Loi sur l’information et la protection des données (IDG ZH)
Alinéa 1Les domaines du principe de transparence et de la protection des données doivent continuer à être réglés dans un seul acte législatif, raison pour laquelle l’objet et le but de la LDI ne doivent pas être fondamentalement modifiés par la révision et que le contenu du § 1 al. 1 LDI est transféré dans la nouvelle réglementation. Les normes relatives au principe de transparence et à la protection des données sont certes clairement séparées dans le nouvel acte législatif. Le «traitement des informations» continue cependant de comprendre deux domaines :- garantir l’accès à l’information (mise en œuvre du principe de transparence) et
- la protection des droits fondamentaux des personnes dans le traitement des informations (protection des données).
Alinéa 2 let. a : le § 1 al. 2 let. a de la LDI est repris, mais complété par l’ajout «de garantir l’accès aux informations». L’art. 17 Cst. est ainsi mis en œuvre de manière reconnaissable dans sa finalité.
Lit. b : Désormais, la LDI doit également régler le traitement des données ouvertes des autorités (Open Government Data, OGD). L’extension de la finalité se justifie notamment par le fait que la mention explicite des OGD exprime la compréhension (élargie ou renforcée depuis l’introduction de la LDI) des données en tant que ressources. Dans ses décisions n° 1362/2021 et 1331/2022, le Conseil d’Etat a d’ailleurs expressément exprimé sa volonté de mettre à disposition des OGD.
Les OGD servent avant tout à la transparence : les autorités qui mettent à disposition des données non sensibles sous forme d’OGD remplissent leur mission d’information de manière appropriée et permettent de disposer d’une base d’information préparée sous une forme lisible par machine. Les OGD pourraient donc, dans le cadre d’une interprétation large, être également subsumées sous l’ancienne finalité. La libre réutilisation des données par des tiers est toutefois un aspect supplémentaire qui justifie une extension de la finalité. La disposition précise que les organes publics doivent, dans la mesure du possible, mettre à disposition les données des autorités et que l’utilisation de ces données par des particuliers doit également être encouragée. Cette exigence est mise en œuvre par les nouvelles dispositions relatives aux données ouvertes des autorités (cf. §§ 5, al. 5 et 15). La nouvelle disposition du § 44b OG RR s’applique en outre à l’administration cantonale.
Lit. c reprend l’actuelle let. b avec une adaptation linguistique («dont» au lieu de «sur lesquels»). En outre, le droit fondamental principalement concerné, le droit à l’autodétermination en matière d’information, qui fait partie du droit au respect de la vie privée (cf. ATF 144 I 126), est énuméré.
La nLPD limite son champ d’application aux personnes physiques. Ceci tout d’abord parce que les dispositions de l’Union européenne et du Conseil de l’Europe en matière de protection des données ne prévoient généralement pas de protection pour les personnes morales. La protection des personnes morales est certes garantie en premier lieu par les art. 28 ss du Code civil du 10 décembre 1907 (RS 210 ; atteintes à la personnalité comme par exemple l’atteinte à la réputation), la loi fédérale du 19 décembre 1986 sur la concurrence déloyale (RS 241), la loi fédérale du 9 octobre 1992 sur le droit d’auteur et les droits voisins (LDA ; RS 231.1) ou par les dispositions relatives à la protection des secrets professionnels, d’affaires et de fabrication ainsi que par l’art. 13 Cst. au niveau constitutionnel. Avec l’abrogation de la réglementation sur la protection des données des personnes morales dans la nLPD, des dispositions correspondantes ont toutefois été introduites dans la loi sur l’organisation du gouvernement et de l’administration du 21 mars 1997 (RS 172.010). Une solution correspondante ne s’offre pas dans le droit cantonal, car il n’existe pas de loi uniforme sur l’organisation du gouvernement et de l’administration pour les deux niveaux de l’Etat, canton et communes. En outre, on ne voit pas pourquoi la protection des données des personnes morales entraînerait des complications injustifiées et dans quelle mesure cela pourrait affaiblir la place économique zurichoise, comme cela est parfois avancé (voir les remarques correspondantes de Julian Powell, Die Revision der kantonalen Datenschutzgesetze, in : Jusletter, 31 mai 2021). La LDI n’impose pas d’obligations aux personnes morales, celles-ci étant régies de manière exhaustive par la LPD. La LDI apporte plutôt une protection supplémentaire aux personnes morales dans la mesure où des organes publics traitent leurs données personnelles. Le champ d’application de la LDI doit donc, avec la présente révision, englober sans changement la protection de la personnalité des personnes physiques et des personnes morales, même si la protection des données des personnes morales n’a qu’une importance pratique limitée.
La LDI régit le droit de la protection des données en général. Sous le droit en vigueur, il existe certes parfois une incertitude quant à la mesure dans laquelle les règles de la LDI ou celles des lois spéciales s’appliquent. Le principe selon lequel la LDI est une loi transversale est toutefois incontesté. Si des lois spéciales contiennent un droit de protection des données spécifique à un domaine ou règlent l’accès à l’information (p. ex. §§ 3a ss. de la loi sur l’école obligatoire du 7 février 2005 [LS 412.100]), les règles correspondantes priment sur celles de la LDI en vertu des règles générales de conflit de lois (cf. à ce sujet Beat Rudin, Überholte Ausnahmen beim Geltungsbereich, digma 2016, 122 ss). Certes, plusieurs lois cantonales sur la protection des données contiennent des dispositions correspondantes sur les conflits de lois (cf. par exemple la loi sur l’information et la protection des données du canton de Bâle-Campagne du 10 février 2011 et la loi sur l’information et la protection des données du canton de Bâle-Ville du 9 juin 2010). De telles dispositions légales ne sont toutefois guère aptes à apporter plus de clarté que les règles de conflit de lois généralement applicables, car il faut néanmoins décider pour chaque cas d’application particulier dans quelle mesure les dispositions de la loi spéciale priment sur les dispositions de la LDI. Il convient donc de renoncer à l’introduction d’une telle disposition.Il convient également de noter que les réglementations existantes dans des lois spéciales qui dérogent à la LDI concernent exclusivement l’accès à l’information. Ainsi, au niveau cantonal, mais aussi au niveau communal, l’accès aux informations qui dévoileraient le processus de formation de l’opinion de l’organe public est limité. Le § 23 alinéa 2 lettre b IDG (nouveau : § 11) autorise expressément des exceptions à cet égard. A titre d’exemple, on peut se référer à la réglementation du principe de collégialité dans le droit d’organisation des autorités concernées (cf. § 11 OG RR en relation avec le § 23 IDG et le § 2 al. 2 IDV, ce qui permet d’anticiper la pesée des intérêts ; cf. également les remarques relatives au § 11 al. 2 let. b et au § 18 let. a).
L’objectif du § 2a al. 1 LDI est de réglementer les droits de regard du Grand Conseil et de ses commissions pour le domaine du contrôle parlementaire par les commissions permanentes de surveillance. Il s’agit de faciliter l’activité de surveillance parlementaire du gouvernement, de l’administration et d’autres responsables de tâches publiques, ainsi que la marche des affaires des tribunaux cantonaux suprêmes, et d’empêcher ces organes d’invoquer la LDI dans le domaine de l’activité de surveillance du conseil cantonal. Le § 111 al. 1 de la loi du 25 mars 2019 sur le Grand Conseil (LGC ; LS 171.1) a créé à cet effet une disposition légale spéciale suffisante, qui prime sur la LDI. Les membres du Conseil d’Etat, des tribunaux suprêmes, des organes de direction des établissements autonomes ainsi que les employés du canton sont tenus, en vertu du § 111 al. 1 LCo, de fournir des renseignements aux commissions de surveillance du Grand Conseil et de leur remettre des dossiers. On peut donc renoncer à une disposition selon le § 2a al. 1 IDG. Le fait que le conseil cantonal ne soit pas soumis à la surveillance du préposé (§ 2a al. 2 LDI) est réglé dans les tâches du préposé (section 4, titre C. § 50 al. 2).
Alinéa 1 est repris tel quel de l’ancien droit (§ 2 IDG). En principe, la loi s’applique à tous les organes publics. Des exceptions sont prévues pour les organes publics qui participent à la concurrence économique (alinéas 2 et 3) et pour les tribunaux (§ 4), comme dans le droit en vigueur. Une autre exception résulte en outre de la primauté du droit de procédure (§ 3).
Par souci d’exhaustivité, il convient de préciser que la loi ne s’applique pas aux registres publics des relations de droit privé, notamment au registre du commerce. Les registres publics des relations juridiques privées, en particulier l’accès à ces registres et les droits des personnes concernées, sont régis par les dispositions des lois spéciales de droit fédéral, conformément à l’art. 2, al. 4, nLPD. Si celles-ci ne contiennent pas de réglementation, la nLPD s’applique. Il convient d’ajouter que la surveillance des autorités cantonales de registre est exercée par le préposé à la protection des données. Celui-ci applique la nLPD dans la mesure où le droit des registres est concerné.
