Loi sur l'information et la protection des données (InfoDG) - Objet et But (InfoDG)

1. Cette loi régit

a) l'information officielle de la population;

b) l'accès aux documents officiels;

c) la protection contre l'utilisation abusive des données personnelles par les autorités (protection des données).

2. Elle a pour but de promouvoir la transparence des activités des autorités ainsi que de protéger la vie privée, le secret et les droits fondamentaux des personnes sur lesquelles les autorités traitent des données.

1. La loi s'applique à toutes les autorités au sens de l'article 3.

2. Le titre 4 de la loi s'applique

a) aux autorités judiciaires uniquement dans la mesure où elles accomplissent des tâches administratives;

b) aux autres autorités, à l'exception des documents officiels relatifs aux procédures civiles en instance, aux procédures pénales ainsi qu'aux procédures de recours, de plainte et de contestation en droit administratif.

3. Le titre 5 de la loi ne s'applique pas

a) aux autorités, dans la mesure où elles participent à la concurrence économique et n'agissent pas de manière souveraine;

b) aux données personnelles qui sont traitées uniquement comme un moyen de travail personnel;

c)* aux procédures civiles en instance, aux procédures pénales et aux procédures de recours, de plainte et de contestation en droit administratif. Restent réservés les articles 16bis et 16ter.

1. Autorités au sens de cette loi sont

a) les autorités et services ainsi que les commissions du canton et des communes ;

b) les organes des corporations et établissements de droit public autonomes ;

c) les personnes physiques et morales, dans la mesure où elles accomplissent des tâches publiques.

1. Un document officiel est toute information qui

a) est enregistrée sur un support d'information;

b) est en possession d'une autorité dont elle provient ou à laquelle elle a été communiquée et

c) concerne l'accomplissement d'une tâche publique.

2. Ne constitue pas un document officiel un document qui

a) n'est pas finalisé ou

b) est destiné exclusivement à un usage personnel.

1. L'intérêt privé digne de protection est notamment la garantie de la vie privée ainsi que le secret professionnel, commercial et de fabrication.

2. L'intérêt public important est notamment la préservation de la sécurité publique ainsi que de la liberté de formation de l'opinion et de la volonté des autorités.

1. Accès à des documents officiels signifie consultation et obtention de renseignements.

2. Les données personnelles (données) sont des informations qui se rapportent à une personne physique ou morale identifiée ou identifiable (personne concernée).

3. Les données personnelles particulièrement sensibles sont des informations sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales; la santé; la sphère intime; l'origine raciale et ethnique; les mesures d'aide sociale ainsi que les poursuites et sanctions administratives ou pénales.

4. Le profil de personnalité est une compilation de données qui permet une évaluation des aspects essentiels de la personnalité d'une personne physique.

5. Traiter signifie toute manipulation de données, notamment la collecte, l'obtention, l'enregistrement, le rassemblement, la conservation, l'utilisation, la transformation, la modification, la mise à disposition, la communication, la publication, l'archivage et la destruction.

6. Une collection de données est tout ensemble de données structuré de manière à être accessible par personne concernée.

1. Les autorités informent la population de leurs activités d'intérêt général, sauf si une loi ou des intérêts privés dignes de protection ou d'importants intérêts publics s'y opposent.

2. L'information doit être rapide, complète, objective et claire.

3. Les communes informent selon leurs possibilités.

1. Les procédures en cours ne sont divulguées que lorsque des circonstances particulières l'exigent, notamment si

a) la procédure concerne un fait qui suscite un intérêt particulier;

b) l'information est nécessaire pour éviter ou corriger des informations erronées ou pour rassurer la population.

1. La Chancellerie d'État est le service d'information du Grand Conseil, du Conseil d'État et de l'administration cantonale.

2. Le Grand Conseil peut désigner des services d'information spécifiques pour ses organes, et le Conseil d'État peut en faire de même pour l'administration cantonale.

