Loi sur la protection des données personnelles (Loi cantonale sur la protection des données) (Kantonales Datenschutzgesetz) - Objet

1. Cette loi vise à protéger les droits fondamentaux des personnes sur lesquelles les organismes publics traitent des données.

1. Les expressions suivantes signifient

a) Données personnelles (Données) : toutes les informations qui se rapportent à une personne déterminée ou déterminable

b) Personnes concernées : personnes physiques ou morales dont les données sont traitées

c) Organes publics : autorités et services du canton et des communes, établissements et corporations de droit public ainsi que les personnes tant qu'elles sont chargées de tâches publiques

d) * Données personnelles particulièrement sensibles

1. Données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales

2. Données sur la santé, la sphère intime ou l'origine ethnique

3. Données sur les mesures d'aide sociale

4. Données sur les poursuites et sanctions administratives ou pénales

5. Données génétiques

6. Données biométriques

e) * Profilage : l'évaluation automatisée des données afin d'analyser des caractéristiques personnelles essentielles ou de prévoir des développements personnels

f) * Traitement : toute manipulation de données, notamment l'acquisition, le stockage, la conservation, l'utilisation, la modification, la divulgation, l'archivage, la suppression ou la destruction des données

g) Divulgation : le fait de rendre accessibles les données personnelles, comme l'octroi de l'accès, la transmission ou la publication

h) * ...

i) Loi formelle : loi cantonale ou règlement communal soumis au référendum

1. Cette loi s'applique au traitement des données personnelles par les organismes publics, indépendamment des moyens et procédures utilisés à cet effet.

2. Durant les procédures civiles, pénales et administratives en cours, les droits et prétentions des personnes concernées ainsi que les droits d'accès des tiers sont régis par le droit procédural applicable.

3. Pour l'action de droit privé des organes publics, les dispositions fédérales concernant le traitement des données personnelles par des personnes privées s'appliquent.

4. Les autorités judiciaires ne sont pas soumises à l'autorité de surveillance selon les art. 23 et suivants.

1. Les données personnelles peuvent être traitées si

a) une base légale existe à cet effet ou

b) cela est approprié et nécessaire pour remplir les tâches définies par la loi ou

c) la personne concernée consent expressément ou son consentement peut être présumé sans équivoque compte tenu des circonstances.

2. Le traitement des données personnelles doit être effectué de bonne foi et doit être proportionnel.

3. Les données personnelles doivent être exactes et, dans la mesure où cela est requis par l'objectif du traitement, complètes.

4. Les données traitées doivent être appropriées et nécessaires pour atteindre l'objectif pour lequel elles sont traitées et ne doivent pas être traitées plus longtemps qu'il n'est nécessaire pour atteindre cet objectif.

5. Les données personnelles ne peuvent être traitées que dans le but mentionné lors de la collecte, apparent des circonstances ou prévu par la loi.

1. Les données personnelles particulièrement dignes de protection ne peuvent être traitées ou un profilage ne peut être effectué que si

a) une loi formelle le prévoit expressément ou s'il est indispensable pour une tâche clairement définie dans une loi formelle, ou

b) * la personne concernée a donné son consentement explicite ou son consentement peut être présumé sans équivoque compte tenu des circonstances.

1. L'organisme public est tenu d'informer la personne concernée de la collecte de données personnelles ; cette obligation d'information s'applique également lorsque les données sont collectées auprès de tiers.

2. Il doit être communiqué à la personne concernée, au minimum

a) l'organisme public responsable, ainsi que ses coordonnées

b) la base légale et l'objectif du traitement

c) les catégories de destinataires des données, si une divulgation de données est prévue

d) les données traitées ou les catégories de données traitées

e) les droits de la personne concernée

3. La transmission des informations peut être restreinte dans les mêmes conditions que le droit d'accès aux données personnelles (Art. 19).

4. L'obligation d'information ne s'applique pas si

a) le traitement des données est expressément prévu par la loi ou

b) l'information n'est possible que moyennant des efforts disproportionnés ou

c) la personne concernée dispose déjà des informations selon le par. 2

1. L'organisme public responsable de la protection des données est celui qui - seul ou conjointement avec d'autres - décide de l'objectif et des moyens de traitement des données.