Alinéa 2 correspond au contenu du § 2c IDG, mais la formulation a été adaptée. Tant les dispositions sur la protection des données que celles sur le principe de transparence ne s’appliquent pas à ces organes dans le domaine où ils participent à la concurrence économique. Un organe public participe à la concurrence économique lorsqu’il offre ses prestations sur le marché en concurrence avec d’autres fournisseurs et qu’il veut réaliser un bénéfice par son action. De plus, l’organe public doit agir selon le droit privé. Cela signifie que les partenaires contractuels doivent être libres de conclure un contrat et que leurs droits et obligations ne découlent pas d’une décision ou d’un contrat de droit administratif. En outre, seuls les tribunaux civils entrent en ligne de compte comme instances de recours en cas de litige. Si un organe public participe à la concurrence économique par des actions de droit privé, il ne devient pas pour autant une personne privée. S’il traite des données personnelles, les dispositions de la nLPD s’appliquent par analogie au traitement de données par des personnes privées (cf. Beat Rudin, in Beat Rudin/Bruno Baeriswyl [éd.], Praxiskommentar zum Informations- und Datenschutzgesetz des Kantons Basel-Stadt, 2014 [ci-après Praxiskommentar IDG BS], § 2 N. 12). L’applicabilité simplement par analogie s’explique par le fait que le droit fédéral de la protection des données ne s’applique qu’aux organes de la Confédération et aux particuliers. Le canton ne peut pas élargir ce champ d’application avec ses dispositions, mais il peut les déclarer applicables par analogie. La deuxième phrase du § 2c al. 2 IDG a été transférée dans les dispositions relatives aux tâches du ou de la préposé(e) à la protection des données (§ 50 al. 1). Cette disposition stipule que le ou la préposé(e) surveille les organes publics conformément au § 2.
Le contenu de cette disposition correspond au § 2b IDG. Pour l’accès aux informations dans le domaine des procédures civiles et pénales, l’application de la LDI doit continuer à être exclue en ce qui concerne les droits des personnes concernées ainsi que les droits de consultation de tiers. Toutefois, le lien est désormais établi avec les procédures et non plus avec les autorités concernées (tribunaux ou autorités de poursuite pénale selon le § 86 al. 1 let. b et c de la loi sur l’organisation judiciaire et les autorités de la procédure civile et pénale du 10 mai 2010 [GOG ; LS 211.1]). Ainsi, les procédures de conciliation sont désormais incluses dans le domaine des procédures civiles et les procédures d’amendes d’ordre dans le domaine des procédures pénales (let. a). Les procédures administratives menées devant les tribunaux (c’est-à-dire devant le tribunal administratif et les tribunaux qui lui sont subordonnés ainsi que le tribunal des assurances sociales) sont également régies exclusivement par le droit de procédure applicable (let. b). Les réglementations correspondantes dans les lois spéciales sont exhaustives. Pour les procédures pénales, l’accès à l’information est régi par les art. 100 s. du Code de procédure pénale suisse du 5 octobre 2007 (Code de procédure pénale ; RS 312.0) et par les §§ 150 et suivants du GOG. GOG sont réglés. Pour les procédures civiles, la réglementation se trouve au § 131 GOG. Pour la procédure devant le tribunal administratif et les tribunaux qui lui sont subordonnés, le § 8 al. 3 VRG renvoie, en ce qui concerne l’information sur les procédures judiciaires et la consultation des dossiers par des tiers, à l’ordonnance de la commission plénière des tribunaux conformément au § 73 al. 1 let. d GOG. En outre, le § 71 VRG renvoie au § 131 GOG, ce qui signifie que la même réglementation que pour les procédures civiles s’applique en principe. Pour le tribunal des assurances sociales, la réglementation correspondante se trouve au § 22 al. 2 de la loi sur le tribunal des assurances sociales du 7 mars 1993 (LS 212.81). A titre de restriction, il convient de mentionner que les exigences constitutionnelles en matière de publicité de la jurisprudence s’appliquent à la consultation des jugements, des ordonnances pénales et des ordonnances de non-lieu (cf. arrêts du Tribunal administratif VB.2010.00025 du 19 mai 2010 et VB.2018.00226 du 15 novembre 2018). Dans ce contexte, il convient toutefois d’ajouter que même dans le cas de jugements judiciaires en principe accessibles au public, il peut se justifier de ne rendre les jugements accessibles au public que de manière limitée, par exemple en rendant les noms anonymes, afin de protéger des intérêts publics ou privés liés au secret (cf. ATF 141 I 201 consid. 4.5.2 avec d’autres renvois). Cette réglementation dans la LDI vise à clarifier la situation et à exclure une application, même simplement complémentaire, de la LDI pour les droits des personnes concernées et les droits de consultation de tiers. En dérogation à l’actuel § 2b LDI, il ne sera plus question de «dispositions de lois spéciales», mais de «droit de procédure applicable». Il faut retenir que d’éventuelles dispositions de lois spéciales en dehors des lois de procédure proprement dites (Ordonnance de procédure civile du 19 décembre 2008 [RS 272], Code de procédure pénale et LRCF) tombent également sous la notion de «droit de procédure applicable» (ainsi par exemple les dispositions du LOG et de l’Ordonnance sur l’information et la consultation des dossiers des tribunaux cantonaux supérieurs du 12 juillet 2021 [LS 211.15]). Toutefois, à la différence de la formulation utilisée dans la nLPD, le traitement des données personnelles n’est pas soumis de manière générale au droit de procédure applicable. Les principes du droit de la protection des données (par ex. la sécurité de l’information) doivent s’appliquer parallèlement au droit de procédure. En effet, le droit procédural (en particulier le code de procédure pénale, le code de procédure civile et la LRCF) ne contient aucune disposition à ce sujet. Par «tiers», on entend les personnes dont les données personnelles ne sont pas traitées dans la procédure concernée, mais qui demandent à consulter des dossiers, par exemple dans le cadre d’une demande d’édition. Pour ces personnes également, seul le droit de procédure applicable est valable.Sur la base des réponses reçues dans le cadre de la procédure de consultation, la disposition a été complétée par le domaine des procédures administratives non clôturées par une décision entrée en force (jusqu’ici régies par le § 20 al. 3 LDI). Il s’agit de toutes les procédures administratives visant à l’adoption d’une décision, ainsi que des procédures de recours et de réclamation de droit administratif, c’est-à-dire de toutes les procédures administratives non closes par une décision entrée en force et régies par la LRCF (Alain Griffel, in : Alain Griffel [éd.], Kommentar zum Verwaltungsrechtspflegegesetz des Kantons Zürich [VRG], 3e édition, Zurich/Bâle/Genève 2014 [zit. Kommentar VRG], § 8 N. 7 et 23 ss). Pour le domaine de ces procédures administratives également, la primauté du droit de procédure continue ainsi d’être expressément fixée dans la LDI. Le § 8 VRG règle la consultation des dossiers pour les procédures en cours. Seules les personnes touchées par une décision ou ayant un intérêt digne de protection à son annulation ou à sa modification peuvent consulter le dossier. Pour la consultation des dossiers en dehors des procédures formelles ou après l’existence d’une décision entrée en force, le droit de consultation des dossiers est en revanche régi par la LDI, conformément au § 8 phrase 2 VRG. Cela ne peut toutefois s’appliquer que dans la mesure où aucune loi spéciale ne règle l’état de fait en question et où il n’existe aucun droit fondé sur l’art. 29 al. 2 Cst.
Par souci d’exhaustivité, il convient de préciser que l’actuelle disposition d’exception relative à la surveillance du préposé (§ 2b al. 3 LDI) est inscrite dans la section relative au préposé à la transparence et à la protection des données (section 4, C. Tâches dans le domaine de la protection des données, § 50 al. 2). Est également transférée dans le nouveau droit la réglementation du § 14 al. 3 LDI, qui définit les cas dans lesquels des informations peuvent être fournies sur des procédures non closes par une décision entrée en force (§ 14 al. 2).
Les tribunaux doivent être exclus de l’application du principe de transparence, comme cela était le cas selon le § 2 al. 1 LDI dans la version en vigueur jusqu’au 31 mai 2020. Selon cette disposition, les tribunaux n’étaient soumis à la LDI que dans la mesure où ils accomplissaient des tâches administratives (§ 2 al. 1 LDI dans la version antérieure au 1er juin 2020). Cela est admissible, car les prescriptions de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données (directive UE 2016/680) et de la convention STE 108 ne s’appliquent pas aux activités d’information des organes publics. Pour les tribunaux, le champ d’application du principe de transparence peut donc être (à nouveau) limité. Lors de la révision du 25 novembre 2019, cette demande n’a pas pu être réalisée en raison du fait que l’ancienne LDI ne connaissait pas de séparation entre le principe de transparence et la protection des données. Il convient en outre de préciser que la loi fédérale du 17 décembre 2004 sur le principe de la transparence dans l’administration (LTrans ; RS 152.3) ne s’applique pas non plus aux tribunaux.
1 Les organes publics sontLes définitions actuelles de l’art. 3 LDI doivent être transférées dans une large mesure dans la nouvelle loi. Elles doivent toutefois être complétées par une définition des données ouvertes des autorités (al. 5). Il convient de mentionner que les notions utilisées jusqu’à présent ne correspondaient déjà pas entièrement à celles de la loi fédérale sur la protection des données. En particulier, la LDI parle de «données personnelles particulières», contrairement à la nLPD qui utilise le terme de «données personnelles sensibles». Comme l’ensemble de l’ordre juridique du canton de Zurich repose sur la définition actuelle des termes, une modification des termes entraînerait des frais considérables. Etant donné que le choix de la notion n’a pas de conséquences matérielles et qu’il n’y a pas de gain important à attendre d’une adaptation de la notion, il est renoncé à une telle adaptation.
Alinéa 1 est repris tel quel de l’ancien droit. Lit. a : Il convient de mentionner que cette disposition s’applique également aux communes associées en tant qu’organe de réunion des syndicats de communes, sur la base du renvoi du § 73, alinéa 4, de la loi sur les communes du 20 avril 2015 (GG ; LS 131.1).
Lit. c : Parmi les personnes morales de droit public cantonal et communal, on trouve par exemple les corporations de droit public du canton suivantes : Université de Zurich, Zürcher Fachhochschule ou les différentes hautes écoles, Elektrizitätswerke des Kantons Zürich et Gebäudeversicherung Kanton Zürich (cf. Beat Rudin, in : Bruno Baeriswyl/Beat Rudin [éd.], Praxiskommentar zum Informations- und Datenschutzgesetz des Kantons Zürich [IDG], Zurich 2012 [zit. Praxiskommentar IDG], § 3 N. 5).
