Loi sur la protection des données personnelles (Loi cantonale sur la protection des données, KDSG) - Objectif (KDSG)

1. Cette loi a pour but de protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles sont traitées.

1. Cette loi s'applique à tout traitement de données personnelles des personnes physiques par les autorités du canton, des communes ainsi que des collectivités et établissements de droit public.

2. Elle n'est pas applicable lorsque les données personnelles sont déjà archivées pour des raisons juridiques, historiques ou scientifiques aux archives d'État ou dans d'autres archives publiques compétentes, ou si elles sont encore à archiver conformément à l'article 15 et que leur traitement, en raison de leur ancienneté, ne peut plus porter atteinte à des intérêts dignes de protection des personnes.

3. Lorsqu'une autorité participe à la concurrence économique et n'agit pas en vertu de sa souveraineté, les règles du droit fédéral relatives au traitement des données par des personnes privées s'appliquent par analogie. Les dispositions concernant l'organe de surveillance restent réservées.

4. Les droits et prétentions des personnes concernées pendant les procédures pendantes de droit civil et de droit pénal ainsi que pendant les procédures de droit constitutionnel et administratif, à l'exception des procédures administratives de première instance, sont régis exclusivement par le droit procédural applicable à chaque cas.

5. Des dispositions divergentes et complémentaires demeurent réservées, à condition qu'elles garantissent la protection contre le traitement illicite des données personnelles au sens de cette loi.

1. Les expressions suivantes signifient

a) Données personnelles : toutes les informations qui se rapportent à une personne physique identifiée ou identifiable

b) données personnelles particulièrement protégées

1. données concernant les opinions ou activités religieuses, idéologiques, politiques ou syndicales

2. données concernant la santé, la sphère intime ou l'appartenance à une race ou une ethnie

3. données génétiques

4. données biométriques permettant d’identifier spécifiquement une personne physique

5. données concernant les poursuites ou sanctions administratives et pénales

6. données concernant les mesures d’aide sociale

c) Collecte de données : tout ensemble de données personnelles structuré de manière à être accessible selon la personne concernée

d) Traitement : toute opération relative aux données personnelles, quel que soit le procédé utilisé, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la diffusion, l’archivage, la suppression ou la destruction de données

e) Profilage : toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels d’une personne physique, notamment pour analyser ou prédire des aspects concernant la performance au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, le lieu ou les déplacements de cette personne physique

f) Violation de la sécurité des données : une atteinte à la sécurité entraînant la destruction, la perte, la divulgation non autorisée ou l’accès fortuit ou illicite aux données personnelles

g) Autorités : tous les organes et services du canton, des communes, des établissements de droit public et des corporations ainsi que les commissions et les personnes privées chargées de l'accomplissement de tâches publiques

h) Autorité responsable : autorité qui, seule ou conjointement avec d'autres, détermine la finalité et les moyens du traitement

i) Sous-traitant : personne privée ou autorité qui traite les données personnelles pour le compte de l’autorité responsable.

1. Les données personnelles ne peuvent être traitées que si

a) il existe une base légale pour ce faire, ou

b) le traitement est nécessaire pour accomplir une tâche légale.

2. Pour le traitement de données personnelles particulièrement sensibles ou pour un profilage, une base légale formelle est requise, à moins que le traitement ne soit indispensable pour une tâche définie par une loi formelle.

3. Les autorités veillent à ce que les données personnelles soient exactes et, dans la mesure où le but du traitement l'exige, complètes et mises à jour.

4. Les données personnelles ne peuvent être traitées que légalement, proportionnellement et conformément au principe de bonne foi. Elles ne doivent pas être traitées à des fins incompatibles avec l'objectif initial de la collecte.

1. Le traitement des données personnelles peut être contractuellement ou par législation transféré à une sous-traitante ou un sous-traitant, si

a) les données sont traitées de la même manière que l'autorité responsable pourrait elle-même le faire, et

b) aucune obligation légale ou contractuelle de confidentialité n'interdit le transfert.

2. L'autorité responsable doit notamment s'assurer que la sous-traitante ou le sous-traitant est en mesure de garantir la sécurité des données.

3. La sous-traitante ou le sous-traitant ne peut transférer le traitement à un tiers qu'avec l'autorisation préalable de l'autorité responsable.

4. Elle ou il peut invoquer les mêmes motifs de justification que l'autorité responsable.

1. Lors de collectes systématiques, notamment par le biais de questionnaires, l'autorité indique l'objectif et la base légale du traitement.

1. L'autorité responsable effectue préalablement une analyse d'impact sur la protection des données lorsque le traitement peut présenter un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Si plusieurs traitements similaires sont prévus, une analyse d'impact commune peut être établie.