3. Les autorités judiciaires et les autres autorités désignent leurs services d'information.

1. L'information des autorités cantonales est en principe délivrée par les médias; les médias sont traités de manière égale. À titre exceptionnel, une information peut être donnée directement, notamment pour protéger ou avertir la population.

2. Les publications officielles sont régies par la législation spéciale. La Chancellerie d'État peut publier des annonces officielles sur des supports électroniques dans le cadre de cette loi.

3. Les autres autorités déterminent elles-mêmes les moyens et méthodes d'information officielle.

1. Les professionnels des médias qui rendent compte régulièrement des activités des autorités cantonales sont accrédités par la Chancellerie d’État. Le Tribunal cantonal peut réglementer l'accréditation des professionnels des médias auprès des tribunaux.

2. L'accréditation est retirée si des informations ont été obtenues abusivement ou divulguées en dérogation à l'article 7, alinéa 2.

1. Toute personne a le droit d'accéder aux documents officiels.

2. Si l'accès nécessite un effort particulier de l'autorité, il peut être subordonné à la preuve d'un intérêt digne de protection.

3. La consultation se fait sur place, par l'envoi d'une copie ou par support électronique.

4. Les documents officiels accessibles en vertu de cette loi le restent également après archivage.

1. L'accès aux documents officiels est limité, différé ou refusé dans la mesure où

a) une loi ou des intérêts privés dignes de protection ou des intérêts publics importants s'y opposent ;

b) l'accès fournirait des informations qui ont été communiquées volontairement à l'autorité par des tiers avec une assurance de confidentialité.

2. Le droit d'accès n'existe qu'après une période de protection de 30 ans à compter du dernier enregistrement

a) pour les documents officiels issus de négociations non publiques ; les décisions sont accessibles sauf si une loi ou des intérêts privés dignes de protection ou des intérêts publics importants s'y opposent ;

b) concernant les positions dans les négociations contractuelles.

3. L'autorité peut accorder l'accès avant l'expiration de la période de protection (al. 2) si des intérêts privés dignes de protection ou des intérêts publics importants existent ou si les données sont nécessaires pour la recherche scientifique ou l'interprétation des lois.

1. L'accès aux données personnelles contenues dans des documents officiels est régi par les dispositions de la présente loi concernant la divulgation des données personnelles (§ 21 - § 23) et les droits des personnes concernées (§ 26 - § 30), ainsi que par la législation spéciale.

1. Les autorités peuvent traiter les données personnelles,

a) si cela est prévu par une loi ou un règlement;

b) si cela est nécessaire pour accomplir une tâche fondée sur une loi ou un règlement;

c) si et dans la mesure où la personne concernée a rendu les données accessibles au public ou

d) si la personne concernée a consenti dans un cas particulier.

2. Elles ne peuvent traiter des données personnelles particulièrement sensibles et des profils de personnalité,

a) que si une loi le prévoit expressément;

b) que si cela est indispensable pour accomplir une tâche clairement définie par une loi;

c) si et dans la mesure où la personne concernée a rendu les données accessibles au public ou

d) si la personne concernée a expressément consenti dans un cas particulier.

1. Quiconque traite des données personnelles,

a) respecte le principe de proportionnalité et agit de bonne foi ;

b) s'assure que les données sont exactes et, dans la mesure où le but du traitement l'exige, actuelles et complètes ;

c) protège les données par des mesures techniques et organisationnelles appropriées contre un traitement non autorisé.

2. Les données personnelles ne peuvent être traitées qu'à la fin qui a été indiquée lors de leur collecte ou de leur obtention, apparente des circonstances, ou prévue par une loi ou un règlement.

3. À des fins non personnelles, notamment pour la recherche, la planification et les statistiques, les données personnelles peuvent être traitées à condition qu'elles soient anonymisées dès que le but du traitement le permet. S'agissant de données personnelles particulièrement sensibles, les conditions de l'article 15, alinéa 2 (base légale) n'ont pas besoin d'être remplies.