Alinéa 2 correspond à l’actuel § 3 al. 2 phrase 1 IDG.
Par enregistrements, on entend essentiellement les «dossiers» au sens du § 3 de la loi sur les archives du 24 septembre 1995 (LS 170.6) et donc tous les enregistrements écrits, électroniques et autres des organes publics ainsi que les documents complémentaires, notamment les répertoires correspondants. De plus, la LDI n’englobe pas seulement les informations lorsqu’elles sont matérialisées de manière durable. Les informations qui ne sont «saisissables» que pendant une très courte période (comme par exemple le simple monitoring en cas de vidéosurveillance) tombent également sous le coup de la LDI. Toutefois, l’accès à ces dernières informations n’est pas possible, car il n’y a pas de stockage. La question de savoir si les informations doivent être enregistrées, c’est-à-dire matérialisées et conservées en conséquence, est déterminée par les règles d’une gestion appropriée des informations (traçabilité et responsabilité).
L’exception pour les «enregistrements non achevés et les enregistrements destinés exclusivement à l’usage personnel» (§ 3 al. 2 phrase 2 LDI), jusqu’à présent réglée dans cette disposition sous le droit en vigueur, est désormais régie par le § 18 let. c. Les principes de protection de la LDI (p. ex. la sécurité de l’information et la finalité) doivent également s’appliquer à ces enregistrements, raison pour laquelle ils ne doivent pas être exclus de manière générale du champ d’application. En outre, les enregistrements non finalisés sont bien des informations de l’organe public, mais ils doivent être (provisoirement) exclus de l’accès aux informations (cf. Beat Rudin, in : Praxiskommentar IDG, § 3 N. 9). Ces deux types d’enregistrements sont donc désormais exclus de l’accès à l’information au § 18. Il convient toutefois de noter que les conséquences concrètes sont minimes. A l’avenir également, les demandes d’accès à l’information qui visent de tels enregistrements pourront être rejetées sans que l’organe public ne doive procéder à une pesée des intérêts conformément au § 11.
al. 3 est reprise telle quelle de la législation en vigueur.
Le préambule de l’al. 4 est repris du droit en vigueur avec une adaptation linguistique. Il convient de noter que les «données personnelles particulières» décrites à l’al. 4 sont également des données personnelles au sens de l’al. 3. Des règles particulières s’appliquent toutefois à ces données personnelles particulières dans certains domaines. Si tel est le cas, cela est expressément mentionné dans le texte de loi.
La nouvelle formulation exprime qu’en plus de la let. a, qui comprend la définition courante des données personnelles particulières, le profilage et l’établissement de profils de la personnalité (let. b et c) doivent bénéficier de la même protection que les données personnelles particulières. Contrairement à la nLPD, le profilage et l’établissement de profils de la personnalité ne sont donc volontairement pas considérés comme des catégories distinctes. Cela s’explique notamment par le fait que la LDI – contrairement au droit fédéral de la protection des données – ne s’applique qu’aux organes publics. De plus, la classification choisie permet de ne pas toujours mentionner les trois catégories. Il convient en outre de retenir que la définition du profilage utilisée dans le projet correspond pour l’essentiel à l’art. 5, let. g, nLPD et donc au profilage à haut risque.
La let. a contient la définition courante des données personnelles particulières et est reprise telle quelle du droit en vigueur.
En ce qui concerne les opinions ou activités protégées selon le point 1, il faut ajouter que leur protection est déjà assurée par la protection des droits fondamentaux garantie par l’art. 8 al. 2 Cst. Ce qui est déterminant, c’est de savoir si, dans le contexte en question, il existe un «risque particulier d’atteinte à la personnalité». La disposition de la LDI n’offre par contre aucune protection supplémentaire et pourrait en principe être abandonnée. On renonce toutefois à omettre le ch. 1, notamment au regard de la nLPD.
Il convient de préciser que la protection de la personnalité des personnes publiques peut être limitée. Dans chaque cas, il convient de déterminer, par une pesée des intérêts, si le traitement de données relatives à des personnes publiques est autorisé ou non (cf. par exemple ATF 127 III 481 p. 488 ss).
Les données relatives à la «sphère intime» comprennent notamment les données relatives à la vie sexuelle ou à l’orientation sexuelle. Elles comprennent également des informations sur l’identité sexuelle (p. ex. transidentité, identité non binaire) ou sur des variantes du développement sexuel. Le sexe inscrit dans le registre d’état civil ne constitue cependant pas une donnée personnelle particulière.
Par «données biométriques» (ch. 2), on entend les données personnelles qui sont obligatoirement obtenues par un procédé technique spécifique permettant d’identifier ou d’authentifier une personne physique de manière univoque (FF 2017 6941). On peut citer comme exemples les empreintes digitales numériques, les images du visage, les images de l’iris ou les enregistrements de la voix. Le traitement de données biométriques porte atteinte au droit à l’autodétermination en matière d’information et est donc soumis à la protection de l’art. 13, al. 2, Cst. Ainsi, le traitement de données correspondantes suppose déjà, sur la base de la Constitution fédérale, qu’il existe une base légale suffisante et que l’atteinte aux droits fondamentaux soit justifiée par un intérêt public suffisant et proportionnée. En outre, l’ingérence ne doit pas porter atteinte à l’essence du droit fondamental (art. 36 Cst.). Cette protection, fixée en principe par la Constitution fédérale, est complétée par les lois sur la protection des données de la Confédération et des cantons et concrétisée par la jurisprudence du Tribunal fédéral. Dans le canton de Zurich, les données biométriques sont déjà considérées comme des données personnelles particulières depuis la révision de la LDI du 25 novembre 2019 (§ 3 al. 4 let. a ch. 2 LDI). Le projet de loi ne modifie pas cette situation. Le traitement de données biométriques n’est donc autorisé que si les conditions strictes relatives au traitement de données personnelles particulières sont respectées. Les exigences posées au traitement de données biométriques dans le canton de Zurich correspondent ainsi à celles de la loi fédérale révisée sur la protection des données (cf. également § 25).
Les exigences suivantes sont ainsi posées pour le traitement des données biométriques :
En ce qui concerne les exigences relatives à la base juridique du traitement de données personnelles particulières (§ 25), une densité normative suffisante, c’est-à-dire une base suffisamment précise dans une loi formelle, est requise (§ 25, let. a). En outre, le traitement de données biométriques peut également avoir lieu, mais uniquement s’il est indispensable à l’accomplissement d’une tâche définie dans une loi, si le but du traitement ne présente pas de risque particulier pour les droits fondamentaux de la personne concernée et si le traitement des données est en outre réglé dans une ordonnance (§ 25, let. b). Une référence globale à la garantie de la sécurité publique, à la protection des personnes ou à l’accomplissement de tâches policières ne peut donc pas être suffisante pour justifier un traitement de données biométriques. La crainte exprimée par une partie des participants à la consultation que l’utilisation de données biométriques produites dans l’espace public par des caméras de surveillance puisse conduire à une restriction des droits fondamentaux (par exemple de la liberté de réunion) est donc infondée : Une telle utilisation des données serait liée à un danger pour les droits fondamentaux et nécessiterait donc, selon la formulation du § 25, lettre b, une base légale (formelle). Il convient en outre de noter que la clause générale de police ne justifie pas une surveillance au moyen de données biométriques, même sur la base de la jurisprudence du Tribunal fédéral. Dans l’ATF 146 I 11 relatif à l’exploitabilité des enregistrements policiers de la recherche automatique de véhicules et de la surveillance du trafic dans le canton de Thurgovie, celui-ci a constaté que la saisie de données d’identification par les autorités cantonales à l’aide de plaques de contrôle dans le cadre d’un système de surveillance du trafic et la mise en relation de ces données avec d’autres banques de données en l’espace de quelques secondes constituaient une atteinte aux droits fondamentaux selon l’art. 13 al. 2 Cst. Dans le cas en question, le Tribunal fédéral a considéré que la base légale n’était pas suffisante. Ces exigences posées par le Tribunal fédéral en matière de base légale devraient s’appliquer à plus forte raison si les autorités cantonales recouraient à un système de surveillance et d’identification par reconnaissance faciale. Dans le canton de Zurich, la surveillance audiovisuelle par la police avec possibilité d’identification des personnes est en outre réglementée de manière exhaustive aux §§ 32b et 32c de la loi sur la police du 23 avril 2007 (PolG ; LS 550.1). Ces dispositions délimitent étroitement la surveillance. Une surveillance policière de masse au moyen de systèmes techniques, redoutée par une partie des participants à la consultation, n’est pas autorisée par ces dispositions.
Il convient d’ajouter que le principe de proportionnalité dans le droit de la protection des données présuppose que le nombre de données personnelles produites doit être le plus faible possible (§ 29, al. 3). En outre, le principe de finalité impose que les données ne soient traitées que dans le but pour lequel elles ont été collectées (§ 26 al. 1, avec des exceptions de base juridique ou de consentement). Pour chaque traitement de données, la finalité du traitement doit être définie et respectée. L’utilisation de la reconnaissance faciale automatique à des fins de prévention générale des risques porterait atteinte à cette exigence, raison pour laquelle elle violerait également le principe de proportionnalité.