2. Le risque élevé résulte, notamment en cas d'utilisation de nouvelles technologies, de la nature, de l'étendue, des circonstances et de l'objectif du traitement. Il se présente notamment

a) en cas de traitement à grande échelle de données personnelles particulièrement sensibles

b) lorsque des zones publiques étendues sont systématiquement surveillées

3. L'analyse d'impact sur la protection des données comprend une description du traitement prévu, une évaluation des risques pour la personnalité ou les droits fondamentaux de la personne concernée ainsi que les mesures de protection de la personnalité et des droits fondamentaux.

1. Si l'analyse d'impact relative à la protection des données indique que le traitement envisagé présente encore un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée malgré les mesures prévues par l'autorité responsable, celle-ci sollicite préalablement l'avis de la personne chargée de la protection des données.

2. La personne chargée de la protection des données communique à l'autorité responsable ses objections concernant le traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d'un mois en cas de traitement de données complexe.

3. Si la personne chargée de la protection des données formule des objections quant au traitement envisagé, elle propose à l'autorité responsable des mesures appropriées.

1. Les données personnelles ne peuvent être divulguées que si

a) une base légale a été établie conforme à l'article 4, alinéas 1 et 2

b) la divulgation des données est nécessaire pour que la destinataire ou le destinataire puisse accomplir une tâche légale

c) la personne concernée a expressément consenti à la divulgation ou, si elle n'est pas en mesure de le faire, la divulgation est dans l'intérêt de la personne concernée et son consentement peut être présumé

d) la divulgation est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée ou d'un tiers, et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable

e) la personne concernée a rendu ses données généralement accessibles et n'a pas expressément interdit leur divulgation ou

f) la destinataire ou le destinataire rend crédible que la personne concernée refuse le consentement ou s'oppose à la divulgation pour lui empêcher de faire valoir des droits légaux ou de protéger d'autres intérêts dignes de protection; la personne concernée doit être préalablement en mesure de donner son avis, sauf si cela est impossible ou implique un effort disproportionné

2. Les données personnelles qui figurent dans des publications officielles ou approuvées par les autorités généralement accessibles ne peuvent être divulguées que dans la mesure et selon l'ordonnancement de leur publication.

3. L'autorité responsable rejette la divulgation, la limite ou l'assortit de conditions si

a) des intérêts publics essentiels ou des intérêts manifestement dignes de protection de la personne concernée l'exigent ou

b) des obligations légales de confidentialité ou des réglementations spéciales en matière de protection des données l'exigent

1. Les données personnelles peuvent être communiquées aux pays de l'Union européenne ainsi qu'aux États contractants de la Convention 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, si les conditions requises pour la communication de données au niveau national sont remplies.

2. Les données personnelles ne peuvent être communiquées à des États tiers que si, en plus des conditions mentionnées au paragraphe 1, l'une des conditions de l'article 16 de la loi fédérale sur la protection des données (RS [235.1](https://db.clex.ch/link/Bund/235.1/fr)) est respectée.

3. En dérogation aux paragraphes 1 et 2, les données personnelles peuvent être communiquées à l'étranger si

| | | | |

| --- | --- | --- | --- |

| a) | la communication est nécessaire : | | |

| | | | |

| --- | --- | --- | --- |

| | 1. | pour la sauvegarde d'un intérêt public prépondérant | |

| | | | |

| --- | --- | --- | --- |

| | 2. | pour la constatation, l'exercice ou la défense de droits en justice devant un tribunal ou une autre autorité étrangère compétente | |

| | | | |

| --- | --- | --- | --- |

| | 3. | pour protéger la vie ou l'intégrité physique de la personne concernée ou d'une tierce personne, et qu'il n'est pas possible d'obtenir dans un délai raisonnable le consentement de la personne concernée | |

| | | | |

| --- | --- | --- | --- |

| b) | la personne concernée a rendu les données accessibles au public et n'a pas expressément interdit leur traitement | | |

| | | | |

| --- | --- | --- | --- |

| c) | les données proviennent d'un registre prévu par la loi, qui est accessible au public ou aux personnes ayant un intérêt digne de protection, dans la mesure où les conditions légales de consultation sont remplies au cas par cas | | |

4. Si des données personnelles sont rendues accessibles au public pour informer le public par des services d'information et de communication automatisés, cela ne constitue pas une communication à l'étranger, même si les données sont accessibles depuis l'étranger.

1. Les données personnelles peuvent être traitées à des fins non personnelles, notamment pour la recherche, la planification ou la statistique, si

a) les données sont anonymisées dès que le but du traitement le permet

b) l'autorité responsable ne communique des données personnelles particulièrement sensibles aux personnes privées que de manière à ce que les personnes concernées ne puissent être identifiées

c) le destinataire ou la destinataire communique les données à des tiers uniquement avec l'accord de l'autorité responsable qui a divulgué les données, et

d) les résultats ne sont publiés que de telle manière que les personnes concernées ne puissent être identifiées

1. L'autorité responsable et le sous-traitant ou la sous-traitante garantissent, par des mesures techniques et organisationnelles appropriées, une sécurité des données proportionnée au risque.

