, si le destinataire offre des garanties et s'engage par écrit à utiliser les données personnelles exclusivement à des fins d'intérêt général ou dignes de protection et à ne pas les divulguer.

1. La divulgation de données personnelles dans le cadre d'une procédure de consultation est autorisée si celle-ci est prévue par une base légale.

2. La divulgation de données personnelles particulièrement sensibles dans le cadre d'une procédure de consultation est autorisée si celle-ci est prévue par la loi.

1. La communication de données personnelles à l'étranger est régie conformément aux dispositions de la législation fédérale sur la protection des données.

2. L'organisme public informe l'autorité compétente pour la protection des données des garanties exigées par la législation fédérale avant la communication, lorsque l'État n'est pas mentionné sur la liste des États à la législation adéquate en matière de protection des données, publiée par le Préposé fédéral à la protection des données et à la transparence.

3. L'autorité cantonale de protection des données obtient des informations sur la protection des données à l'étranger auprès du Préposé fédéral à la protection des données et à la transparence. Elle met ces informations à disposition

a) des organismes publics relevant de sa compétence;

b) des services compétents des communes pour transmission aux organismes publics de leur ressort.

1. Le gouvernement peut, après avoir obtenu l'avis de l'organisme spécialisé en protection des données, autoriser la gestion automatisée des données personnelles particulièrement sensibles ou des profils de personnalité dans le cadre d'un projet pilote avant l'adoption d'une loi, si

a) les tâches nécessitant ce traitement sont réglementées par une loi ;

b) des mesures suffisantes pour prévenir les atteintes à la personnalité sont prises ;

c) la mise en œuvre pratique du traitement des données nécessite impérativement une phase d'essai avant l'adoption de la loi.

2. La mise en œuvre pratique d'un traitement de données peut nécessiter impérativement une phase d'essai, lorsque

a) l'accomplissement d'une tâche exige des innovations techniques dont les impacts doivent d'abord être évalués ou

b) l'accomplissement d'une tâche nécessite des mesures organisationnelles ou techniques significatives dont l'efficacité doit d'abord être vérifiée, notamment dans le cadre de la coopération entre organismes publics ou

c) elle exige la transmission de données personnelles particulièrement sensibles ou de profils de personnalité dans le cadre d'une procédure de prélèvement.

3. Le gouvernement désigne l'organisme public responsable de la réalisation du projet pilote et réglemente les modalités du traitement automatisé des données dans un règlement.

1. L'organisme public compétent présente au gouvernement un rapport d'évaluation au plus tard dans les deux ans suivant le début de l'essai pilote.

2. Il propose la poursuite ou l'arrêt de l'essai pilote.

3. L'essai pilote est arrêté si, dans les cinq ans suivant son début, aucune loi n'est devenue juridiquement valable pour inclure la base légale nécessaire.

1. L'organisme public fournit à la personne concernée, sur demande écrite en principe et sur présentation d'une pièce d'identité, des informations sur les données personnelles la concernant qui sont traitées. Les informations sont fournies généralement par écrit.

2. Il accorde, à la demande de la personne concernée, l'accès aux données personnelles.

1. L'organisme public refuse la communication et la consultation, les restreint ou les assortit de conditions, dans la mesure où des intérêts publics ou des intérêts privés dignes de protection de tiers prévalent ou lorsqu'une loi formelle le prévoit.

1. Le traitement de la demande de renseignement et de consultation est généralement gratuit.

1. La personne concernée a le droit d'exiger que l'organisme public corrige gratuitement des données personnelles incorrectes. Si ni l'exactitude ni l'inexactitude ne peuvent être prouvées, l'organisme public appose une mention correspondante sur les données personnelles et en restreint le traitement.

2. La personne concernée a le droit d'exiger que l'organisme public

a)* cesse le traitement illicite de données personnelles, supprime les données incorrectes et bloque leur divulgation à des tiers ;

abis)* constate l'illicéité d'un traitement ;

ater)* élimine les conséquences d'un traitement illicite ;

b) détruise les données personnelles traitées illicitement.