2. Si plusieurs organismes publics traitent des données personnelles provenant d'une base d'informations commune, un organisme public doit être désigné pour assumer la responsabilité principale de la protection des données.

1. Les données personnelles doivent en règle générale être collectées auprès de la personne concernée elle-même.

2. ...

1. Les données personnelles peuvent être divulguées par les organes publics si

a) des bases légales l'autorisent,

b) le destinataire a besoin des données pour l'accomplissement de ses obligations légales,

c) la personne concernée a expressément consenti ou son consentement peut être présumé compte tenu des circonstances, ou

d) la personne concernée a rendu ses données librement accessibles.

2. Le Conseil exécutif règle la divulgation des données personnelles pour les annuaires et ouvrages de référence similaires d'intérêt général.

3. La divulgation de données personnelles particulièrement protégées et des résultats d'un profilage est régie par l'art. 5.

1. L'autorité responsable du registre des habitants communique à une personne privée ou à une organisation, sur demande individuelle et sans restriction, le nom, le prénom, l'adresse, les dates d'arrivée et de départ ainsi que la profession d'une personne.

2. Le lieu d'arrivée et de départ, la date de naissance, le sexe, l'état civil et le lieu d'origine d'une personne sont divulgués si un intérêt légitime peut être démontré de manière crédible.

3. Si ces données, à l'exclusion du lieu d'arrivée et de départ, sont utilisées exclusivement à des fins idéales dignes de protection et ne sont pas transmises à des tiers, elles peuvent être divulguées selon certains critères.

4. D'autres données personnelles peuvent être divulguées si un intérêt particulièrement digne de protection est prouvé.

1. L'organisme public refuse la divulgation de données personnelles, la limite ou l'assortit de conditions, si

a) des intérêts publics essentiels ou des intérêts de protection manifestement légitimes d'une personne concernée l'exigent, ou

b) des obligations légales de confidentialité ou des dispositions particulières en matière de protection des données l'exigent.

1. La personne concernée peut demander à l'organisme public d'interdire la divulgation de ses données à des personnes et organisations privées.

2. La divulgation est permise malgré l'interdiction, si

a) l'organisme public y est légalement obligé, ou

b) le requérant démontre de manière crédible que l'interdiction entrave la poursuite de ses propres droits à l'encontre de la personne concernée.

1. Pour la communication de données personnelles à des organismes étrangers de l'Union européenne ainsi qu'à des États contractants de l'accord sur l'Espace économique européen et de la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108), les dispositions des articles 8 et suivants s'appliquent par analogie, en sus du droit supérieur et du droit des traités de l'État.

1. Les données personnelles ne peuvent être communiquées à des États tiers sous réserve des art. 8 ss, que si ceux-ci assurent un niveau de protection des données adéquat conformément à la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108).

2. L'adéquation du niveau de protection des données est évaluée en référence aux directives fédérales et en tenant compte de toutes les circonstances pertinentes pour la transmission des données.

3. Si un État tiers ne garantit pas un niveau de protection des données adéquat, les données personnelles peuvent être communiquées dans des cas particuliers si

a) la personne concernée a consenti sans aucun doute; si les données personnelles sont particulièrement sensibles ou s'il s'agit de profils de personnalité, le consentement doit être explicite

b) la communication est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée ou

c) la communication est indispensable pour la sauvegarde d'intérêts publics prépondérants ou pour la constatation, l'exercice ou la défense de droits en justice

4. La transmission n’a pas lieu s’il y a des raisons de croire qu'elle contreviendrait à l'ordre juridique suisse ou si elle serait en contradiction avec l'ordre public.

5. Les données personnelles peuvent être communiquées si, dans des cas particuliers, des garanties contractuelles suffisantes assurent une protection adéquate de la personne concernée.

1. Les données personnelles peuvent être traitées à des fins non personnelles, telles que les statistiques, la planification, la science ou la recherche, lorsque

a) les données sont anonymisées dès que le but du traitement le permet, et

b) les résultats sont publiés de manière à ce que les personnes concernées ne soient pas déterminables

c) * le consentement du délégué à la protection des données est obtenu

2. L'organisme responsable peut divulguer des données personnelles à des personnes privées ou organisations, à condition qu'il soit en outre garanti que les données personnelles ne soient pas transmises à des tiers et que la sécurité des données soit assurée.