2. Les mesures doivent permettre d'éviter les violations de la sécurité des données.

1. L'autorité responsable communique à la personne chargée de la protection des données aussi rapidement que possible une violation de la sécurité des données susceptible de présenter un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.

2. Le sous-traitant ou la sous-traitante informe l'autorité responsable aussi rapidement que possible d'une violation de la sécurité des données.

3. L'autorité responsable informe la personne concernée lorsque cela est nécessaire à sa protection ou à la demande de la personne chargée de la protection des données. Elle mentionne au moins la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou prévues.

4. L'autorité responsable peut restreindre, différer ou renoncer à l'information à la personne concernée si

a) des intérêts en matière de confidentialité privés ou publics prédominent,

b) l'information est impossible ou exige un effort disproportionné, ou

c) l'information à la personne concernée est assurée de manière comparable par une annonce publique.

5. Une notification effectuée conformément à cet article ne peut être utilisée dans une procédure pénale contre la personne soumise à l'obligation de notification qu'avec le consentement de cette dernière.

1. Le canton, les communes ainsi que les corporations et établissements de droit public tiennent un registre public de leurs collections de données.

2. Le registre contient pour chaque collection de données des informations sur la base légale, l'objectif et les moyens du traitement, le type et l'origine des données personnelles traitées ainsi que les entités impliquées dans la collection de données et les destinataires réguliers des données.

1. Si les bases de données et les données personnelles ne sont plus constamment nécessaires, l'autorité responsable doit discuter de leur éventuelle archivage avec les archives publiques compétentes.

2. Les données personnelles qui ne sont pas jugées dignes d'être archivées sont détruites, à moins que celles-ci

a) ne soient anonymisées ou

b) ne doivent être conservées à des fins de preuve ou de sécurité ou pour protéger les intérêts légitimes de la personne concernée.

3. Le conseil exécutif règle dans un règlement la procédure d'archivage et l'utilisation des archives de l'État.

1. Toute personne peut consulter les registres des collections de données.

1. Toute personne peut demander à l'autorité responsable si des données personnelles la concernant sont traitées.

2. La personne concernée reçoit les informations nécessaires pour faire valoir ses droits en vertu de cette loi et assurer un traitement transparent des données.

3. Si l'autorité responsable fait traiter des données personnelles par un sous-traitant, elle reste tenue de fournir des renseignements.

4. Nul ne peut renoncer à l'avance à son droit d'accès aux informations.

1. La divulgation des informations peut être limitée ou refusée si d'importants intérêts publics ou privés dignes de protection l'exigent.

2. Si les informations ne peuvent pas être communiquées à la personne qui en fait la demande parce qu'elle en serait trop accablée, elles peuvent être communiquées à une personne de confiance désignée par celle-ci.

1. Toute personne peut exiger de l'autorité responsable que les données personnelles incorrectes la concernant soient rectifiées ou complétées.

2. Si l'autorité responsable conteste l'inexactitude, elle doit prouver l'exactitude des données personnelles.

3. Si ni l'exactitude ni l'inexactitude des données personnelles ne peuvent être prouvées, notamment celles contenant une évaluation du comportement humain, la personne concernée peut demander l'insertion d'une contre-déclaration.

1. Toute personne peut exiger de l'autorité responsable, en ce qui concerne ses propres données, que

a) un traitement illicite des données personnelles soit cessé

b) les conséquences d’un traitement illicite soient éliminées

c) l'illicéité d’un traitement soit constatée par écrit

1. La restriction ou le refus du droit de consultation, de rectification ou d'abstention doit être communiqué à la personne requérante sous la forme d'une décision susceptible de recours.

2. La procédure est régie par les dispositions du Règlement sur la procédure administrative (RB 2.2345).

1. Consultation, information et rectification sont en principe gratuites.

2. À titre exceptionnel, des frais peuvent être imposés si le traitement d'une demande d'information entraîne une charge administrative considérable ou si la personne concernée consulte ou demande des renseignements sur les mêmes données de manière répétée.

1. Le Conseil régional choisit, sur requête du Conseil d'État, la personne chargée de la protection des données ainsi qu'un suppléant. La durée du mandat est de quatre ans.

2. La personne chargée de la protection des données accomplit ses missions de manière autonome, indépendante, impartiale et sans être soumise à des directives professionnelles.

3. L'exercice d'une fonction publique, d'une activité accessoire ou d'une activité professionnelle supplémentaire éventuelle nécessite l'autorisation du Conseil d'État. L'autorisation est accordée si l'activité ne compromet ni l'exercice de la fonction, ni l'indépendance, ni la réputation.