1. Dans les lieux publics et généralement accessibles, les autorités peuvent, pour la protection des personnes et des biens contre des actes criminels et pour l'identification des auteurs d'infractions, utiliser des dispositifs de surveillance visuelle sous les conditions prévues aux articles 15 et 16. Cette mesure doit être appropriée et nécessaire.

2. Le traitement des données personnelles est autorisé dans les conditions mentionnées au paragraphe 1.

3. Sur le lieu surveillé, il convient de signaler la surveillance visuelle ainsi que l'autorité responsable.

4. Lorsque des données collectées par la surveillance visuelle sont attribuées à une personne déterminée, celle-ci doit être informée du traitement dès que le but le permet.

5. Les données personnelles enregistrées doivent être détruites ou écrasées immédiatement après leur évaluation, au plus tard 96 heures après l'enregistrement. Néanmoins, la transmission des données conformément à l'article 16ter reste réservée.

1. La communication de données à d'autres instances administratives est autorisée au cas par cas sur demande écrite, à condition que

a) l'autorité requérante ait besoin des données pour poursuivre un but en rapport avec le but initial de la collecte des données, et

b) l'autorité requérante ait besoin des données à des fins probatoires dans une procédure pénale, civile ou administrative, et

c) la communication soit proportionnée dans les circonstances concrètes.

2. L'autorité réceptrice peut conserver les données aussi longtemps qu'elles sont nécessaires à des fins probatoires. Ensuite, elles doivent être détruites.

1. Si une autorité fait traiter des données personnelles par des tiers, elle assure la protection des données par des accords, des obligations ou d'une autre manière.

1. Les données personnelles doivent être collectées auprès de la personne concernée. L'autorité qui collecte les données informe sur l'objectif du traitement des données, les éventuels destinataires des données, ainsi que sur l'existence d'une obligation de fournir des informations et les conséquences possibles d'un refus de fournir ces informations.

2. Contrairement à la personne concernée, les données personnelles ne peuvent être collectées que s'il existe une base légale conformément à l'article 15.

1. L'autorité doit anonymiser ou détruire les données personnelles dont elle n'aura vraisemblablement plus besoin pour accomplir ses tâches ou à des fins de sécurité et de preuve.

2. Est réservée la législation spéciale, notamment en ce qui concerne l'obligation de remettre des documents à un archivage.

1. Les données personnelles archivées ne doivent pas être modifiées.

2. L'autorité ayant remis les données à l'archive est autorisée à continuer de les consulter.

1. Les données personnelles peuvent être divulguées si une base légale existe conformément à l'article 15.

2. ...

3. Les données personnelles peuvent être communiquées à d'autres autorités sans demande préalable et rendues accessibles aux autorités ou aux particuliers par un procédé de consultation, si cela est expressément prévu par une loi ou un règlement. Les données personnelles particulièrement sensibles et les profils de personnalité ne peuvent être rendus accessibles par un procédé de consultation que si une loi le prévoit expressément.

4. Les données personnelles ne peuvent être divulguées contre rémunération que si cela est prévu par une loi.

5. Les données particulièrement sensibles de personnes décédées ne peuvent, en l'absence de base légale conformément à l'article 15, paragraphe 2, lettres a, b ou c, être divulguées à des particuliers qu'après l'expiration d'un délai de protection ; ce délai est de 30 ans à compter du décès ou, si le décès est incertain, de 110 ans à compter de la naissance. Si ni la date de décès ni la date de naissance ne peuvent être déterminées, le délai de protection est de 80 ans à partir de la dernière inscription. L'autorité peut accorder des dérogations si des intérêts privés dignes de protection ou des intérêts publics importants sont en jeu ou si les données sont nécessaires pour la recherche scientifique.

1. Les données personnelles ne doivent pas être divulguées à l'étranger si cela met gravement en danger la personnalité des personnes concernées, notamment en raison de l'absence d'une législation assurant une protection adéquate.