3. L'organisme public informe les destinataires des données personnelles inexactes ou traitées illicitement des mesures prises. L'information peut ne pas être donnée si elle est impossible ou ne peut être réalisée qu'avec des efforts disproportionnés.

1. L'autorité publique informe la personne concernée de l'obtention de données personnelles auprès des services administratifs ou de tiers.

1. L'obligation d'information devient caduque si

a) la personne concernée dispose déjà des informations conformément à l'art. 20a de ce règlement;

b) si le traitement des données personnelles est expressément prévu par la loi, ou

c) il est impossible de fournir l'information, ou cela n'est possible qu'avec un effort disproportionné.

2. La transmission des informations peut être restreinte dans les mêmes conditions que le droit à l'information selon l'art. 18 de ce règlement.

1. L'organisme public interdit, sur demande, la divulgation de données personnelles si la personne concernée a un intérêt digne de protection.

1. L'organisme public divulgue des données personnelles malgré une interdiction lorsque

a) une obligation légale de divulgation existe ou

b) l'accomplissement d'une tâche légale serait rendu impossible ou

c) le destinataire démontre de manière crédible que l'interdiction a été obtenue de manière abusive.

1. L'organe public émet une décision lorsqu'il rejette une demande déposée par la personne concernée pour faire valoir ses droits.

1. Le canton institue le bureau cantonal de protection des données, qui est responsable de l'administration cantonale et des établissements de droit public autonomes.

2. La commune institue le bureau communal de protection des données, qui est responsable des services administratifs de la commune et des entreprises communales de droit public autonomes.

3. La commune peut, par accord avec une autre commune, désigner le bureau communal de protection des données de cette dernière comme responsable pour elle.

1. La commune peut, par accord avec d'autres communes, mettre en place un service communal spécialisé commun. L'accord détermine

a) la commune siège responsable de l'affectation administrative ;

b) les modalités de financement des dépenses du service communal spécialisé.

2. Le gouvernement peut obliger les communes à mettre en place un service communal spécialisé commun, si une exécution efficace des tâches et une utilisation économique des ressources l'exigent. Il détermine la commune siège et les modalités de financement des dépenses du service communal spécialisé, si les communes ne parviennent pas à un accord.

3. Pour l'association de communes ou le syndicat intercommunal, le service communal spécialisé est celui de la commune membre où se situe le siège de l'association.

1. Le service spécialisé pour la protection des données remplit ses tâches de manière indépendante et autonome.

2. Il est administrativement rattaché

a) dans le canton, au département ou à la chancellerie d'État désigné par ordonnance par le gouvernement ;

b) dans la commune, au conseil de la commune ou de la commune siège.

1. La surveillance est exercée par

a) la commission du conseil cantonal chargée de la surveillance du gouvernement et de l'administration de l'État sur le bureau cantonal pour la protection des données ;

b) le bureau cantonal pour la protection des données sur le bureau communal pour la protection des données.

**1. Le gouvernement choisit la directrice ou le directeur du bureau cantonal pour la protection des données pour un mandat de quatre ans. Il peut résilier son contrat de service avant la fin de la durée du mandat en cas de violation des devoirs de fonction ou d'insuffisance professionnelle. L'élection et la résiliation du contrat de service nécessitent l'approbation de la présidence du Conseil cantonal.**

**2. Le conseil nomme la directrice ou le directeur du bureau communal pour la protection des données pour un mandat de quatre ans. Il peut révoquer la nomination en cas de violation des devoirs de fonction ou d'insuffisance professionnelle. La nomination et la révocation nécessitent l'approbation de la commission de contrôle de gestion.**

**3. Lorsque plusieurs communes mettent en place un bureau communal commun, elles règlent la procédure et la compétence pour la nomination de la directrice ou du directeur, ainsi que pour la révocation et l'approbation par un organe indépendant dans l'accord.**

