déplier | replier
I. Dispositions générales
§ 1 Objet et but
1 Cette loi régit le traitement des informations par les organes publics.
2 Il a pour objet,
a. de rendre l’action des organes publics transparente et de favoriser ainsi la libre formation de l’opinion et l’exercice des droits démocratiques, ainsi que de faciliter le contrôle de l’action de l’État,
b. de protéger les droits fondamentaux des personnes au sujet desquelles les organes publics traitent des données.
§ 2 Champ d’application
La présente loi s’applique aux organes publics.
§ 2a Exceptions : a. Conseil cantonal
1 La présente loi ne s’applique pas aux relations entre le Grand Conseil et ses commissions permanentes, ni aux autorités et établissements soumis à sa haute surveillance.
2 Dans la mesure où le Grand Conseil est soumis à la présente loi, le ou la délégué(e) à la protection des données ne dispose pas des compétences prévues au § 10, alinéa 2, au § 12a, alinéas 1 et 2, au § 34, lettres c, d et f, et aux §§ 35 à 36a.
§ 2b Exceptions : b. Tribunaux et autorités de poursuite pénale
1 Dans les procédures judiciaires et les procédures des autorités de poursuite pénale conformément au § 86, alinéa 1, lettres b et c de la loi sur l’organisation judiciaire et administrative dans le cadre de la procédure civile et pénale du 10 mai 2010, les droits des personnes concernées et les droits de consultation des tiers sont régis par les dispositions des lois spéciales.
2 La présente loi s’applique au traitement des données personnelles dans la mesure où les lois spéciales ne contiennent pas de réglementation.
3 Dans la mesure où les tribunaux sont soumis à la présente loi, le ou la commissaire à la protection des données n’a pas les compétences prévues au § 10, alinéa 2, au § 12a, alinéas 1 et 2, au § 34, lettres c, d et f, et aux §§ 35 à 36a.
§ 2c Exceptions : c. Participation à la concurrence économique
1 La présente loi ne s’applique pas dans la mesure où les organes publics participent à la concurrence économique et n’agissent pas en tant que puissance publique.
2 La loi fédérale sur la protection des données s’applique par analogie au traitement des données personnelles. La surveillance est exercée par le ou la délégué(e) à la protection des données conformément aux §§ 30 et suivants.
§ 3 Définitions
1 Les organes publics sont
a. le parlement cantonal, les parlements communaux ainsi que les assemblées communales,
b. Autorités et unités administratives du canton et des communes,
c. les organisations et les personnes de droit public ou privé, dans la mesure où elles sont chargées de l’exécution de tâches publiques.
2 Les informations sont tous les enregistrements qui concernent l’accomplissement d’une tâche publique, indépendamment de leur forme de présentation et de leur support d’information. Sont exclus les enregistrements qui ne sont pas achevés ou qui sont destinés exclusivement à un usage personnel.
3 Les données personnelles sont des informations qui se rapportent à une personne identifiée ou identifiable.
4 Les données personnelles particulières sont
a. les informations qui, en raison de leur importance, de la nature de leur traitement ou de la possibilité de les associer à d’autres informations, présentent un risque particulier d’atteinte à la personnalité, telles que les informations concernant
1._ les opinions ou activités religieuses, philosophiques, politiques ou syndicales,
2._ la santé, la sphère intime, l’origine ethnique ainsi que les données génétiques et biométriques,
3._ Mesures d’aide sociale,
4._ des poursuites ou sanctions administratives ou pénales.
b. Compilations d’informations permettant d’évaluer des aspects essentiels de la personnalité des personnes physiques.
c. l’évaluation automatisée d’informations afin d’analyser des caractéristiques personnelles essentielles ou de prédire des évolutions personnelles (profilage).
5 Le traitement est toute manipulation d’informations, telle que la collecte, la conservation, l’utilisation, la transformation, la communication ou la destruction.
6 Communiquer, c’est rendre des informations accessibles, par exemple en permettant leur consultation, leur transmission ou leur publication.