2. En l'absence d'une législation assurant une protection adéquate, les données personnelles ne peuvent être divulguées à l'étranger que si

a) des garanties suffisantes, en particulier par contrat, assurent une protection adéquate à l'étranger ;

b) la personne concernée a consenti dans un cas individuel ;

c) la divulgation est indispensable dans un cas individuel pour sauvegarder un intérêt public important ou pour la constatation, l'exercice ou la défense de droits en justice ;

d) la divulgation est nécessaire dans un cas individuel pour protéger la vie ou l'intégrité corporelle de la personne concernée ;

e) la personne concernée a rendu les données généralement accessibles et n'a pas expressément interdit un traitement.

1. Le contrôle des habitants fournit aux particuliers des informations sur le nom, le prénom, le sexe, la date de naissance, le lieu d'origine et la nationalité, l'adresse, le lieu de provenance et de départ ainsi que les dates d'arrivée et de départ de personnes individuelles. L'état civil et la date de décès sont communiqués s'il existe un intérêt digne de protection qui est crédible.

2. Ces données ne peuvent être communiquées de manière systématique que si elles sont exclusivement utilisées à des fins idéologiques dignes de protection.

1. La divulgation de données personnelles est refusée, limitée ou assortie de conditions dans la mesure où une loi ou des intérêts privés dignes de protection ou d'importants intérêts publics s'y opposent.

1. Chaque autorité tient un registre des collections de données qu'elle a constituées. Toute personne peut consulter le registre.

2. Le registre contient au minimum les informations suivantes pour chaque collection de données

a) Dénomination et adresse de l'autorité ;

b) Dénomination, objectif et fondement juridique de la collection de données ;

c) Catégories de personnes concernées et de données personnelles traitées ;

d) Catégories des autorités et des tiers auxquels les données sont communiquées sans demande ou mises à disposition par un système d'interrogation (§ 21 al. 3).

3. Ne sont pas enregistrées dans le registre les collections de données qui sont maintenues pour une durée maximale de deux ans, qui servent exclusivement à des fins internes à l'administration ou qui sont publiées légalement.

4. Une copie du registre doit être transmise au ou à la délégué(e) à l'information et à la protection des données (§ 31).

1. Le ou la délégué(e) à l'information et à la protection des données (§ 31) tient un registre central des collections de données enregistrées conformément à l'article 24. Le registre central contient les informations conformément à l'article 24, paragraphe 2.

2. Toute personne peut consulter le registre.

1. Toute personne concernée qui s’identifie reçoit, sur demande, des informations concernant les données traitées à son sujet dans une certaine collection de données. Les informations sont fournies sous une forme compréhensible et, sur demande, par écrit.

2. La personne concernée a le droit de consulter les données sur demande.

3. L'accès aux informations et la consultation peuvent être limités, reportés ou refusés dans la mesure où une loi ou des intérêts privés dignes de protection ou d'importants intérêts publics s'y opposent.

1. Toute personne concernée peut demander à l'autorité de ne pas divulguer certaines données personnelles à des tiers.

2. La restriction prend effet au plus tard 10 jours après réception de la demande écrite.

3. L'autorité ordonne la divulgation malgré la restriction si

a) elle y est obligée par la loi ou par un règlement ;

b) la divulgation est nécessaire pour accomplir une tâche fondée sur une loi ou un règlement, ou

c) la personne qui demande l'information prouve de manière crédible que la restriction entrave la défense de ses droits légaux.

1. La personne concernée peut exiger de l'autorité qu'elle rectifie ou complète les données inexactes. Si elle a un intérêt légitime à cet égard, elle peut en outre demander que l'autorité communique ou publie la décision à des tiers.

2. Si ni l'exactitude ni l'inexactitude des données personnelles ne peuvent être prouvées, l'autorité doit apposer une mention correspondante auprès des données.

1. La personne concernée peut exiger de l'autorité qu'elle

a) cesse le traitement illicite ;

b) élimine les conséquences d'un traitement illicite ;

c) constate l'illicéité du traitement.

1. Concernant les données personnelles archivées, le blocage et la rectification ne peuvent être exigés; cependant, la personne concernée peut exiger que la contestation de l'exactitude soit notée.