**3bis. La directrice ou le directeur du bureau de protection des données s'abstient de toutes les actions incompatibles avec les fonctions de l'office et n'exerce aucune autre activité rémunérée ou non rémunérée incompatible avec l'office pendant la durée du mandat.**

**4. La directrice ou le directeur du bureau de protection des données recrute le personnel dans le cadre du budget prévisionnel.**

**5. Le contrat de service de la directrice ou du directeur ainsi que du personnel du bureau cantonal pour la protection des données est régi par la loi sur le personnel du 25 janvier 2011.**

1. Le bureau de protection des données établit de manière autonome sa section du budget prévisionnel.

2. Le gouvernement, dans la commune, le conseil, annonce dans le projet de budget à l'intention du conseil du canton, dans les communes à l'intention du parlement communal ou de l'assemblée des citoyens, si le budget prévisionnel élaboré par le bureau de protection des données a été repris sans modification. Les divergences sont justifiées.

1. Le Bureau de la protection des données

a)* vérifie, suite à une notification, de sa propre initiative ou selon le programme d'inspection qu'il a établi, le respect des dispositions sur la protection des données. La personne notificatrice doit être informée de la manière dont la notification a été traitée dans un délai de trois mois;

b) conseille les organismes publics et les personnes concernées sur les questions de protection des données;

c) peut demander au gouvernement, et dans les communes au conseil municipal, la promulgation d'instructions sur les mesures techniques et organisationnelles pour garantir la protection des données;

d) émet un avis sur les projets de règlements qui

1. contiennent des dispositions sur la protection des données;

2. régissent des faits pertinents pour la protection des données;

e)* participe à des projets concernant la protection des données ou ayant des liens avec celle-ci;

f)* sensibilise les organismes publics à leurs obligations légales en matière de protection des données et informe le public des questions relatives à la protection des données;

g)* coopère avec les organes des autres cantons, de la Confédération et de l'étranger, qui exercent les mêmes fonctions, pour accomplir ses tâches.

1bis. Sont exemptés de la surveillance du Bureau de la protection des données selon alinéa 1 lettre a de cette disposition

a) Le conseil cantonal et le gouvernement, le parlement communal et le conseil ainsi que les tribunaux, dans la mesure où ils agissent à titre judiciaire;

b) Les traitements de données dans les procédures pendantes de droit civil, de droit pénal et d'administration judiciaire, ainsi que dans les procédures d'entraide judiciaire pendantes.

2. Le Bureau cantonal de la protection des données conseille les bureaux communaux de la protection des données.

3. Avant de délivrer l'autorisation prévue par l'article 16a de ce règlement, il émet un avis sur le traitement automatisé envisagé des données personnelles à titre d'essai pilote.

1. L'accomplissement des tâches du bureau de la protection des données est généralement gratuit pour la personne concernée.

2. Le bureau de la protection des données peut, dans des cas manifestement infondés ou excessivement fréquents, faire supporter les coûts à la personne concernée ou décider de ne pas intervenir.

1. L'office spécialisé en protection des données est autorisé à consulter les données indispensables à l'accomplissement de ses tâches, y compris les données personnelles particulièrement sensibles et les profils de personnalité, provenant des collections de données de l'organisme public.

1. L'organisme public soutient le service spécialisé en protection des données dans l'accomplissement de ses tâches, en répondant à sa demande notamment par

a) la fourniture d'informations ;

b) la présentation de documents et l'octroi d'accès aux documents ;

c) l'explication de la procédure de traitement des données personnelles ;

d) la démonstration du traitement des données personnelles ;

e) la transmission d'informations spécialisées.

2. Il est dégagé du secret professionnel.

1. L'Office de protection des données émet des recommandations et les soumet à l'organisme public pour un avis écrit

a) lorsqu'il constate des lacunes dans le traitement des données personnelles ;

b) en cas de traitement prévu de données personnelles comportant des risques particuliers pour la protection des droits fondamentaux.