Il ressort de ce qui précède que les organes publics du canton ne peuvent utiliser la reconnaissance faciale à des fins d’identification dans l’espace public que s’il existe une base légale formelle régissant expressément le traitement des données biométriques. En plus de cette exigence de base légale, le traitement de données biométriques doit – comme toute atteinte aux droits fondamentaux – être justifié par un intérêt public suffisant et être proportionné. Ensuite, la surveillance ne doit pas porter atteinte à l’essence des droits fondamentaux concernés (art. 36 Cst.). D’un point de vue juridique, il n’est donc pas nécessaire d’interdire expressément l’utilisation par l’Etat de la reconnaissance faciale automatique, comme cela a été en partie demandé lors de la consultation (Nadja Braun Binder/Eliane Kunz/Liliane Obrecht, Maschinelle Gesichtserkennung im öffentlichen Raum, in : sui generis 2022, ch. marg. 36). En outre, une interdiction générale n’apporterait pas non plus une plus grande sécurité juridique, car les exceptions prévues par des lois spéciales resteraient possibles et primeraient sur une interdiction de principe dans la LDI en raison des règles générales de conflit de lois.
Il convient en outre de noter qu’une interdiction générale serait également contraire à la neutralité technologique visée par la législation sur la protection des données. Les innovations doivent en principe être rendues possibles, mais les risques qui y sont liés doivent être limités. Dans le cas présent, les exigences constitutionnelles et légales mentionnées répondent à cet objectif. Par souci d’exhaustivité, il convient d’ajouter que le traitement des données biométriques par des personnes privées est réglé de manière exhaustive par la loi fédérale sur la protection des données. Le canton n’est donc pas compétent pour édicter des dispositions légales relatives au traitement de données biométriques par des personnes privées, même s’il concerne l’espace public.
Les chiffres 3 et 4 correspondent au droit en vigueur. Au ch. 3, on parle toutefois désormais de «mesures d’aide sociale» au lieu de «mesures d’aide sociale».
Au ch. 4, il est désormais question de poursuites ou de sanctions administratives au lieu de poursuites ou de sanctions administratives. Cela correspond au § 44a al. 3 let. b OG RR et est utilisé dans le § 59 al. 2 let. b de la loi sur la santé du 2 avril 2007 (LS 810.1).
En ce qui concerne la lettre b, il convient de mentionner que ni le droit européen ni la nLPD ne connaissent une protection particulière du profil de la personnalité par rapport aux données personnelles particulières. La directive européenne 2016/680 et la nLPD réglementent le «profilage» ou le «profilage à haut risque», qui est un type de traitement particulier devant répondre aux mêmes exigences que le traitement de données personnelles particulières. Ces exigences issues de la directive européenne 2016/680 ont déjà été satisfaites par la révision du 25 novembre 2019 (al. 4, let. c). La notion de profil de la personnalité peut toutefois être maintenue à titre complémentaire (cf. Julian Powell, Die Revision der kantonalen Datenschutzgesetze, in : Jusletter, 31 mai 2021, et Beat Rudin, Anpassungsbedarf in den Kantonen, digma 2017, 58 ss).
Lit. c : La définition utilisée ici correspond au «profilage à haut risque» selon l’art. 5, let. g, nLPD : si le traitement automatisé de données personnelles permet d’analyser des évolutions personnelles essentielles ou de prédire des évolutions personnelles, cela justifie le même traitement que le traitement de données personnelles particulières. L’analyse de caractéristiques personnelles essentielles ou la prévision d’évolutions personnelles au moyen d’évaluations automatisées correspond au «traitement automatisé … permettant d’évaluer des aspects essentiels de la personnalité d’une personne physique» réglementé par la nLPD (art. 5, let. g, en relation avec la let. f nLPD).
alinéa 5 : Les données publiques ouvertes (également appelées Open Government Data, OGD) ont pour but de rendre les données publiques accessibles à la recherche, à la société civile et à l’économie afin de créer de la valeur ajoutée et de servir ainsi de ressources. Les informations doivent donc être accessibles gratuitement et publiées sous une forme lisible par machine.
L’importance de l’ouverture des données publiques a été reconnue ces dernières années par la société et la législation, tant au niveau national qu’international. La mise à disposition de données publiques ouvertes est dans l’intérêt de la transparence et de l’efficacité, de la démocratie et de la participation, et présente en outre des avantages économiques pour le public. Le développement de l’ouverture des données des autorités favorise en outre la mise en place et l’optimisation de processus axés sur les données au sein de l’administration. Le Conseil-exécutif a pris position dans plusieurs décisions et a fixé des garde-fous avec la stratégie de l’administration numérique, les principes directeurs «ensemble sur la voie du numérique» et l’objectif stratégique de l’utilisation des données des autorités comme ressource stratégique (cf. ACE n° 390/2018, 1362/2021 et 1331/2022). En tant que loi transversale régissant le traitement des informations et la protection des données, la LDI se prête bien à l’inscription explicite de la possibilité d’utiliser l’OGD comme instrument d’information et à la réglementation des principes. Une définition doit donc être insérée dans les notions (§ 5 al. 5). Les droits et obligations des organes publics en rapport avec l’OGD sont réglés dans la partie relative à l’information et, pour l’administration cantonale, dans l’OG RR (cf. ci-après § 15 ainsi que § 44b P‑OG RR).
L’importance des données publiques ouvertes est un sujet de discussion à tous les niveaux de l’État. Ainsi, la ville de Zurich a déjà adopté des règlements sur l’OGD. Depuis le 1er septembre 2021, le principe «open by default» est en vigueur dans la ville de Zurich (règlement sur l’ouverture des données administratives, AS 170.410 ; stadtzuerich.ch/portal/fr/index/politik_u_recht/amtliche_sammlung/inhaltsverzeichnis/1/1/170/410.html). Selon ce texte, l’administration doit mettre à la libre disposition du public des jeux de données existants par défaut s’ils ne contiennent pas de contenus nécessitant une protection. Au niveau fédéral également, la loi fédérale sur l’utilisation de moyens électroniques dans l’accomplissement des tâches des autorités (LMEB), adoptée par les Chambres fédérales le 17 mars 2023, prévoit à l’art. 10 le principe «open by default» (FF 2023 787). Enfin, il existe déjà en Allemagne des normes relatives à l’OGD, qui prévoient également la publication standardisée des jeux de données existants (§ 12a de la loi sur la promotion de l’administration électronique ; www.gesetze-im-internet.de/ egovg/ 12a.html).
Par données ouvertes des autorités, on entend des informations qui sont librement accessibles et réutilisables sans restriction d’utilisation. Les informations qui touchent à la sphère privée des personnes physiques ou morales ou qui sont critiques pour la sécurité ne peuvent donc pas être mises à disposition en tant que données publiques ouvertes.
Les droits de tiers (tels que les droits de propriété intellectuelle), qui limitent la libre réutilisation des informations, empêchent également leur publication en tant qu’OGD. L’exigence de libre utilisation exclut la publication de données qui sont protégées par le droit de la propriété intellectuelle. Ainsi, les œuvres au sens de l’art. 2 LDA, comme les photos, ne peuvent pas être publiées en tant que données publiques ouvertes si elles sont soumises au droit d’auteur. Les photos prises sur mandat de l’Etat doivent toutefois être libérées conformément à une motion soutenue par le Conseil fédéral et le Conseil national (cf. motion 21.4195 de Gerhard Andrey concernant la libération des photos de la Confédération sur le portail Open Government Data). Si les sources doivent être indiquées, les informations ne sont librement utilisables qu’avec l’indication de la source.
Les informations doivent ensuite être publiées sous une forme lisible par une machine. Par «forme lisible par machine», on entend un format de fichier qui permet une réutilisation aisée. La lisibilité par machine dépend donc de l’état de la technique et peut tout à fait évoluer. Le cas échéant, le Conseil d’Etat peut édicter des dispositions d’exécution à ce sujet. Le traitement sous une forme lisible par machine devra notamment être effectué pour les statistiques, les rapports de gestion, les bilans, les factures et autres documents similaires.
Il convient de noter que la notion de données ouvertes des autorités doit être distinguée de la notion de fichiers d’informations, utilisée au § 13, alinéa 2. Selon la terminologie du § 6 OID, la notion de fichiers d’informations comprend les systèmes de classement et les collections de données. Cette notion devra être vérifiée et, le cas échéant, adaptée dans le cadre de l’adaptation de l’ordonnance, compte tenu également du § 44a P‑OG RR. En revanche, les données ouvertes des autorités ne peuvent être ni des «fichiers» ni des «banques de données», mais uniquement leur contenu. Les fichiers d’informations selon le § 14 al. 4 LDI (ou § 13 al. 2 du projet) sont donc une condition préalable pour que les personnes intéressées sachent quelles informations sont disponibles auprès d’une autorité et que l’organe public sache lesquelles doivent être mises à disposition en tant que données ouvertes des autorités.
Alinéa 6 doit être repris tel quel du § 3 al. 5 LDI dans le nouveau droit. Au lieu de «remanier», on utilise le terme plus courant de «modifier» et, en outre, la prise de connaissance est également mentionnée expressément. En complément, il convient de noter que la transmission d’informations aux archives est réglée au § 9. Le traitement par les archives relève alors de la loi sur les archives.
al. 7 correspond à l’actuel § 3 al. 6 LDI et doit être repris tel quel dans le nouveau droit.
Le § 4 de la LDI doit être repris tel quel. Cette disposition ne fait que poser les bases pour que l’information puisse être transparente. Les organes publics sont donc tenus de s’organiser de manière à ce que l’information active du public ainsi que l’accès à l’information et les renseignements sur les données personnelles puissent être accordés rapidement. Il ressort de la place de la disposition dans la section 1, Dispositions générales, que tous les organes publics sont tenus d’agir de manière transparente et compréhensible. La disposition s’applique donc également aux tribunaux, auxquels les dispositions de la section 2 de la loi, Principe de transparence (§§ 13 et suivants), ne sont pas applicables.
Outre l’art. 17 Cst., cette disposition met également en œuvre un aspect de l’art. 49 Cst. Le § 6 met en œuvre le principe de transparence et crée la base pour que les organes publics puissent informer de manière complète et objective. Le § 6 est donc une base nécessaire à la mise en œuvre du principe de transparence, mais ne peut pas être assimilé à ce dernier.