1. Le Conseil cantonal élit, sur proposition du Conseil exécutif, un délégué ou une déléguée pour l'information et la protection des données pour un mandat de quatre ans. La réélection est permise.

2. Le Conseil exécutif peut résilier le rapport de service du délégué ou de la déléguée pour des motifs importants conformément à l’article 28 de la Loi sur le personnel de l'État. La résiliation du rapport de service requiert l'approbation du Conseil cantonal. La protection juridique est par ailleurs régie par la Loi sur le personnel de l'État du 27 septembre 1992, par la convention collective de travail (CCT) du 25 octobre 2004 et par la Loi sur l'organisation judiciaire du 13 mars 1977.

3. Le Conseil exécutif fixe la rémunération du délégué ou de la déléguée.

4. Le délégué ou la déléguée remplit ses missions de manière indépendante sur le plan technique et autonome; il ou elle est administrativement rattaché(e) à la chancellerie d'État.

5. Le délégué ou la déléguée dispose d'un budget propre. Dans le cadre du budget, il ou elle est compétent(e) pour l'engagement, la cessation et la réorganisation du rapport de travail avec ses employés. Le personnel du délégué ou de la déléguée est soumis par ailleurs à la Loi sur le personnel de l'État du 27 septembre 1992 et à la convention collective de travail (CCT) du 25 octobre 2004.

6. Les communes peuvent élire des délégués propres pour l'information et la protection des données; ceux-ci ont les missions et compétences selon la présente loi et sont sous la surveillance du délégué ou de la déléguée cantonal(e).

1. Le ou la délégué(e) à l'information et à la protection des données

a) surveille l'application des dispositions relatives à l'accès aux documents officiels et à la protection des données; le Conseil cantonal et le Conseil exécutif sont exemptés de cette surveillance;

b) conseille et soutient les autorités dans l'application des dispositions et informe les particuliers et les personnes concernées de leurs droits;

c) fait office de médiateur entre particuliers, personnes concernées et autorités, et conduit la procédure de conciliation (§ 36);

d) veille à la mise à jour des registres des collections de données (§ 24 f.);

e) donne son avis sur les projets de législation et sur les mesures significatives pour l'accès aux documents officiels ou pour la protection des données;

f)* rend compte annuellement et selon les besoins au Conseil cantonal de ses activités et informe périodiquement celui-ci ainsi que la population des constats et appréciations importants, ainsi que de l'impact des dispositions sur la protection des données et le principe de transparence; les rapports annuels sont publiés;

g) assume d'autres tâches qui lui sont assignées par la loi ou le règlement.

h)* vérifie à l'avance les traitements de données planifiés qui présentent des risques particuliers pour les droits et libertés des personnes concernées; § 38 s’applique par analogie;

i)* collabore à l'exécution des tâches de contrôle avec les organes de surveillance des autres cantons, de la Confédération et de l'étranger.

2. Le ou la délégué(e) à l'information et à la protection des données est l'organe cantonal de contrôle au sens de la loi fédérale sur la protection des données.

1. Le ou la délégué(e) à l'information et à la protection des données intervient d'office ou sur dénonciation.

2. Il ou elle peut demander des informations aux autorités ainsi qu’aux tiers chargés du traitement des données (§ 17) ou à qui des données ont été communiquées, et ce, indépendamment de toute éventuelle obligation de confidentialité. Il ou elle est en droit d'exiger la remise de dossiers et documents et de se faire démontrer les traitements de données. Les autorités et les tiers doivent collaborer à l'établissement des faits.

1. La gestion de l'exécution budgétaire est régie par la Loi sur la gestion administrative axée sur les résultats (Loi WoV) du 3 septembre 2003.

2. Le Conseil d'État adopte sans modification le budget, le plan intégré des tâches et des finances ainsi que le rapport de gestion du ou de la délégué(e).

