Règlement d'application de la loi cantonale sur la protection des données personnelles (RLPDP) (RLPDP)

[1] Art. abrogé par R 17.9.2008 ; en vigueur depuis le 1.10.2008 – BU 2008, 554.

[2] **1. La base de données ou banque de données personnelles est une archive ou un ensemble d'archives de données personnelles traitées sous forme électronique ou informatisée par un ou plusieurs organes.**

**2. Les normes sur les archives de données personnelles s'appliquent par analogie à la base de données, sous réserve d'exigences spécifiques de sécurité.**

[2] Art. modifié par R 17.9.2008 ; en vigueur depuis le 1.10.2008 - BU 2008, 554.

Sont considérées comme copies ou instruments de travail au sens de l’art. 19 al. 3 let. c) de la loi, les recueils de données personnelles qui contiennent tout ou partie d’un fichier de données personnelles déjà notifié dans le registre central ou qui servent exclusivement à la simplification du travail.

1 L’organe responsable

a) vérifie d’office la légalité de tout traitement de données personnelles;

b) contrôle que la collecte est organisée de manière à respecter les droits de la personne concernée, en particulier le droit à l’information et le droit de rectification.

2 Afin de garantir le respect des dispositions en matière de protection des données, l’organe responsable communique au Préposé cantonal à la protection des données (ci-après: Préposé), en sa qualité d’autorité cantonale de surveillance et de contrôle, son intention de procéder à un traitement systématique de données personnelles. [3]

Traitement par plusieurs organes

[3] Al. modifiée par le R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[4] L’utilisation par plusieurs organes responsables d’une banque de données personnelles ou le traitement par un organe des données personnelles contenues dans le fichier de données d’un autre organe responsable, est soumise à la communication préalable au Préposé.

Collecte des données

(art. 9 LPDP) Exceptions

[4] Art. modifié par le R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

Les exceptions à l’art. 9 al. 1 de la loi sont admises si la collecte est nécessaire à l’exécution d’un mandat conféré à une autorité judiciaire ou administrative.

L’organe responsable doit informer la personne concernée si les données personnelles qui la concernent sont utilisées pour un objectif différent de celui originel.

1 L’organe responsable vérifie d’office la compatibilité des buts de son traitement avec ceux du destinataire de la transmission.

2 En cas d’incompatibilité, l’organe responsable en informe immédiatement le Préposé. [5]

[5] Al. modifiée par le R 17.9.2008; en vigueur depuis le 1.10.2008 - FO 2008, 554.

1 L’organe responsable décide sur requête de la transmission de données personnelles à des personnes ou des organisations privées.

2 En cas de demande de transmission systématique ou périodique de données personnelles, la requête doit contenir

a) les indications concernant le requérant;

b) le type de données faisant l’objet de la transmission;

c) le but pour lequel les données seront utilisées.

Voici la traduction en français

1 La transmission de données personnelles doit être précédée de la conclusion d’une convention entre l’organe responsable, propriétaire des données, et le requérant.

2 La convention doit indiquer

a) la base légale;

b) la liste des données personnelles faisant l’objet de la transmission;

c) l’origine des données personnelles;

d) l’obligation pour le requérant de garantir à la personne concernée le droit d’accès et les informations relatives à l’origine des données;

e) les mesures de sécurité incombant au requérant;

f) la réserve, en faveur du Préposé, de pouvoir contrôler à tout moment l’utilisation des données transmises; [6]

g) l’obligation pour le requérant de respecter les principes de la législation en matière de protection des données;

h) les frais à la charge du requérant;

i) le montant de la clause pénale qui sera appliquée en cas de violation des obligations par le requérant.

3 Si la transmission de données personnelles est périodique, la convention doit également contenir la fréquence de la transmission et la référence à la dernière mise à jour des données.

Transmission de données à des fins d'adressage

[6] Let. modifiée par l’O 17.9.2008; en vigueur depuis le 1.10.2008 – RO 2008, 554.

1 La transmission de données personnelles en vue de l’établissement d’annuaires et de publications similaires doit faire l’objet d’une convention.

2 Peuvent être transmis le nom, le prénom et l’adresse.

[8] **1** L’organe responsable qui entend transmettre des données personnelles à l’étranger doit respecter les principes généraux de la LCPDP et s’assurer préalablement de l’adéquation de la protection des données dans l’État de destination.

**2** Avant la transmission à l’étranger, il informe le Préposé sur les garanties et sur les règles de protection des données au sens de l’art. 14a al. 2 let. a LCPDP.

**3** L’obligation d’informer est considérée comme remplie si les données sont transmises au moyen d’un contrat-type ou de clauses standards établis ou reconnus par le Préposé et si l’organe responsable informe de manière générale le Préposé de l’emploi de tels contrats-types ou clauses standards.

**4** Le Préposé publie une liste de ces contrats-types ou clauses standards.

**5** L’organe responsable peut aussi appliquer d’autres garanties, telles qu’une convention spécifique de protection des données ou des clauses contenues dans d’autres contrats ; ces garanties spéciales doivent assurer un niveau de protection adéquat.

**6** L’organe responsable prend des mesures adéquates pour garantir que le destinataire respecte les garanties et les règles sur la protection des données.

**7** Le Préposé examine les garanties et les règles sur la protection des données qui lui ont été communiquées (art. 14 al. 2 LCPDP) et communique le résultat de son examen à l’organe responsable dans les 30 jours suivant la réception de l’information.

[8] Art. introduit par le R 17.9.2008 ; en vigueur depuis le 1.10.2008 - RO 2008, 554.