3. Lors de la divulgation de données à des tiers, un accord doit être conclu. Une peine conventionnelle peut être prévue au cas où les dispositions en matière de protection des données ne seraient pas respectées.

4. Dans ces cas, les articles 4 alinéa 4 ainsi que les articles 5 et 8 ne s'appliquent pas.

1. L'organisme public responsable peut charger un autre organisme public ou des tiers de traiter des données personnelles si

a) aucune disposition légale ou convention contractuelle ne s'oppose à la transmission, et

b) il est garanti que les données ne sont traitées que de la manière dont l'organisme public responsable serait autorisé à le faire.

2. La protection des données doit être assurée par accord, imposition ou de toute autre manière. Le Conseil d'État règle les détails par règlement.

3. L'entité mandatée ne peut transférer le traitement des données à une autre entité sans le consentement préalable écrit de l'organisme public mandatant.

4. L'organisme public mandatant reste responsable du traitement des données conformément à cette loi.

1. Les données personnelles doivent être protégées contre la perte, le vol et le traitement non autorisé par des mesures techniques et organisationnelles appropriées.

2. L'organisme public doit être en mesure de prouver qu'il respecte les dispositions relatives à la protection des données. Le Conseil d'État règle les modalités par ordonnance.

1. L'organisme public signale sans retard indu à l'autorité de surveillance une violation des données personnelles qui entraîne un risque élevé pour les droits fondamentaux de la personne concernée.

2. Lorsque des données sont traitées par un tiers sous contrat, ce dernier doit informer immédiatement l'organisme public de toute violation des données personnelles.

3. L'organisme public informe également la personne concernée lorsque cela est nécessaire pour sa protection ou si l'autorité de surveillance l'exige.

4. L'information de la personne concernée peut être restreinte ou supprimée avec notification à l'autorité de surveillance, si des intérêts de confidentialité publics ou privés prépondérants l'exigent.

5. Une violation des données personnelles se produit lorsque des données personnelles traitées sont perdues ou détruites, modifiées, divulguées de manière non intentionnelle ou illégale, ou lorsque des personnes non autorisées ont eu accès à ces données.

1. Lorsqu’un organisme public envisage un traitement de données personnelles susceptible de présenter un risque accru pour les droits fondamentaux de la personne concernée, il effectue une analyse d'impact relative à la protection des données.

2. L'analyse d'impact relative à la protection des données décrit le traitement envisagé, les risques pour les droits fondamentaux de la personne concernée ainsi que les mesures prévues pour éviter le risque de violation des droits fondamentaux de la personne concernée.

1. S'il ressort de l'évaluation d'impact relative à la protection des données que le traitement prévu présente un risque élevé pour les droits fondamentaux de la personne concernée, l'organisme public obtient au préalable l'avis de l'autorité de contrôle.

2. L'autorité de contrôle communique à l'organisme public, dans un délai raisonnable, toute objection éventuelle contre le traitement prévu. Elle peut prendre des mesures conformément à l'art. 26.

1. Les données personnelles qui ne sont plus nécessaires doivent être détruites. Les dispositions concernant l'archivage sont réservées.

2. Le Conseil d'État émet des prescriptions sur les archives publiques cantonales. Celles-ci s'appliquent par analogie aux autres collectivités, à moins que ces dernières n'adoptent leurs propres règlements. Le Conseil d'État peut réglementer le traitement des données personnelles particulièrement sensibles différemment de l'article 5.

3. La destruction des données personnelles qui ne sont plus nécessaires doit être différée tant qu'il existe un motif légitime de penser qu'une suppression porterait atteinte aux intérêts dignes de protection de la personne concernée.

1. L'organisme public informe les destinataires de données personnelles de toute rectification, suppression ou destruction de ces données, ainsi que des annotations conformément à l'art. 20 al. 3, lorsqu'il est supposé que les données sont encore traitées par les destinataires.

2. La communication peut être omise dans la mesure où elle n'est possible qu'avec des efforts disproportionnés.

1. La police, le ministère public et l'administration pénitentiaire tiennent des registres publics relatifs aux activités de traitement de données dans leurs domaines de compétence.

2. Les registres contiennent des informations sur la base légale, l'objectif et les moyens du traitement ainsi que la nature, l'origine et les destinataires réguliers des données personnelles.