Le droit de chacun et chacune à l’accès aux informations est réglé par l’art. 17 Cst. et mis en œuvre dans le § 17.
al. 2 : Le contenu de cette disposition est repris du § 5, alinéa 1, phrase 1 du droit en vigueur et s’applique également à tous les organes publics. Le conseil cantonal et les tribunaux sont également tenus de gérer les informations de manière appropriée. La mise en œuvre pour les différents organes publics se fait alors dans les lois spéciales.
alinéa 3 : Comme sous le droit en vigueur (§ 5 al. 4 IDG), le Conseil d’Etat doit édicter des dispositions d’exécution pour l’administration cantonale. Il a édicté des règles correspondantes dans l’ordonnance sur la gestion et la sécurité de l’information du 3 septembre 2019 (IVSV ; LS 170.8). Le § 6 al. 1 portant sur le droit organisationnel, les dispositions d’exécution y afférentes relèvent du domaine d’autonomie des différents organes. Le droit en vigueur limite donc expressément la compétence du Conseil d’Etat pour édicter des dispositions d’exécution à l’administration cantonale. Les communes du canton de Zurich disposent d’une grande autonomie, qui doit être respectée. Toutefois, les communes sont de tailles différentes et disposent de ressources en personnel différentes. Il semble donc judicieux que les règles du canton s’appliquent, au sens d’une disposition de référence, à toutes les communes qui n’édictent pas leurs propres règles. Dans ce contexte, les éventuelles dispositions des communes doivent répondre à un standard minimal et ne doivent pas contredire le sens et le but de la LDI. Elles doivent donc au moins garantir que l’action administrative soit compréhensible et que la capacité à rendre des comptes soit assurée. Si un règlement communal ne satisfaisait pas aux exigences d’une gestion administrative compréhensible, il serait possible d’intervenir dans le cadre de la surveillance des communes. En complément, il convient de souligner que l’OAI est déjà largement appliquée par les communes aujourd’hui.
La deuxième phrase du § 5 al. 1 LDI est transférée dans un paragraphe séparé afin d’améliorer la clarté et de mettre en évidence la nécessité des réglementations correspondantes. La réglementation vise les compétences organisationnelles et techniques, raison pour laquelle il n’est plus question de «responsabilité», mais désormais de «compétence». Les organes publics doivent se concerter sur les tâches qu’ils doivent accomplir : ils doivent ainsi régler quel organe public surveille les objectifs de protection. Dans la mesure du possible, ils devraient également définir quel organe traite les demandes d’information.
Le § 5 alinéa 2 IDG règle le délai de conservation. Celui-ci sert à ce que l’organe public puisse garantir la traçabilité et la capacité de rendre compte même après la clôture du dossier. Sous réserve d’une réglementation différente dans une loi spéciale, le délai de conservation est de dix ans. La loi sur les archives contient également une réglementation correspondante (cf. § 8 al.1 de la loi sur les archives : «En règle générale, les organes publics proposent leurs dossiers aux archives compétentes dans un délai de dix ans à partir du moment où ils n’en ont plus besoin»). Cette duplication n’est pas judicieuse. La conservation des dossiers et la proposition des dossiers aux archives compétentes sont – avec l’éventuelle destruction – les derniers actes d’un organe public dans le cadre de son action administrative et relèvent donc du champ d’application de la LDI. La réglementation doit donc être maintenue dans la LDI et le lien entre les lois doit être établi par un renvoi dans la loi sur les archives (cf. modification correspondante de la loi sur les archives en annexe, modification de la loi sur les archives).
al. 1 : Conformément au droit en vigueur (§ 5 al. 2 LDI), le délai de conservation de base doit être de dix ans. Si des délais de conservation différents sont nécessaires, ils doivent être réglés dans les lois spéciales correspondantes. Si les informations ne sont plus nécessaires, elles sont conservées dans un fichier dit intermédiaire. Cela est nécessaire, car l’organe public doit pouvoir rendre des comptes pendant un certain temps. Une destruction immédiate des dossiers rendrait cela impossible. En outre, il convient de noter que l’administration dispose également d’informations dont elle a besoin en permanence pour agir (par exemple des avis sur certaines questions d’action administrative). Elle peut conserver ces informations en permanence.
al. 2 : A l’expiration du délai de conservation, les informations sont proposées aux archives compétentes et détruites. Alors que la LDI parle d«»informations”, le droit des archives utilise le terme de
«dossiers» et les définit dans l’article 3 de la loi sur les archives comme «les documents écrits, électroniques et autres des organes publics ainsi que les documents complémentaires, en particulier les répertoires correspondants». En ce qui concerne la conservation, les termes se recoupent. Afin d’uniformiser l’utilisation des termes dans la LDI, le terme «informations» doit être conservé.
En ce qui concerne l’obligation de proposer les documents, il convient de noter que les enregistrements non terminés ne doivent être proposés aux archives, conformément au § 18, lettre c, que s’ils ne sont jamais terminés et qu’un dossier est néanmoins clos. En revanche, si un enregistrement est achevé, c’est la version terminée qui doit être archivée, car c’est la seule qui doit être versée au dossier. Cela correspond à la pratique actuelle.
Il convient d’ajouter que l’institution publique doit détruire les informations qu’elle détient dans ses dossiers. Il s’ensuit qu’il n’est pas tenu de détruire les informations mises à la disposition du public en tant qu’OGD ou d’une autre manière.
Lit. a : Les institutions publiques doivent détruire toutes les données qui ne sont pas archivées.
Lit. b : Toutes les copies d’informations archivées doivent également être détruites. Cela vaut en particulier aussi pour les dossiers électroniques et les copies de sauvegarde. Dans le cas des systèmes électroniques, cette opération peut être automatisée au moyen d’une architecture de système appropriée.
Cette disposition s’applique à toutes les informations, donc également aux données personnelles, et doit donc être intégrée dans la partie générale. L’al. 2 doit être complété en s’inspirant de la réglementation de l’art. 9 nLPD.
al. 1 : Le § 6 al. 1 IDG doit être repris tel quel dans le nouveau droit.
al. 2 : En raison de l’externalisation croissante du traitement des données par les autorités (notamment dans le cloud), il est justifié d’exiger des conditions plus strictes et surtout plus claires. Il convient de souligner qu’il s’agit ici – par exemple à la différence du § 7 – d’une responsabilité de l’organe public et non d’une simple compétence.
La let. a correspond pour l’essentiel à l’art. 9, al. 2 nLPD, la notion de sécurité de l’information étant utilisée conformément à la terminologie de la LDI.
La let. b reprend l’art. 9, al. 1, let. a nLPD. Cette disposition garantit en même temps que les tiers auxquels des tâches sont confiées doivent être soumis à une législation qui assure une protection des données équivalente à celle de la LDI. Pour la communication transfrontalière de données, il convient de se référer en complément au § 36.
La let. c garantit que la sous-traitance ne sera effectuée qu’avec l’accord de l’organe public responsable (cf. art. 9, al. 3, nLPD). La forme sous laquelle l’accord doit être donné peut être réglée par voie d’ordonnance. Aujourd’hui déjà, le § 25 de l’OID exige la forme écrite dans la mesure où le traitement des informations par des tiers n’est pas réglé par la loi.
Le § 7 al. 1 et 2 LDI peut être repris tel quel dans le nouveau droit. Leur contenu correspond à celui de l’art. 7, al. 1 nLPD.
Les objectifs de protection actuels sont repris avec de légères adaptations de la formulation.
alinéa 3 : La nouvelle formulation de l’al. 3 vise à reprendre dans la LDI l’approche basée sur les risques qui est exprimée dans les art. 7 et 8 nLPD. Les mesures doivent être déterminées en fonction du risque que présente le traitement de données en question pour la personnalité et les droits fondamentaux des personnes concernées. Ce principe doit s’appliquer de manière générale, raison pour laquelle la disposition doit être intégrée dans la partie générale de la LDI. Le principe de la protection des données par défaut («privacy by default» ; art. 7, al. 3, nLPD) ne concerne que les données personnelles et est réglé dans les dispositions relatives à la protection des données (§ 30, al. 3).
alinéa 4 : Une sécurité de l’information efficace présuppose également un contrôle régulier du respect des objectifs de protection. L’étude sur l’IA exige d’ailleurs expressément une disposition correspondante pour le domaine des évaluations automatisées. Il va de soi que cette disposition doit toutefois s’appliquer de manière générale.
Il reste à ajouter que le Conseil d’État peut édicter des dispositions d’exécution dans le cadre de sa compétence d’exécution selon l’art. 67, al. 2 Cst.
Cette disposition reprend la réglementation du § 23 al. 1 IDG. Selon cette disposition, l’organe public est tenu de vérifier, avant toute communication d’une information, s’il ne doit pas la refuser parce qu’une disposition juridique ou un intérêt public ou privé prépondérant s’oppose à la communication. Le § 11 s’applique en principe – comme aujourd’hui déjà le § 23 IDG – à toute communication d’informations. En raison de cette portée générale, une réglementation s’impose dans les dispositions générales. Ce n’est que dans des cas exceptionnels que la pesée des intérêts est déjà effectuée dans la loi et que la communication d’informations est déjà exclue de par la loi (cf. § 18).
Dans le sens d’une application proportionnée de ce principe, la communication d’informations peut également être partiellement refusée ou différée sur la base de la pesée des intérêts. Ces possibilités sont expressément mentionnées au § 23 alinéa 1 lettre a. Les motifs du refus de communication doivent être communiqués aux personnes qui demandent à consulter les informations. Cela peut se faire de manière informelle. Ce n’est que si la personne qui demande à consulter le dossier n’est pas d’accord avec le refus de communication que les raisons sont exposées dans la décision (cf. § 23 ci-après).