II Principes relatifs au traitement des informations
1. en général
§ 4 Principe de transparence
L’organe public organise le traitement des informations de manière à pouvoir informer rapidement, de manière complète et objective.
§ 5 Gestion de l’information
1 L’institution publique gère ses informations de manière à ce que l’action administrative soit compréhensible et que la responsabilité soit garantie. Si plusieurs organes publics traitent un ensemble d’informations commun, ils règlent les responsabilités.
2 Si l’institution publique n’a plus besoin des informations et des instruments de recherche pour son action administrative, elle les conserve pendant dix ans au maximum.
3 A l’expiration du délai de conservation, l’institution publique propose les informations et les instruments de recherche aux archives compétentes. Les informations qui ne sont pas archivées doivent être détruites.
4 Pour l’administration cantonale, le Conseil d’Etat règle les détails dans une ordonnance.
§ 6 Traitement sur mandat
1 L’institution publique peut confier le traitement d’informations à des tiers, pour autant qu’aucune disposition juridique ou accord contractuel ne s’y oppose.
2 Il reste responsable du traitement des informations conformément à cette loi.
§ 7 Sécurité de l’information
1 L’institution publique protège les informations par des mesures organisationnelles et techniques appropriées.
2 Les mesures se basent sur les objectifs de protection suivants :
a. Les informations ne doivent pas être divulguées de manière illicite,
b. Les informations doivent être exactes et complètes,
c. Les informations doivent être disponibles en cas de besoin,
d. Les traitements d’informations doivent pouvoir être attribués à une personne,
e. Les modifications des informations doivent être identifiables et compréhensibles.
3 Les mesures à prendre dépendent du type d’information, de la nature et du but de son utilisation et de l’état actuel de la technique.
2. principes particuliers concernant le traitement des données personnelles
§ 8 Légalité
1 L’organe public peut traiter des données personnelles dans la mesure où cela est approprié et nécessaire à l’accomplissement de ses tâches décrites par la loi.
2 Le traitement de données personnelles particulières nécessite une réglementation suffisamment précise dans une loi au sens formel.
§ 9 Affectation à un but précis
1 L’organe public ne peut traiter des données personnelles que dans le but pour lequel elles ont été collectées, à moins qu’une disposition légale ne prévoie expressément une utilisation ultérieure ou que la personne concernée ne donne son consentement dans un cas particulier.
2 Dans un but non personnel, l’organe public peut traiter des données personnelles si elles sont rendues anonymes et si les analyses ne permettent pas de tirer des conclusions sur les personnes concernées.
§ 10 Analyse d’impact relative à la protection des données et contrôle préalable
1 Lorsqu’il envisage de traiter des données personnelles, l’organe public évalue les risques qu’elles présentent pour les droits fondamentaux des personnes concernées (analyse d’impact relative à la protection des données).
2 il soumet préalablement à l’examen du Préposé à la protection des données un projet de traitement de données personnelles présentant des risques particuliers pour les droits fondamentaux des personnes concernées (contrôle préalable).
§ 11 Éviter la référence à la personne
1 L’organe public conçoit les systèmes et programmes de traitement des données de manière à produire le moins possible de données personnelles qui ne sont pas nécessaires à l’accomplissement des tâches.
2 Il efface, rend anonymes ou pseudonymisent de telles données personnelles dès que et dans la mesure où cela est possible.
§ 12 Information sur l’acquisition
1 L’organe public informe les personnes concernées de la collecte de données personnelles. Cela vaut également pour la collecte auprès de tiers.
2 L’information contient des données sur
a. l’organe public responsable,
b. les données collectées ou leurs catégories,
c. la base juridique et la finalité du traitement,
d. les destinataires des données ou les catégories de destinataires des données, si les données sont communiquées à des tiers,
e. les droits de la personne concernée.
3 L’obligation d’information est supprimée,
a. lorsque la personne concernée dispose déjà des informations visées au paragraphe 2,
b. lorsque la collecte des données personnelles est prévue par la loi,
c. lorsque l’information n’est pas possible ou exigerait des efforts disproportionnés,
d. dans les cas visés au § 23.