1. La police, le parquet et l'administration pénitentiaire désignent au sein de leur organisation une personne responsable de la protection des données.

2. Cette personne a les tâches suivantes

a) elle conseille et assiste les collaborateurs dans le traitement des données personnelles en ce qui concerne le respect des règles de protection des données et de la sécurité des données

b) elle effectue des évaluations des conséquences sur la protection des données conformément à l'art. 14b

c) elle est la personne de contact de l'autorité de surveillance conformément à l'art. 23 et suivants.

1. ...

2. Toute personne a le droit, sur demande, de recevoir des informations sous une forme généralement compréhensible sur le fait de savoir si, et le cas échéant quelles données sont traitées à son sujet par un organisme public. Les informations sont fournies, en règle générale, par écrit. Elles contiennent au minimum les indications prévues à l'art. 5a al. 2 ainsi que des informations sur la durée de conservation et l'origine des données. Sur demande, les justificatifs peuvent être délivrés dans le cadre du droit à l'information sous forme d'impression, de copie ou sous forme électronique.

2bis. Sont exemptées de l'obligation de fournir des informations les données qui servent exclusivement d'outils de travail personnels, notamment les notes personnelles.

3. L'information est fournie gratuitement en règle générale. Une redevance appropriée peut être demandée après notification préalable du montant, dans les cas suivants

a) lorsque des mesures administrativement lourdes doivent être prises pour protéger les intérêts légitimes de tiers;

b) lorsque la demande est abusive, notamment en cas de demandes excessives dans la même affaire.

1. La communication peut être différée, restreinte ou refusée si une disposition légale, des intérêts publics prépondérants ou des intérêts dignes de protection de tiers l'exigent.

2. ...

1. Les données personnelles incorrectes doivent être corrigées gratuitement sur demande dans un délai raisonnable.

2. Si l'organisme responsable conteste l'inexactitude, il lui incombe de prouver l'exactitude des données personnelles, si la preuve contraire n'est pas raisonnablement exigible du demandeur.

3. Si ni l'exactitude ni l'inexactitude des données ne peuvent être prouvées, l'organisme responsable apporte une mention correspondante aux données.

1. Quiconque justifie d'un intérêt digne de protection peut exiger de l'organe responsable qu'il

a) s'abstienne de tout traitement illicite de données personnelles

b) détruise les données personnelles qui ont été collectées, conservées ou utilisées de manière illicite, ou palie de toute autre manière les conséquences du traitement illicite

c) constate l'illégalité du traitement

1. Si un organe ne satisfait pas à une demande conformément à cette loi, il rend une décision motivée.

2. Ces décisions peuvent faire l'objet d'un recours dans un délai de 20 jours conformément à l'art. 16 et suivants de la loi sur la protection juridique dans les affaires administratives. Pour les corporations ecclésiastiques publiquement reconnues et leurs établissements, les dispositions de leur organisation s'appliquent.

**1. Le Conseil d'État nomme, en tant qu'organe de surveillance indépendant de l'administration, une préposée ou un préposé cantonal à la protection des données ayant les qualifications professionnelles adéquates pour un mandat d'une durée de quatre ans.**

**1bis.** La ou le préposé cantonal à la protection des données ne peut exercer aucune autre fonction publique ni fonction susceptible de donner lieu à des conflits d'intérêts.

**2.** Une révocation n'est autorisée que dans les cas suivants

a) en cas de violation intentionnelle ou par négligence grave des devoirs de la fonction de manière grave ou

b) en cas de perte durable de l'aptitude à l'exercice de la fonction.

**3.** L'organe de surveillance accomplit ses tâches en toute indépendance ; il dispose de son propre budget.

**3bis.** L'autorité de nomination peut, si nécessaire, approuver des coopérations avec des organes de surveillance d'autres cantons ou l'embauche de personnel spécialisé.

**4.** Sous réserve des dispositions suivantes, les détails sont fixés par règlement.**

1. Le Conseil d'État peut autoriser les communes et les établissements publics à mettre en place un organe de surveillance propre. S'il n'en existe pas, l'organe de surveillance cantonal est compétent.