Alinéa 2 correspond au § 23 al. 2 IDG, l’actuelle let. b devant être complétée par l’intérêt public à la protection du principe de collégialité. Les autres lettres correspondent sans changement au droit en vigueur. Il convient de noter que l’énumération n’est pas exhaustive, raison pour laquelle d’autres intérêts publics peuvent également s’opposer à la communication d’informations. Il convient en outre d’ajouter que les intérêts publics énumérés sont plutôt concrets et définis de manière restrictive. Le droit en vigueur renonce déjà à l’énumération d’intérêts publics abstraits et très larges, tels que la «cohabitation pacifique» ou la «sécurité publique». De tels intérêts peuvent bien entendu s’opposer à la divulgation d’informations. Ils sont toutefois si abstraits que l’intérêt en question doit être décrit plus précisément dans chaque cas particulier, raison pour laquelle une extension correspondante de l’énumération ne serait pas un gain.
Il convient de noter que la communication d’informations ne peut pas être refusée au motif que l’information n’est pas pertinente ou qu’il n’est pas opportun de la fournir. Le droit à l’information est de nature générale et globale, et il n’appartient pas à l’organe public d’évaluer si l’information est appropriée ou non. Toutefois, si des informations susceptibles de conduire à des conclusions erronées sont divulguées, l’organe public peut le signaler lors de la publication ou replacer les informations dans leur contexte.
La formulation de la lettre b (jusqu’ici § 23 al. 2 let. a IDG) est simplifiée. Le critère déterminant doit être que les négociations contractuelles sont menacées et non pas que «des positions dans les négociations contractuelles sont concernées».
Lit. c : La communication d’une information ne doit plus seulement pouvoir être limitée lorsqu’une communication porterait atteinte au processus de formation d’opinion de l’organe (cf. Bruno Baeriswyl, in : Praxiskommentar IDG, § 23 N. 16 s.). La pesée des intérêts doit désormais pouvoir inclure expressément des considérations relatives à la protection du principe de collégialité. La communication d’informations importantes pour la formation interne de l’opinion d’un organe collégial doit pouvoir être refusée pour protéger le principe de collégialité, même après la fin du processus de formation de l’opinion. Cela peut s’imposer lorsque la communication d’une information révélerait la position de certains membres de l’organe collégial d’une manière qui rendrait difficile ou compromettrait la future collaboration au sein du collège ou la future liberté d’expression. Au § 18, lettre a, la pesée des intérêts est déjà effectuée dans la loi pour un domaine partiel (décisions du conseil de gouvernement et des comités communaux), raison pour laquelle il n’est plus nécessaire de procéder à une pesée des intérêts dans ces cas. Il convient de noter que la communication de l’information ne doit pas nécessairement émaner de l’organe dont le principe de collégialité doit être protégé. Au contraire, un organe public qui a participé à la formation collégiale de la volonté peut également refuser la communication en invoquant le principe de collégialité (comme par exemple une direction du Conseil d’Etat concernant la formation de la volonté d’une conférence intercantonale).
La let. d est complétée par l’ajout «entre les communes et le canton». De même, les relations entre les communes et le canton ne doivent pas pouvoir être affectées par la communication d’informations.
alinéa 3 : Cette disposition souligne que, dans le cadre de la pesée des intérêts, il convient de tenir compte du droit des tiers à une personnalité intacte et donc de leur sphère privée. Si une personne est soumise au secret professionnel, une communication est possible si une levée du secret professionnel (par l’autorité compétente ou la personne concernée) a été accordée ou si une base légale permet la communication. Il convient de mentionner que les secrets d’affaires et de fabrication relèvent de la sphère privée des personnes morales. Il n’est donc pas nécessaire d’ajouter expressément ces intérêts particuliers.
Plusieurs participants à la consultation ont demandé l’introduction de la possibilité de consentir à un traitement de données, et donc l’alignement sur la loi fédérale sur la protection des données. Le projet est donc complété par des dispositions correspondantes (voir en détail les §§ 24, let. c, et 25, let. c). Les exigences relatives au consentement, qui est également mentionné aux § 20 (implication des tiers concernés), § 26 (finalité) et § 35 (droit de communication), sont réglées dans les dispositions générales. Cela s’impose notamment parce que le consentement est également important dans le cadre de l’implication des tiers concernés dans la section relative au principe de transparence.
Lit. a : Pour qu’un consentement soit donné, il faut que la personne concernée soit consciente des conséquences de ce consentement et des objectifs poursuivis par le traitement des données. La personne concernée doit donc disposer, dans le cas concret, de toutes les informations nécessaires pour pouvoir prendre une décision libre.
Lit. b : La condition sine qua non de tout consentement est le caractère volontaire. Tout consentement doit donc se caractériser par le fait que le recours à un acte étatique en question et le traitement de données personnelles qui en découle sont à la disposition de la personne concernée et ne vont pas à l’encontre de ses intérêts (cf. Philip Glass, Die rechtsstaatliche Bearbeitung von Personendaten in der Schweiz, Diss. Bâle 2016, p. 228). En principe, le consentement est également révocable (cf. ATF 136 III 401 consid. 5.2.2 avec renvois). Cette révocation ne peut toutefois avoir des effets que pour l’avenir et peut en outre, par analogie avec l’art. 404 al. 2 CO, entraîner une obligation de dommages-intérêts de la part de l’auteur de la révocation.
Lit. c : Le consentement ne peut être donné que pour un type de traitement de données précis. Il est donc exclu de demander un consentement général pour le traitement de toutes les données personnelles dans un domaine administratif étendu.
La section relative au principe de transparence comprend l’activité d’information d’office (§§ 13 et suivants), qui permet notamment de mettre en œuvre le principe de transparence inscrit à l’art. 49 Cst. Dans cette section, le droit des organes publics de publier des informations en tant que données ouvertes des autorités est désormais expressément réglementé (§ 15). Enfin, la section contient la communication d’informations sur demande (§§ 17 et suivants), qui met en œuvre l’art. 17 Cst.
Remarques préliminaires sur les §§ 13 et suivants de la loi sur la protection des données.
Étant donné que des dispositions relatives à l’ouverture des données des autorités ont été introduites dans la loi, plusieurs paragraphes ont été créés à partir de l’actuel § 14 IDG afin d’en améliorer la structure. Dans un premier paragraphe, on règle quelles informations générales sur la structure de l’administration, les stocks d’informations et les types de traitement particuliers (systèmes de décision automatisés) doivent être mises à disposition. Le § 13 sert à la transparence de l’administration publique (jusqu’à présent § 14 al. 2 et 4 IDG). Il est désormais complété par une disposition sur les systèmes de décision algorithmiques, pour lesquels un registre public doit également être créé. Un deuxième paragraphe (§ 14) règle l’obligation d’informer sur les activités de l’organe public et fixe en même temps les circonstances dans lesquelles des informations peuvent également être fournies sur des procédures non clôturées de manière définitive. Ces dispositions correspondent au § 14, alinéas 1 et 3 de la LDI.
Sur la base de ce concept, il convient d’examiner si le § 14 al. 2 et 4 IDG doit être maintenu. Lors de l’évaluation de cette question, il convient également de prendre en compte la nouvelle réglementation de la Confédération. Conformément à l’art. 12 nLPD, les organes fédéraux doivent continuer à tenir un registre de leurs activités de traitement. Le rapport explicatif indique ce qui suit : «L’obligation de l’organe fédéral de déclarer une activité de traitement de données correspond pour l’essentiel à son obligation de déclarer un fichier. Il s’agit d’une adaptation terminologique suite à la suppression de la notion de »fichier’ (art. 3, let. g, nLPD) dans la présente révision. La nouvelle terminologie correspond également à celle de l’article 24 de la directive (UE) 2016/680 et de l’article 30 du règlement (UE) 2016/679″. L’utilisation de la terminologie de la nLPD dans la LDI ne s’avère pas appropriée, étant donné que la LDI réglemente non seulement le traitement des données personnelles, mais aussi l’accès à l’information. Comme jusqu’à présent, un inventaire de tous les fichiers d’informations doit donc être exigé. Les informations qui contiennent des données personnelles doivent être signalées de manière particulière.
al. 1 : Pour des raisons de transparence, chaque institution publique est tenue de mettre à disposition des informations sur sa structure et ses missions. Les justiciables ont ainsi la possibilité de se faire une idée générale de la structure de l’organe public. Ils sont également informés de l’endroit où des informations peuvent être obtenues au sein d’un organe public. Il n’est pas nécessaire d’indiquer une «personne de contact» ou un «service» précis. Au contraire, il s’impose souvent de renoncer à les mentionner dans certains contextes pour des raisons de protection des collaborateurs. La formulation choisie confère à l’organe public la marge d’appréciation nécessaire.
al. 2 : Selon la terminologie utilisée dans le § 6 de l’OID, la notion de fonds d’information comprend les systèmes de classement et les collections de données. Un système de classement est une structure le plus souvent hiérarchique, orientée vers les tâches, qui met à disposition une position de classement appropriée pour tous les cas d’affaires qui se présentent (cf. JO 2019-09-13). Il permet
- une recherche ciblée et structurée,
- l’attribution précise des informations à chaque dossier (pas de classement multiple),
- la gestion simple des métadonnées,
- la préservation à long terme du contexte de création et d’utilisation de l’information,
- la gestion uniforme de différents supports d’information.
L’utilisation de la notion de stocks d’informations dans le § 6 ODI et les exigences qui y sont fixées quant au contenu des répertoires devront être examinées et éventuellement adaptées dans le cadre de la révision de l’ordonnance, compte tenu également du § 44a P‑OG RR, de l’art. 12 nLPD ainsi que de l’art. 24 de la directive (UE) 2016/680 et de l’art. 30 du règlement (UE) 2016/679. Ainsi, l’art. 24 de la directive (UE) 2016/680, qui est déterminant pour la Suisse, prévoit certaines indications qui ne sont pas expressément mentionnées au § 6 de l’OID. Il s’agit entre autres d’indications sur les catégories de données concernées, l’utilisation du profilage, la base juridique du traitement des données, l’effacement des données ainsi que des indications sur une description générale des mesures visant à garantir la sécurité des données.