§ 12a Obligation de déclaration
1 L’organe public responsable notifie immédiatement au délégué à la protection des données le traitement non autorisé ou la perte de données personnelles lorsque les droits fondamentaux de la personne concernée sont menacés.
2 Il informe la personne concernée si les circonstances l’exigent ou si le délégué à la protection des données le demande.
3 Il peut restreindre totalement ou partiellement l’information de la personne concernée si un intérêt public ou privé prépondérant s’y oppose.
§ 13 Respect des dispositions relatives à la protection des données et assurance qualité
1 L’institution publique assure le respect des dispositions relatives à la protection des données, notamment par des règles d’organisation.
2 Il peut, afin de garantir la qualité du traitement de l’information, faire contrôler et évaluer ses procédures, son organisation et ses installations techniques par un organisme indépendant et reconnu.
3 Le Conseil-exécutif règle les détails dans une ordonnance.
III Divulgation d’informations
§ 14 Activité d’information d’office
1 L’institution publique informe de sa propre initiative sur ses activités d’intérêt général.
2 Il met à disposition des informations sur sa structure, ses compétences et les personnes à contacter.
3 L’organe public ne peut informer sur des procédures en cours que si cela est nécessaire pour rectifier ou éviter des communications erronées ou si, dans un cas particulièrement grave ou retentissant, l’information immédiate est indiquée.
4 Il met à la disposition du public une liste de ses bases de données et de leurs objectifs. Il signale les fichiers d’informations contenant des données personnelles.
§ 15 Médias
1 Dans son activité d’information, l’organe public tient compte, dans la mesure du possible, des besoins des médias.
2 Il peut prévoir l’accréditation des journalistes.
§ 16 Communication de données personnelles : a. Généralités
1 L’organe public communique des données personnelles lorsque
a. une disposition légale l’autorise,
b. si la personne concernée a donné son consentement dans un cas particulier, ou
c. si, dans un cas particulier, il est indispensable d’écarter un danger imminent pour la vie ou l’intégrité corporelle ou si la protection nécessaire d’autres biens juridiques essentiels doit avoir plus de poids.
2 Il communique en outre, au cas par cas, des données personnelles à un autre organe public ainsi qu’aux organes d’autres cantons ou de la Confédération si l’organe qui demande des données personnelles en a besoin pour accomplir ses tâches légales.
§ 17 Communication de données personnelles : b. Données personnelles particulières
1 L’organe public communique des données personnelles particulières lorsque
a. une disposition suffisamment précise dans une loi formelle l’autorise,
b. si la personne concernée a expressément consenti, dans un cas particulier, à la communication de données personnelles particulières, ou
c. si, dans un cas particulier, il est indispensable d’écarter un danger imminent pour la vie ou l’intégrité corporelle ou si la protection nécessaire d’autres biens juridiques essentiels doit avoir plus de poids.
2 Il communique en outre, dans des cas particuliers, des données personnelles particulières à un autre organe public ainsi qu’aux organes d’autres cantons ou de la Confédération, si l’organe qui demande des données personnelles particulières en a besoin pour accomplir ses tâches légales.
§ 18 Communication de données personnelles : c. A des fins non personnelles
1 L’institution publique peut communiquer des données personnelles en vue de leur traitement à des fins non personnelles, pour autant qu’une disposition légale ne l’exclue pas.
2 Le destinataire doit prouver que les données personnelles sont rendues anonymes, qu’il n’est pas possible de tirer des conclusions sur les personnes concernées à partir des analyses et que les données personnelles initiales sont détruites après l’analyse.
§ 19 Communication de données personnelles : d. Transfrontalier
L’organe public communique des données personnelles à des destinataires qui ne sont pas soumis à la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel lorsque
a. un niveau de protection adéquat est garanti dans l’État destinataire pour le transfert de données,
b. si une base légale le permet, afin de protéger certains intérêts de la personne concernée ou des intérêts publics prépondérants, ou
c. des mesures de sécurité contractuelles appropriées soient prises par l’organisme public.