[9] **1 Pour évaluer l’adéquation de la protection des données en vue d’une transmission à l’étranger, l’organe responsable peut se fonder sur la liste, publiée et mise à jour par les autorités fédérales, des États qui disposent d’une législation assurant une protection des données adéquate.**

**2 Le Préposé veille à la coordination et à la diffusion des informations nécessaires.**

[9] Art. introduit par le R 17.9.2008 ; en vigueur depuis le 1.10.2008 – RO 2008, 554.

1 La transmission de données personnelles à des personnes ou services qui traitent des statistiques ou à des instituts de recherche doit être soumise à la stipulation d’une convention.

2 L’organe responsable s’assure que

a) aucune norme n’en exclut la transmission;

b) les données personnelles sont traitées de manière à rendre aussi difficile que possible l’identification d’une personne déterminée.

Sécurité (art. 17 LPD)

1 L'organe responsable prend toutes les mesures appropriées pour garantir la sécurité des données en fonction du type de données traitées (neutres ou sensibles).

2 Le Préposé peut contrôler à tout moment l'efficacité des mesures de sécurité et édicter les instructions pour leur renforcement. [10]

[10] Al. modifié par le R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[11] L’organe responsable communique à l’Incaricato toute constitution, destruction ou modification d’archives de données personnelles.

Registre central (art. 20 LPDP)

[11] Art. modifié par le R 17.9.2008 ; en vigueur depuis le 1.10.2008 - BU 2008, 554.

1 Le Registre central contient les indications sur la dénomination de l’archive, sur l’organe responsable, sur le type de traitement, sur la base légale et sur la nature des données.

2 Il est public et peut être consulté en tout temps auprès du Préposé.

3 Le Préposé publie au Bulletin officiel la constitution et les mises à jour du Registre central. [12]

[12] Al. mod. par R du 17.9.2008; en vigueur depuis le 1.10.2008 - BO 2008, 554.

Le Registre central et le registre de l’organe responsable peuvent être consultés librement.

Information (art. 23 LPD)

1 Quiconque désire obtenir des informations de l’organe responsable doit prouver son identité.

2 L’organe responsable informe, immédiatement ou à bref délai, la personne concernée sur

a) les données la concernant disponibles dans le fichier;

b) la base légale, le but du traitement, les organes participants et les destinataires réguliers.

3 L’information est donnée par écrit et, si demandé, verbalement, ou, si les moyens techniques le permettent, par la consultation directe.

Limitations (art. 24 LPD)

1 La limitation de la consultation des archives est motivée sous forme écrite. [13]

2 Sont réservées les dispositions spéciales en matière de données sanitaires.

Rectification (art. 25 LPRD)

[13] Al. modifié par R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

La rectification est notifiée à tous les destinataires réguliers des données à caractère personnel.

[16] Dans l’exercice de ses fonctions, le Préposé procède par l’intermédiaire du Service de la protection des données, dont il est le responsable.

Commission cantonale pour la protection des données

(art. 31 ss. LPDP) [17]

[16] Art. modifié par le R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[17] Note marginale modifiée par le R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[18] 1 La Commission cantonale pour la protection des données adopte son propre règlement concernant l’organisation, le fonctionnement et la procédure.

2 Le règlement est publié dans le Bulletin officiel des lois et décrets.

[18] Art. modifié par le R 17.9.2008 ; en vigueur depuis le 1.10.2008 – BO 2008, 554.

… [19]

**Autorités communales de surveillance (art. 31b LPDT)**

**Règlement communal et nomination [20]**

[19] Art. abrogé par l'A 17.9.2008 ; en vigueur depuis le 1.10.2008 – BO 2008, 554.

[20] Note marginale modifiée par l'A 17.9.2008 ; en vigueur depuis le 1.10.2008 – BO 2008, 554.

[21] **Article 21**

1 Les Communes peuvent prévoir dans leur règlement l’institution d’un Service communal de la protection des données en nommant tous les quatre ans un Préposé communal à la protection des données (ci-après: Préposé communal).

2 Le Préposé communal est investi, pour le territoire communal, des compétences prévues à l’art. 30 let. a), b), c), d), e), f) de la loi.

3 Le Préposé communal accomplit sa mission de manière autonome et indépendante. La Commune lui attribue des ressources adéquates.

4 Le Préposé communal collabore, dans la mesure nécessaire à l’exécution de ses tâches, avec le Préposé cantonal, notamment en échangeant avec lui toute information utile.

[21] Art. modifié par le R du 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[22] L’Incaricato cantonale préavise le Conseil d’État sur l’approbation de la réglementation communale en matière de protection des données personnelles.

[22] Art. modifié par le R 17.9.2008 ; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[23] La Municipalité communique à l’Incaricato cantonale le nom de la personne désignée comme Incaricato comunale.

[23] Art. modifié par R 17.9.2008 ; en vigueur depuis le 1.10.2008 - BU 2008, 554.

[24] L’Incaricato comunale trasmette all’Incaricato cantonale copia del Registro comunale degli archivi dei dati personali e i relativi aggiornamenti.

[24] Art. modifié par le R 17.9.2008; en vigueur depuis le 1.10.2008 - BU 2008, 554.

Les communes sont tenues de modifier, si nécessaire, les règlements communaux dans les deux ans suivant l’entrée en vigueur du présent règlement.

Est abrogé le Règlement d'application de la loi sur la protection des données du 5 juillet 1990.

Le présent règlement est publié au Bulletin officiel des lois et des actes exécutifs et entre en vigueur le 1er janvier 2001.

Publié au BO 2000, 386.