Loi sur l'externalisation de services informatiques (Auslagerungsgesetz, AusG) - Objet (AusG)

1. Cette loi régit pour l'administration cantonale l'externalisation des services informatiques.

1. Cette loi s'applique à toutes les autorités de l'administration cantonale.

2. Sont exclus du champ d'application les Hôpitaux du canton de Soleure SA, les établissements de droit public autonomes du canton et les services informatiques des écoles cantonales à des fins pédagogiques.

1. Dans cette loi, les termes signifient

a) Externalisation : Commande de l'autorité compétente à des tiers pour la fourniture de services informatiques ;

b) Services informatiques : Prestations de technologies de l'information et de la communication, notamment en lien avec toutes les applications, systèmes d'information, installations et produits servant au traitement électronique des informations ;

c) Tiers : Prestataires en dehors de l'administration cantonale chargés de fournir des services informatiques ;

d) Autorité externalisante : Autorité qui externalise des services informatiques à des tiers pour accomplir ses missions ;

e) Autorité compétente : Autorité qui, conformément à l'article 6, est responsable de la décision d'externalisation.

1. Le transfert de services informatiques à l'étranger ne peut avoir lieu que si une protection des données adéquate, conformément à l'annexe 1 de l'Ordonnance sur la protection des données (OPD) du 31 août 2022, est garantie.

2. Les données personnelles particulièrement sensibles et les données factuelles nécessitant une protection accrue ne peuvent être externalisées qu'à l'intérieur de la Suisse. Des exceptions sont autorisées dans des cas spécifiques dûment justifiés.

1. L'externalisation est autorisée lorsque l'autorité compétente s'assure, par loi ou accord écrit, que

a) les tiers ne fournissent des services informatiques que de manière conforme aux possibilités de l'autorité externalisante elle-même;

b) les tiers, y compris leurs employés et auxiliaires, s'engagent à respecter les obligations de secret de fonction, de secret professionnel et de confidentialité particulière ainsi que les dispositions relatives à la protection des données auxquelles l'autorité externalisante est soumise;

c) la sécurité des données est garantie par des mesures techniques et organisationnelles appropriées;

d) les tiers ne peuvent mandater d'autres tiers pour fournir des services informatiques qu'avec l'autorisation écrite préalable de l'autorité compétente;

e) les tiers sont responsables du soin approprié dans le choix, l'instruction et la surveillance de leurs employés et auxiliaires;

f) les dispositions de la législation cantonale sur les archives sont respectées;

g) l'autorité compétente et l'autorité externalisante ainsi que les autorités de surveillance compétentes disposent des droits d'instruction et de contrôle nécessaires et

h) la relation contractuelle est régie par le droit suisse et que le lieu de juridiction est déterminé en Suisse, des exceptions étant admises dans des cas justifiés.

2. L'autorité compétente veille à ce que l'accomplissement de la mission publique soit garanti sans perturbation importante, même si les tiers ne respectent pas les accords ou cessent leur activité commerciale.

1. Le Conseil d'État décide, sous réserve du paragraphe 2, d'externaliser les services informatiques pour l'administration cantonale, lorsque cela

a) est d'un intérêt supérieur ou stratégique; ou

b) doit être prescrit impérativement pour une ou plusieurs unités organisationnelles; ou

c) présente un risque élevé pour les droits fondamentaux des personnes concernées, notamment en cas de traitement étendu de données personnelles particulièrement sensibles.

2. Dans les mêmes conditions, la commission administrative des tribunaux décide de l'externalisation des services informatiques pour les tribunaux.

3. Dans tous les autres cas, l'autorité responsable de l'externalisation est compétente pour l'externalisation.

4. Les décisions d'externalisation conformément aux paragraphes 1 et 2 sont publiées.

1. L'autorité compétente veille à ce que les risques découlant de la sous-traitance soient continuellement évalués.

2. Elle détermine les mesures nécessaires pour minimiser adéquatement ces risques.

3. Les risques qui doivent être supportés doivent être acceptés de manière vérifiable.

1. La responsabilité de l'exécution légale des tâches demeure auprès de l'autorité délégante.

2. L'autorité compétente porte la responsabilité des risques découlant de la délégation.

1. Le champ d'application de la législation cantonale sur la protection des données et les archives, ainsi que les dispositions financières et d'appel d'offres applicables, ne sont pas affectés par cette loi.

1. Les externalisations déjà commandées doivent être conformes aux exigences de ce décret dans les cinq ans suivant l'entrée en vigueur de cette loi.