IV. Droit d’accès à l’information et autres droits juridiques
§ 20 Accès à l’information
1 Toute personne a le droit d’accéder aux informations détenues par un organisme public.
2 Toute personne a le droit d’accéder à ses propres données personnelles.
3 Dans les procédures administratives et de justice administrative non closes par une décision définitive, le droit d’accès à l’information est régi par le droit de procédure applicable.
§ 21 Protection de ses propres données personnelles
1 La personne concernée peut demander à l’institution publique de
a. les données personnelles inexactes sont rectifiées ou détruites,
b. s’abstient de traiter des données personnelles de manière illicite,
c. élimine les conséquences du traitement illicite,
d. constate le caractère illicite du traitement.
2 Lorsque la rectification ou la destruction de données personnelles est demandée et que ni leur exactitude ni leur inexactitude ne peuvent être établies, l’organe public appose la mention que les données personnelles sont contestées. Il limite le traitement.
§ 22 Blocage des données personnelles
1 La personne concernée peut faire bloquer la communication de ses données personnelles à des personnes privées si l’organe public peut communiquer des données personnelles sans condition en vertu d’une disposition légale spéciale.
2 L’organe public communique des données personnelles malgré le blocage si le requérant prouve que le blocage l’empêche de faire valoir ses propres droits vis-à-vis de la personne concernée.
V. Restrictions dans les cas individuels
§ 23 Mise en balance des intérêts
1 L’organe public refuse de communiquer tout ou partie des informations ou en diffère la communication si une disposition légale ou un intérêt public ou privé prépondérant s’y oppose.
2 Il y a intérêt public notamment lorsque
a. l’information concerne les positions dans les négociations contractuelles,
b. la divulgation de l’information porte atteinte au processus de formation de l’opinion de l’organe public,
c. la divulgation de l’information compromet l’effet des mesures d’enquête, de sécurité ou de surveillance,
d. la communication de l’information porte atteinte aux relations entre les communes, avec un autre canton, avec la Confédération ou avec l’étranger,
e. la communication porte atteinte à l’exécution conforme aux objectifs de mesures concrètes prises par les autorités.
3 Il y a intérêt privé notamment lorsque la divulgation de l’information porte atteinte à la vie privée de tiers.
VI Procédure d’accès à l’information
§ 24 Demande
1 Toute personne souhaitant accéder à des informations conformément à l’article 20, paragraphe 1, présente une demande écrite.
2 En réponse à des questions orales, l’organe public peut fournir des informations orales.
§ 25 Examen de la demande
1 L’organisme public peut rejeter une demande si elle porte sur des informations qui sont déjà publiques et disponibles de manière appropriée. Cette source doit alors être mentionnée.
2 Si le traitement de la demande occasionne un travail disproportionné à l’organe public, celui-ci peut faire dépendre l’accès à l’information de la preuve d’un intérêt digne de protection du requérant.
§ 26 Consultation des tiers concernés
1 Lorsque l’organe public souhaite accorder l’accès à l’information et que la demande concerne des données personnelles ou des informations classifiées comme confidentielles, l’organe public donne aux tiers concernés la possibilité de prendre position dans un délai raisonnable.
2 Si la demande concerne des données personnelles particulières, l’organe public rejette la demande si les tiers concernés n’ont pas expressément consenti à l’accès.
§ 27 Décision
1 L’organe public rend une décision lorsqu’il veut refuser, restreindre ou différer l’accès à l’information demandée.
2 S’il souhaite accorder l’accès aux informations contre la volonté de tiers, il en informe les tiers concernés par voie de décision.
§ 28 Délais
1 L’organe public accorde l’accès à l’information dans un délai de 30 jours à compter de la réception de la demande ou rend une décision limitant le droit d’accès.
2 Si l’organe public ne peut pas respecter ce délai, il informe le requérant, avant l’expiration de celui-ci, de la date à laquelle la décision relative à la demande sera rendue, en indiquant les motifs.