L’utilité des annuaires a été mise en doute dans le cadre de l’évaluation de la LDI, comme nous l’avons mentionné. Ces critiques se fondent toutefois principalement sur les déclarations des membres de l’administration, alors que le public, qui peut avoir un intérêt à consulter ces répertoires, n’a pas été impliqué dans l’évaluation. Il convient de noter qu’un inventaire des informations ne doit pas nécessairement contenir des détails et que son établissement n’implique donc pas de dépenses excessives pour l’institution publique. Toutefois, certaines informations, à préciser dans le règlement, sont nécessaires pour atteindre la transparence visée. En outre, l’entretien de la liste, c’est-à-dire sa mise à jour permanente, est tout à fait lié à une certaine charge de travail pour les organes publics. En revanche, un tel répertoire facilite l’accès à l’information pour les personnes intéressées, voire le rend possible. Le maintien de cette disposition semble donc justifié.
Il convient d’ajouter que le § 44a P‑OG RR crée une réglementation selon laquelle l’administration cantonale gère un catalogue de données commun. Le Conseil d’Etat a ensuite précisé que la transformation numérique de l’administration cantonale devait être pilotée par le biais des cinq initiatives stratégiques. Il a formulé des ambitions et défini des champs d’action. Un champ d’action dans le cadre de l’initiative stratégique Données traite du catalogue de métadonnées et du registre pour les systèmes de décision automatisés (ACE n° 1331/2022, p. 11, champ d’action 4). Le catalogue de métadonnées constitue ici la base de l’utilisation multiple des données de base et de l’harmonisation des données de référence. Il permet notamment d’avoir une vue d’ensemble du paysage des données et contribue en outre à améliorer la transparence et l’efficacité, à favoriser la collaboration entre les autorités et à augmenter la qualité des prestations (op. cit.). Si un tel catalogue de données est géré, il remplit, en se référant à des stocks d’informations disponibles de manière structurée, les exigences posées aux inventaires des stocks d’informations. L’administration cantonale ne doit donc tenir des répertoires supplémentaires que pour les systèmes de classement.
Les systèmes décisionnels algorithmiques (AES) permettent d’analyser des informations et de développer et proposer des solutions à certains problèmes ou domaines (cf. Institut allemand des droits de l’homme, Algorithmische Entscheidungssysteme, Menschenrechtliche Vorgaben und Entwicklungen auf internationaler Ebene ; institut-fuer-menschenrechte.de/fileadmin/Redaktion/Publikationen/Information/Information_Algorithmische_Entscheidungssysteme.pdf). Dans ce contexte, les algorithmes peuvent jouer un rôle différent, en ce sens qu’ils soutiennent ou façonnent la décision humaine de différentes manières. Une variante particulièrement marquée est celle des décisions individuelles automatisées, dans lesquelles des décisions sont générées – sans intervention humaine (également : décisions déterminées par algorithme, op. cit.). Cette dernière nécessiterait une base dans le droit de procédure, car le droit de procédure administrative en vigueur est axé sur l’action des autorités administratives, c’est-à-dire des êtres humains (cf. par ex. § 4 VRG). Il convient toutefois de noter que toutes les décisions prises à l’aide d’un algorithme ou par un algorithme n’ont pas un impact sur les droits fondamentaux des personnes (p. ex. l’automatisation d’une étape de processus ou l’évaluation automatisée de données climatiques).
Outre la protection des droits fondamentaux des personnes dont les données sont traitées, la LDI a pour but de promouvoir, par la transparence, la libre formation de l’opinion et l’exercice des droits démocratiques, ainsi que de faciliter le contrôle de l’action de l’Etat (§ 1 al. 2 let. a et c). En conséquence, il existe un intérêt considérable à la divulgation de l’utilisation de systèmes de décision algorithmiques qui peuvent avoir une influence sur les droits fondamentaux. Cela vaut indépendamment du fait qu’il s’agisse de systèmes complexes qui fonctionnent par reconnaissance de formes ou de systèmes simples qui agissent selon des règles fixes sans marge de décision. Les AES peuvent notamment avoir un impact sur les droits fondamentaux lorsque des données personnelles ou même des données personnelles anonymisées sont exploitées au moyen d’AES ou lorsque des AES sont utilisés lors du traitement de données personnelles (par exemple, utilisation d’AES pour l’exploitation de dossiers de candidature). Ainsi, de grandes quantités de données personnelles sont régulièrement traitées dans la recherche, la planification ou la statistique. L’objectif de ce traitement n’est certes pas de permettre des déclarations sur des personnes individuelles. Les évaluations et les résultats ne doivent pas permettre de faire de telles déclarations. Le risque d’atteinte à la personnalité est considéré comme faible, raison pour laquelle des règles particulières s’appliquent (cf. § 26, al. 2). Toutefois, de tels traitements au moyen d’AES présentent un risque particulier de discrimination. La base de données revêt une grande importance (problème des “biais” dans les données). Ainsi, certains AES qui reposent sur des données d’entraînement représentant la société actuelle peuvent apprendre des comportements ou des modèles déjà existants dans la société. Si la base de données est insuffisante (par exemple incomplète ou obsolète), cela peut conduire à des résultats discriminatoires ou faussés d’une autre manière (voir l’étude sur l’IA, p. 40 s., avec des exemples et d’autres risques). Il convient donc d’accorder une grande importance à la protection contre la discrimination, en tenant compte notamment du mode de fonctionnement et de la base de données de l’algorithme (voir à ce sujet le rapport d’activité 2020 du service de protection des données de la ville de Zurich sur l’algorithme concernant la mixité dans les écoles publiques ; www.gemeinderat-zuerich.ch/dokumente/5f630e4cd50648f99dc94a3480e4f53e-332?filename= 2021_0197). Il ressort de ces considérations que la protection des droits fondamentaux dans ce contexte doit être interprétée de manière large et qu’elle va au-delà du droit à l’autodétermination en matière d’information et à l’accès aux informations selon l’art. 17 Cst. Outre la protection contre la discrimination, il faut penser par exemple à la liberté d’opinion, aux droits politiques ou aux droits fondamentaux de procédure. Il reste à ajouter que la possibilité pour un AES de porter atteinte aux droits fondamentaux doit déjà suffire : Compte tenu de la transparence visée et de la finalité de la LDI, le seuil doit être fixé à un niveau bas.
L’étude KI fait également état de la nécessité d’une liste d’AES pour garantir la transparence. Cette nécessité existe pour tous les organes publics, raison pour laquelle une réglementation dans l’OG RR, telle que proposée dans le projet mis en consultation et qui ne serait valable que pour l’administration cantonale, semble insuffisante. Il faut retenir qu’au sein de l’administration cantonale, le service de coordination LDI peut assumer une fonction de mise en réseau et de surveillance. Au sein des directions, les conseillers à la protection des données seront chargés de veiller à ce que cette disposition soit également respectée (cf. § 44c P‑OG RR).
Le Conseil d’Etat doit être chargé d’édicter des dispositions d’exécution pour tous les organes publics. L’ordonnance doit notamment préciser que la base de données et le fonctionnement de l’AES doivent être communiqués. Cela semble nécessaire, car les données utilisées peuvent être insuffisantes (par exemple, erronées, incomplètes ou obsolètes), ce qui peut fausser les résultats. L’indépendance des tribunaux n’est pas affectée par cette disposition, étant donné que des critères purement formels doivent être réglementés.
Il convient d’ajouter que la connaissance de l’utilisation d’AES sans rapport avec les droits fondamentaux peut également présenter un intérêt. Une réglementation correspondante devrait toutefois – là où elle est souhaitée – avoir lieu en dehors de la LDI dans les actes législatifs spéciaux correspondants.
Alinéa 1 de l’actuel § 14 IDG doit être maintenue sans changement. Les organes publics doivent informer activement de leur propre initiative. Il s’agit toutefois d’une simple obligation de l’organe public. Cette disposition ne fonde pas un droit individuel et exigible en justice (cf. Marco Fey, in : Praxiskommentar IDG, § 14 N. 5).
Au paragraphe 2 la réglementation du § 14 al. 3 IDG est reprise. La notion de procédure «pendante» est alors remplacée par la notion de procédure «non clôturée par une décision entrée en force». Une affaire en tant que telle reste pendante tant que la décision attaquée n’est pas entrée en force (Ruth Herzog/Michel Daum [éd.], Kommentar zum Gesetz über die Verwaltungsrechtspflege im Kanton Bern, 2e édition, Berne 2020, art. 16 n. 7 ; cf. ATF 127 II 215 consid. 2). La formulation «non clôturée par une décision entrée en force» est plus parlante que le terme de procédure «pendante», raison pour laquelle il sera dorénavant question dans cette disposition – comme au § 3 – de «procédures non clôturées par une décision entrée en force».
§ 14, alinéa 2 stipule qu’en principe, aucune information n’est donnée sur les procédures non clôturées de manière définitive. Si une information est indispensable pour rectifier des informations erronées ou s’il s’agit d’un cas particulièrement grave ou retentissant qui nécessite une information immédiate, une information est exceptionnellement autorisée. L’organe public qui souhaite communiquer l’information doit décider si tel est le cas en se basant sur une pesée des intérêts conformément au § 11. Il s’agit notamment de peser la sphère privée des tiers concernés (par exemple lorsqu’une information doit être donnée sur une procédure en cours en matière de droit du personnel en cas de soupçon de corruption). Dans certains cas, la protection de la confiance dans les autorités peut avoir plus de poids que la protection de la sphère privée du collaborateur concerné. L’utilisation du verbe «pouvoir» indique expressément qu’il s’agit d’une autorisation de l’institution et non d’une obligation.