1. L'organe de surveillance

a) veille au respect des dispositions en matière de protection des données

b) informe les personnes concernées sur leurs droits

c) sert d'intermédiaire entre les organes responsables et les personnes concernées

d) * traite les demandes des personnes concernées et formule des recommandations conformément à l'art. 26 al. 2

e) * conseille les organes responsables sur les questions de protection des données et de sécurité des données, donne son avis sur les actes législatifs importants pour la protection des données et est habilité à publier ces avis à sa discrétion

f) * collabore avec les organes de contrôle des autres cantons, de la Confédération et de l'étranger pour remplir sa mission de contrôle

g) * est l'organe de contrôle cantonal dans le cadre de l'exécution de tâches relevant du droit fédéral au sens de la législation fédérale sur la protection des données [3]

h) * sensibilise les organes publics à leurs obligations en matière de protection des données et le public aux enjeux de la protection des données

i) * suit les développements importants pour la protection des données personnelles

2. Elle rend compte de son activité chaque année ou selon les besoins à l'organe électoral. Ces rapports sont publiés sans modification.

1. L'autorité de surveillance est habilitée à mener des enquêtes sur le respect des dispositions relatives à la protection des données, indépendamment de toute obligation de secret éventuelle. Elle peut recueillir toutes les informations nécessaires à l'accomplissement de sa mission de contrôle concernant les traitements de données, accéder à tous les documents, effectuer des visites sur place et se faire démontrer les traitements effectués.

2. Si l'autorité de surveillance constate une violation des dispositions relatives à la protection des données, elle peut émettre une recommandation à l'organisme responsable. La personne qui a fait la plainte est informée du résultat de l'enquête et du contenu de la recommandation.

3. L'organisme responsable doit répondre à la recommandation dans un délai de 30 jours. Cette réponse n'est soumise à aucune formalité particulière. Si l'organisme refuse partiellement ou entièrement la recommandation, l'autorité de surveillance peut émettre une recommandation sous la forme d'une décision motivée.

4. L'autorité de surveillance peut en outre

a) ordonner une interdiction provisoire d'un traitement de données

b) ordonner le blocage, la suppression ou la destruction des données

c) faire rapport au Conseil d'État ou au Grand Conseil sur les déficiences relatives à la protection des données ou en cas de violation des dispositions légales en matière de protection des données.

1. Contre les décisions conformément à l'art. 26 al. 3 et al. 4 let. a et b, l'organe responsable peut interjeter recours auprès du Conseil d'État.

2. Contre les décisions sur recours du Conseil d'État, l'autorité de surveillance peut déposer un recours administratif auprès du Tribunal cantonal.

3. Sauf disposition contraire de cette loi, la procédure et la protection juridique sont régies par les dispositions de la loi sur la procédure administrative.

1. Si l'autorité de surveillance constate des violations graves des dispositions relatives à la protection des données par un organisme public, elle dépose une plainte de surveillance conformément à l'art. 30 s. de la loi sur la procédure administrative.

2. Si des indices d'une infraction pénale apparaissent, l'autorité de surveillance en informe les autorités de poursuite pénale.

1. Les personnes travaillant auprès de l'autorité de surveillance sont tenues à la même obligation de confidentialité concernant les données personnelles dont elles prennent connaissance dans le cadre de leurs fonctions que l'organe traitant.

2. En outre, elles sont tenues au secret lorsque la nature de l'affaire ou des réglementations spéciales en matière de confidentialité l'exigent.

3. L'obligation de confidentialité s'applique également après la cessation de la fonction ou du service.

1. Quiconque, en tant que personne mandatée pour traiter des données personnelles conformément à l'art. 13, utilise des données personnelles pour son propre compte ou pour celui d'autres personnes, ou les divulgue à d'autres sans autorisation expresse contraire de l'organisme mandant, est passible d'une amende.

1. L'article 169 de la loi sur l'organisation des communes pour le canton de Schaffhouse (loi communale) du 9 juillet 1892 est abrogé.

1. Dans l'année suivant l'entrée en vigueur de cette loi, les organismes responsables des collections de données existantes doivent

a) procéder à l'enregistrement

b) fixer la date de destruction des données

c) prendre des mesures de sécurisation des données

2. Sur requête motivée, le Conseil d'État peut prolonger ce délai transitoire d'un an au maximum.

1. Cette loi entre en vigueur à une date définie par le Conseil d'État après son adoption par le peuple.

2. Elle doit être publiée dans le Journal officiel et intégrée à la collection des lois cantonales.