§ 29 Taxes et redevances
1 L’organe public perçoit un émolument pour le traitement des demandes des particuliers.
2 Aucune taxe n’est perçue
a. lorsque l’accès à l’information nécessite peu d’efforts,
b. pour le traitement des demandes qui concernent ses propres données personnelles,
c. lorsque la demande sert à des fins scientifiques et que les résultats du traitement permettent d’escompter une utilité pour le public.
3 Si le traitement de la demande entraîne des frais importants, l’organe public en informe le requérant. Dans ce cas, il peut exiger un paiement préalable approprié.
4 Si les informations se prêtent à une utilisation commerciale, une redevance peut être perçue en fonction du marché.
VII. délégué(e) à la protection des données
§ 30 Statut et salaire
1 Le Grand Conseil élit une préposée ou un préposé à la protection des données pour une durée de quatre ans.
2 Le salaire du ou de la préposé‑e à la protection des données correspond à 83% du montant maximal de la classe de salaire la plus élevée des employés cantonaux.
3 Le ou la préposé(e) à la protection des données est indépendant(e). Il ou elle est rattaché(e) administrativement à la direction du Grand Conseil.
§ 31 Personnel
1 Le droit du personnel du canton s’applique au préposé et à son personnel. Les dispositions de la présente loi sont réservées.
2 Le ou la préposé(e) est compétent(e) pour les embauches et les promotions de son personnel dans le cadre du budget approuvé par le Grand Conseil.
3 *Annulé*
§ 32 Gestion budgétaire, contrôle de gestion et comptabilité
1 Le ou la préposé(e) est soumis(e) à la loi sur le contrôle de gestion et la comptabilité (LCC) et aux décrets d’application du Conseil-exécutif relatifs à cette loi.
2 Il ou elle est assimilé(e) au Conseil d’Etat en ce qui concerne les compétences en matière de dépenses. Les §§ 19 – 25 CRG s’appliquent par analogie.
3 Le ou la mandataire tient sa propre comptabilité. Il ou elle soumet chaque année au Grand Conseil un aperçu de l’évolution des prestations et des finances, un projet de budget ainsi que les comptes.
§ 33 Chargés de mission dans les communes et les organisations
1 Les communes et les organisations visées au § 3 peuvent désigner leurs propres délégués. Le Conseil d’Etat peut obliger les communes comptant au moins 50 000 habitant-e‑s à le faire.
2 Les communes et les organisations visées au § 3 règlent de manière autonome le choix et l’organisation. Elles s’assurent que les préposés disposent des qualifications professionnelles nécessaires et qu’ils sont indépendants dans l’exercice de leurs tâches et de leurs compétences. Le ou la préposé‑e cantonal‑e exerce la haute surveillance.
§ 34 Tâches
Le ou la délégué(e)
a. soutient et conseille les organes publics en matière de protection des données,
b. conseille les particuliers sur leurs droits,
c. contrôle l’application des règles relatives à la protection des données,
d. joue le rôle de médiateur entre les personnes concernées et les organes publics en cas de litige concernant la protection des données,
e. informe le public sur les questions relatives à la protection des données,
f. évalue les actes législatifs et les projets qui concernent la protection des données,
g. propose des formations initiales et continues sur les questions de protection des données.
§ 35 Pouvoirs de contrôle
1 Le préposé peut demander des renseignements sur le traitement de données auprès des organes publics et des tiers mandatés conformément au § 6, nonobstant une éventuelle obligation de garder le secret, consulter les données et se faire présenter les traitements, dans la mesure où cela est nécessaire à son activité.
2 Les organes publics et les tiers mandatés participent à l’établissement des faits.
§ 36 Recommandations
1 Si le préposé constate une violation des dispositions relatives à la protection des données, il fait une recommandation à l’organe public sur les mesures à prendre.
2 Si l’institution publique ne suit pas une recommandation, elle en informe le délégué à la protection des données en indiquant les raisons.