4. La personne chargée de la protection des données est placée sous la haute surveillance du Conseil régional, propose à celui-ci les ressources financières nécessaires pour accomplir sa mission, dispose de ces ressources et est habilitée, dans le cadre des crédits accordés, à employer du personnel et à régir leurs relations de travail. Administrativement, elle est rattachée à la direction compétente.

5. Le Conseil régional peut révoquer la personne chargée de la protection des données avant l'expiration du mandat si celle-ci

a) a gravement violé de manière intentionnelle ou par négligence grave ses devoirs professionnels, ou

b) a définitivement perdu la capacité d'exercer sa fonction

6. Avec l'approbation du Conseil régional, le Conseil d'État peut confier les missions de la personne chargée de la protection des données à une personne ou une institution compétente d'un autre canton ou établir une structure commune avec d'autres cantons pour ces missions.

1. La personne chargée de la protection des données est l'organe de contrôle cantonal pour la protection des données.

2. Elle

a) surveille l'application des dispositions relatives à la protection des données

b) conseille les autorités dans l'application des dispositions relatives à la protection des données

c) donne son avis sur les projets d'actes législatifs et sur les mesures d'une importance significative pour la protection des données

d) médie entre les autorités entre elles et entre les autorités et les particuliers

e) suit les développements pertinents pour la protection des données personnelles

f) sensibilise les autorités traitant des données à leurs obligations légales en matière de protection des données et le public aux enjeux de la protection des données

3. La personne chargée de la protection des données remplit ces tâches en particulier en

a) effectuant des contrôles auprès des autorités soumises à cette loi

b) examinant, avant leur mise en service, les dispositifs prévus pour le traitement des données présentant des risques particuliers pour les droits et libertés des personnes concernées

c) traitant les demandes et soumissions que les personnes concernées formulent quant à leurs droits en matière de protection des données et, le cas échéant, en émettant des recommandations ou des décisions à l'encontre des autorités responsables

d) coopérant avec les organes de contrôle des autres cantons, de la Confédération et de l'étranger

e) rendant régulièrement compte de ses activités au Conseil cantonal. Elle peut publier des constats et mesures importants dans le domaine de la protection des données

4. Ne sont pas soumises à la surveillance de la personne chargée de la protection des données les traitements de données personnelles dans les procédures civiles et pénales en cours ainsi que pendant les procédures de droit public et administratif, à l'exception des procédures administratives de première instance.

1. La personne chargée de la protection des données agit d'office ou sur dénonciation.

2. Elle clarifie les faits d'office et est autorisée à obtenir des informations auprès des autorités responsables et des sous-traitants, indépendamment de toute obligation de confidentialité éventuelle. Elle peut exiger la remise de dossiers et de documents et se faire présenter les traitements de données. Les autorités responsables et les sous-traitants sont tenus de collaborer.

3. Si la personne chargée de la protection des données constate des violations des dispositions relatives à la protection des données, elle s’efforce de trouver une solution amiable avec l'autorité responsable ou le sous-traitant.

4. En cas de désaccord, la personne chargée de la protection des données peut émettre une décision à l'encontre de l'autorité responsable ou du sous-traitant.

5. Les décisions de la personne chargée de la protection des données peuvent faire l'objet d'un recours administratif direct devant la cour supérieure.

1. La personne chargée de la protection des données, ainsi que son adjoint et ses auxiliaires, sont tenus à la même confidentialité concernant les informations et les données personnelles dont ils prennent connaissance dans l'exercice de leurs fonctions, que l'autorité responsable.

1. Le Conseil d'État peut émettre des dispositions d'exécution pour cette loi.

1. Est puni d'une amende quiconque

a) donne délibérément de fausses informations à la personne chargée de la protection des données lors de la clarification des faits ou refuse de coopérer

b) traite des données personnelles au sens de l'article 11 et ne respecte pas les conditions de cette disposition

c) traite des données personnelles pour le compte d'une autorité et utilise ou divulgue ces données en violation du mandat

2. La procédure est régie par les dispositions de la procédure pénale.

1. La loi du 20 février 1994 relative à la protection des données personnelles (Loi sur la protection des données; LPD) est abrogée.

1. La légalité des traitements de données existants est évaluée, pendant une période maximale de deux ans après l'entrée en vigueur de cette loi, selon l'ancien droit, à condition que l'objectif du traitement demeure inchangé et qu'aucune nouvelle donnée ne soit collectée.

2. La personne chargée de la protection des données est élue pour la première fois au début de la prochaine législature selon le nouveau droit.

1. Cette loi est soumise au référendum. Elle entre en vigueur le 11 novembre 2023.