1. Le service cantonal spécialisé dans la protection des données peut demander au département compétent ou à la chancellerie d'ordonner des mesures si l'organisme public ne souhaite pas mettre en œuvre les recommandations, que ce soit en totalité ou en partie, ou s'il ne fournit pas de réponse dans le délai imparti. Si le département compétent, la chancellerie ou un établissement public autonome de droit public du canton agit en tant qu'organisme public, la demande doit être adressée au gouvernement.

2. Le département compétent, la chancellerie ou le gouvernement ordonne des mesures, sauf dans les cas où l'organisme public émet une décision à l'égard de la personne concernée.

3. La protection juridique est régie par la législation sur la procédure administrative. Le service cantonal spécialisé dans la protection des données est habilité à faire appel.

**1. La section communale pour la protection des données peut demander au conseil de prendre des mesures si l'organisme public ne souhaite pas mettre en œuvre les recommandations ou ne le fait que partiellement, ou s'il ne fournit aucun avis dans le délai imparti. Lorsque le conseil, une association communale ou un établissement communal de droit public indépendant agit en tant qu'organisme public, la demande doit être adressée au département compétent.**

**2. Le conseil ou le département compétent ordonne des mesures, sauf dans les cas où l'organisme public émet une décision à l'encontre de la personne concernée.**

**3. La protection juridique est régie par la législation sur la procédure administrative. La section communale pour la protection des données a le droit d'interjeter appel et de déposer des recours.**

1. L'autorité spécialisée en protection des données peut émettre une injonction en cas de violations significatives de la sécurité des données, lorsqu'il est prévisible que l'organisme public rejettera une recommandation ou n'y donnera pas suite.

2. L'organisme public peut contester l'injonction dans un délai de quatorze jours par un recours auprès de la Commission de recours administratif.

3. Si l'organisme public est une juridiction supérieure, il peut contester l'injonction dans un délai de quatorze jours par une plainte devant le Tribunal administratif.

1. Le bureau spécialisé en protection des données fait rapport annuellement au gouvernement, au conseil dans les communes ou aux conseils concernés dans le cas d’une utilisation conjointe d’un bureau spécialisé communal, sur

a) l'application du droit de la protection des données et le respect de la protection des données ;

b) l'ampleur et les axes prioritaires de ses activités de vérification ;

c) les constatations et leur évaluation.

2. Le bureau spécialisé cantonal pour la protection des données rend compte chaque année de son activité au Conseil cantonal. Le Conseil cantonal prend connaissance du rapport.

1. Le service spécialisé en protection des données tient le registre des collections de données disponibles dans son domaine de compétence.

2. La responsabilité de la tenue du registre des collections de données chez les privés, qui remplissent des missions étatiques, incombe

a) au service spécialisé cantonal pour la protection des données lors de l'exécution de tâches cantonales ;

b) au service spécialisé communal pour la protection des données lors de l'exécution de tâches communales.

1. Le registre informe notamment sur

a) la base légale et l'objectif ;

b) les moyens de traitement ;

c) la nature et l'origine des données personnelles ;

d) les tiers autorisés à saisir et à modifier les données ;

e) les destinataires réguliers.

2. Le registre des collections de données doit être mis à jour périodiquement, au moins une fois par an.

3. Il est public.

1. L'organisme public signale à l'autorité compétente en matière de protection des données les modifications

a) dans l'inventaire des collections de données qu'il gère;

b) des faits pertinents pour le contenu du registre.

2. Il signale

1. les nouvelles collections de données avant leur ouverture;

2. les autres modifications annuellement au début de l'année civile suivante.

1. Sur demande, est puni d'une amende

a) quiconque traite des données personnelles pour le compte d'une entité publique et se comporte intentionnellement de manière contraire au mandat ;

b) quiconque utilise ou communique des données personnelles, qui lui ont été divulguées par l'entité publique conformément à l'article 14 de cet arrêté, à d'autres fins que celles prévues.

1. Le gouvernement détermine le début de l'exécution de ce décret.