§ 36a Mesures administratives
1 Si, en cas de violation grave des dispositions relatives à la protection des données, l’organe public ne suit pas une recommandation, le préposé peut décider d’adapter, d’interrompre ou d’annuler tout ou partie du traitement et d’effacer ou de détruire tout ou partie des données personnelles.
2 L’organe public concerné peut contester les décisions du préposé par un recours devant le tribunal administratif. Les parties sont le préposé et l’organe public concerné.
§ 37 Coopération
Pour accomplir sa tâche de contrôle conformément au § 35, le préposé collabore avec les organes des autres cantons, de la Confédération et de l’étranger qui accomplissent les mêmes tâches.
§ 38 Obligation de garder le secret
Le ou la délégué(e) ainsi que les collaborateurs sont tenus au même devoir de discrétion que l’organe public traitant les informations dont ils prennent connaissance dans le cadre de leur activité.
§ 39 Rapports
Le préposé fait périodiquement rapport à l’organe électoral sur l’étendue et les priorités de ses activités, sur les constatations et évaluations importantes ainsi que sur les effets de la loi. Le rapport est publié.
§ 39a Protection juridique
1 Les décisions du ou de la préposé‑e en matière de droit du personnel ou d’administration peuvent faire l’objet d’un recours auprès de la délégation administrative de la direction du Grand Conseil.
2 L’obligation de garder le secret conformément au § 38 s’applique également aux instances de recours.
3 Pour le reste, la protection juridique est régie par la loi sur la procédure et la juridiction administratives du 24 mai 1959.
VIII Dispositions pénales
§ 40 Traitement de données personnelles contraire au contrat
1 Quiconque, en tant que personne mandatée conformément au § 6, utilise des données personnelles pour lui-même ou pour d’autres, ou les communique à d’autres, sans l’autorisation expresse de l’organe public qui l’a mandaté, est puni d’une amende.
2 L’enquête et le jugement des infractions incombent aux préfectures.
IX. Dispositions finales et transitoires
§ 41 Droit transitoire
L’organe public peut traiter ou communiquer des fichiers d’informations contenant des données personnelles particulières qui existent au moment de l’entrée en vigueur de la présente loi pendant cinq ans après l’entrée en vigueur de la présente loi, sans que les conditions du § 8, alinéa 2, ou du § 17, alinéa 1, lettre a, soient remplies.
§ 42 Adaptation des désignations
1 Dans les lois suivantes, l’expression «loi sur la protection des données» ou «loi sur la protection des données personnelles» est remplacée par l’expression «loi sur l’information et la protection des données» :
a. Loi sur l’externalisation des services informatiques : § 3, alinéas 1 et 2,
b. Loi fiscale : § 122, alinéa 2.
2 Dans les lois suivantes, l’expression «données personnelles sensibles» ou «données sensibles» est remplacée par l’expression «données personnelles particulières» :
a. Loi sur l’externalisation des services informatiques : § 3, alinéa 1,
b. Loi sur le contrôle financier : article 25, paragraphe 2.
§ 43 Abrogation du droit en vigueur
L’entrée en vigueur de la présente loi entraîne l’abrogation de la loi du 6 juin 1993 sur la protection des données.
§ 44 Adaptation d’autres actes législatifs
Les lois suivantes sont modifiées comme suit :
a. Loi sur les communes (Gemeindegesetz) du 6 juin 1926 : …
b. Loi sur l’organisation et le règlement du Grand Conseil (loi sur le Grand Conseil) du 5 avril 1981 : …
c. Loi sur la protection juridique en matière administrative (Verwaltungsrechtspflegegesetz) du 24 mai 1959 : …
d. Loi sur les rapports de travail du personnel de l’Etat (loi sur le personnel) du 27 septembre 1998 : …
e. Loi sur la Caisse d’assurance du personnel de l’Etat du 6 juin 1993 : …
f. Loi du 24 septembre 1995 sur les archives : …
g. Loi sur les transports publics de voyageurs du 6 mars 1988 : …
h. Loi sur le contrôle de gestion et la comptabilité (LCC) du 9 janvier 2006 : …