3. Le ou la délégué(e) exécute le budget de manière autonome.

4. Le ou la délégué(e) peut, dans le cadre du budget, faire appel à des experts si l'exécution des tâches nécessite des connaissances spécialisées particulières ou si elle ne peut être assurée par le personnel ordinaire.

1. La demande d'accès aux documents officiels doit être adressée à l'autorité qui détient les documents. Les documents officiels doivent être désignés avec une précision suffisante.

1. L'autorité se prononce sur la requête aussi promptement que possible. Concernant les documents archivés, l'autorité compétente est celle qui a livré les documents aux archives; après un délai de 30 ans depuis le dernier enregistrement, l'autorité des archives devient compétente.

2. L'autorité indique par écrit, sur demande, les raisons pour lesquelles elle restreint, différère ou refuse l'accès aux documents officiels.

1. La personne requérante peut adresser une demande écrite de médiation au délégué ou à la déléguée à l'information et à la protection des données, si l'accès aux documents officiels est restreint, différé ou refusé.

2. Si une médiation est réalisée, la procédure est considérée comme close.

3. Si aucune médiation n'est obtenue, le délégué ou la déléguée émet une recommandation écrite.

1. L'autorité émet une décision si la personne requérante ou une éventuelle tierce personne concernée le demande.

**1.** Si le ou la Commissaire à l'information et à la protection des données constate que des dispositions relatives à la protection des données sont violées, il ou elle adresse une recommandation à l'autorité compétente.

**2.** Si la recommandation n'est pas suivie, il ou elle peut soumettre l'affaire à l'autorité de niveau supérieur (en dernière instance, au département ou au conseil communal) pour décision. La décision est communiquée aux personnes concernées ainsi qu'au Commissaire sous forme de décision officielle.

**3.** Le ou la Commissaire à l'information et à la protection des données peut former un recours devant le tribunal administratif contre la décision de dernière instance visée au paragraphe 2.

1. Dans la mesure où la présente loi ne prévoit pas de dispositions contraires, la procédure et la protection juridique sont régies par la loi sur l'organisation judiciaire et la loi sur la procédure administrative.

2. Un recours administratif peut être formé devant le tribunal administratif contre les décisions des autorités communales et autres autorités de dernière instance (§ 3).

1. Aucuns frais ne sont perçus pour l'accès aux documents officiels, pour la procédure de conciliation et la procédure de délivrance d'une décision (§ 34 - § 37); le paragraphe 2 est réservé.

2. Les autorités cantonales prélèvent les frais prévus dans le tarif des émoluments pour

a) l'accès aux documents officiels, lorsque celui-ci engendre un effort particulier (§ 12 al. 2);

b) la délivrance de photocopies et de supports de données (§ 12 al. 3).

3. Les communes et d'autres autorités (§ 3) peuvent également percevoir des frais pour leurs activités au sens du paragraphe 2.

1. Aucune redevance n'est exigée pour la consultation des registres des collections de données et pour l'exercice des droits des personnes concernées (§ 26 - § 30).

1. Est puni d'une amende quiconque

a) étant chargé ou autorisé par une autorité à traiter des données personnelles (§ 17), utilise ces données pour lui-même ou pour autrui, ou les divulgue à d'autres, sans l'autorisation expresse de ladite autorité;

b) refuse de coopérer à l'établissement des faits (§ 33 alinéa 2), malgré une demande écrite.

1. Les autorités doivent établir le registre des collections de données (§ 24) dans un délai de deux ans après l'entrée en vigueur de cette loi.

2. Les collections de données contenant des données personnelles particulièrement sensibles ou des profils de personnalité existant à l'entrée en vigueur de cette loi peuvent être utilisées pendant cinq ans après l'entrée en vigueur de cette loi, sans que les conditions de l'article 15, alinéa 2, soient remplies.

1. Les modifications ont été intégrées dans les décrets correspondants.

1. L'Ordonnance sur l'introduction de la loi fédérale sur la protection des données du 2 février 1994 est abrogée.

1. Le Conseil d'État détermine l'entrée en vigueur. Il est chargé de l'exécution.