Le secret de fonction joue régulièrement un rôle dans la communication de telles informations (cf. art. 320 du Code pénal suisse [CP ; RS 311.0]). Le champ d’application de l’art. 320 CP englobe tous les faits qui ne sont ni notoires ni accessibles à tous et pour lesquels le détenteur du secret a non seulement un intérêt légitime, mais aussi la volonté expresse ou tacite de garder le secret (ATF 142 IV 67). Les faits soumis au secret ne peuvent en principe pas être publiés. L’infraction selon l’art. 320 CP est une révélation illicite de connaissances secrètes à des tiers non autorisés (cf. Bernhard Isenring, in : Andreas Donatsch [éd.], StGB/JStG Kommentar, 21e édition, Zurich 2022, art. 320 CP N. 15). Selon l’art. 320 CP, une levée écrite du secret de fonction est donc nécessaire pour justifier une publication. Toutefois, selon Stefan Trechsel/Hans Vest, d’autres motifs de justification entrent en ligne de compte (Stefan Trechsel/Mark Pieth [éd.], Schweizerisches Strafgesetzbuch, Praxiskommentar, 4e éd., Zurich 2021, Art. 320 N. 13). En l’occurrence, il doit s’agir de la défense d’intérêts légitimes (ATF 94 IV 70). En cas d’intérêts publics prépondérants à la rectification de fausses informations, une information est admissible, mais en cas de doute, il convient de demander à être délié du secret de fonction.
Dans les définitions du § 5, l’alinéa 5 mentionne désormais les données ouvertes des autorités. Les détails doivent être réglés dans la présente disposition ainsi que, pour l’administration cantonale, au § 44b P‑OG RR.
La conception actuelle d’une activité administrative transparente part d’une obligation de publication aussi large que possible. Une politique d’information plus active de la part des autorités permet de réduire le nombre de demandes d’accès à l’information : Une politique d’information active permet souvent d’éviter les demandes des personnes soumises au droit, ce qui augmente l’efficacité de l’administration et économise des ressources. En fin de compte, c’est l’organe public qui détient les données qui décide si les informations se prêtent ou non à la publication en tant que données publiques ouvertes. Une publication proactive permet de gagner en confiance et d’améliorer la réputation de l’administration à l’intérieur comme à l’extérieur. Le § 15 vise à autoriser expressément les organes publics à publier les données correspondantes. Il convient de noter que plusieurs collectivités publiques vont déjà plus loin aujourd’hui : La Confédération et la ville de Zurich ont ainsi introduit le principe «open by default». Les organes publics de l’administration cantonale doivent également être tenus de publier des données appropriées (§ 44b P‑OG RR).
al. 1 : Cette disposition stipule expressément que les organes publics sont autorisés à mettre à disposition des informations en tant que données d’autorité ouvertes. Cette réglementation va dans le sens du principe de légalité. Les informations qui peuvent être mises à disposition en tant qu’OGD découlent de la définition figurant au § 5, alinéa 5.
Avant de mettre des informations à la disposition du public sans restriction, il convient de vérifier si une disposition d’une loi ou d’une ordonnance ne s’oppose pas à la publication. Si la législation spéciale stipule que les données ne peuvent pas être utilisées ou transmises librement par l’organe public ou qu’elles ne peuvent pas être utilisées librement par des tiers, une publication en tant que données publiques ouvertes est exclue. On pense ici en particulier aux dispositions relatives à la protection contre la divulgation de données personnelles (§ 35). Les données personnelles et les données personnelles particulières ne peuvent par conséquent pas faire partie des informations à publier. En outre, il faut toujours procéder à une pesée des intérêts : Ce n’est que si celle-ci ne s’oppose pas à la publication que les informations peuvent être mises à disposition.
Seules les informations stockées sous forme électronique et structurées peuvent être publiées en tant que données ouvertes des autorités. Ainsi, les informations disponibles dans des tableaux, des listes ou des bases de données, par exemple les chiffres clés des rapports annuels déjà publiés au format PDF, doivent être mises à disposition. En revanche, les documents de texte individuels au format Word ne doivent pas être publiés en tant qu’OGD. Les compilations ou les jeux de données souhaités par des tiers, qui n’existent pas et qui devraient être rassemblés par les organes publics au prix d’un travail supplémentaire, ne doivent pas être publiés.
al. 2 : Le Conseil d’Etat doit promouvoir la publication des données correspondantes auprès de tous les organes publics. A cette fin, un service de l’administration cantonale doit être chargé de conseiller les organes publics et de mettre notamment à leur disposition des guides et autres outils. Il existe déjà aujourd’hui le «service spécialisé et de coordination OGD» et le comité spécialisé «Open Government Data», qui travaillent sur mandat du Conseil d’Etat.
Cette disposition est reprise telle quelle du § 15 IDG.
Toute communication d’informations suppose une pesée des intérêts. Ce principe est donc réglé dans les dispositions générales (§ 11). Pour le reste, la communication d’informations doit être réglée de manière largement identique à celle du droit en vigueur pour l’accès aux données et informations personnelles. C’est pourquoi la partie relative à la protection des données renvoie en partie à la réglementation de la section relative au principe de transparence et déclare les dispositions correspondantes applicables par analogie (cf. ci-après § 38, al. 5). Afin d’exprimer plus clairement les différences existantes, la notion de «droit d’accès» sera (ré)introduite à l’avenir pour l’accès à ses propres données personnelles. Cela permet de faciliter la compréhension et d’éviter les malentendus. De plus, le canton de Zurich utilise ainsi la même terminologie que la Confédération (art. 25 nLPD).
Il convient en outre de souligner que la disposition du § 20 al. 3 LDI («Dans les procédures administratives et de justice administrative non closes par une décision entrée en force, le droit d’accès à l’information est régi par le droit de procédure déterminant») a été insérée dans le § 3. Bien que ce principe ne dise finalement rien d’autre que ce qui s’appliquerait de toute façon selon les règles générales de conflit de lois, les réglementations des lois spéciales priment sur la LDI.
al. 1 : Le § 20 al. 1 IDG met en œuvre l’art. 17 Cst. au niveau de la loi. La disposition doit donc être transposée dans le nouveau droit en grande partie sans modification. Le droit d’accès à l’information ne doit pas dépendre de la preuve d’un intérêt digne de protection, et aucune justification ne peut être exigée, par exemple pour l’utilisation de l’information. C’est pourquoi le droit est en principe inconditionnel et existe donc en principe aussi lorsque la demande d’accès à l’information est motivée par la simple curiosité. Toutefois, l’accès à l’information peut être limité dans certaines circonstances (cf. al. 2 et § 18). Si, dans certains domaines administratifs, une communication limitée semble indiquée, l’accès peut être restreint en conséquence dans la loi spéciale correspondante.
al. 2 : Le contenu du § 25 al. 2 IDG doit également être largement repris dans le droit en vigueur. L’accès à l’information existe certes en principe sans preuve d’intérêt. Selon la présente disposition, une dérogation à cet accès à l’information, en principe sans condition, doit toutefois être possible, à titre exceptionnel, lorsque l’octroi de l’accès à l’information est lié à de très grands efforts. Contrairement à la réglementation actuelle, seul l’effort à fournir par l’organe public doit être déterminant pour l’exigence de la vraisemblance d’un intérêt digne de protection. Dans un premier temps, cet effort ne doit pas être mis en balance avec l’intérêt concret du requérant, car le droit d’accès à l’information existe en principe sans condition. Pour ce faire, l’organe public devra évaluer les moyens en personnel à mettre en œuvre pour le traitement de la demande. Si le traitement de la demande nécessite un effort très important – notamment par rapport aux moyens en personnel disponibles – l’accès à l’information peut être subordonné à la vraisemblance d’un intérêt digne de protection. Contrairement au projet mis en consultation, il n’est donc pas exigé de prouver, mais seulement de rendre vraisemblable un intérêt digne de protection. L’intérêt à faire valoir peut également être un intérêt public, c’est-à-dire un intérêt qui n’appartient pas uniquement au requérant. Celui-ci doit toutefois aller au-delà du simple droit à l’information. Ensuite, l’intérêt rendu crédible doit être mis en balance avec l’intérêt à un fonctionnement efficace de l’administration, qui ne doit pas entraîner de dépenses excessives. La présente disposition doit notamment permettre de faire face aux demandes de renseignements dites «encyclopédiques», qui occasionnent une charge de travail très importante pour l’administration (cf. également Beat Rudin, Kein «enzyklopädischer Informationszugang», in digma 2019, p. 32 ss, p. 34). Il reste à ajouter que l’abus de droit constitue toujours une limite aux demandes d’information, les exigences pour un refus d’accès à l’information fondé sur l’abus de droit étant très élevées. Celui-ci constitue également une barrière pour les personnes qui déposent sans cesse de nouvelles demandes d’accès à l’information.
alinéa 3 : Le contenu de la disposition correspond largement au § 25 al. 1 IDG. L’accès à l’information est accordé par la communication de la référence. Il convient de noter qu’une information doit déjà être disponible «de manière appropriée». Ainsi, un communiqué de presse n’est pas suffisant, car l’information qu’il contient n’est pas encore publique.
Etant donné qu’aucun examen de la demande ne doit être nécessaire dans ces cas, la disposition est systématiquement classée différemment que dans le droit en vigueur. La question de savoir si une décision formelle doit être rendue trouve sa réponse au § 23.
Dans le cas des exceptions à l’accès à l’information selon le § 18, l’accès à l’information peut être refusé sans que l’organe public doive procéder à une pesée des intérêts. Ainsi, ces informations ne sont toutefois pas exclues de manière générale de l’application de la LDI. En particulier, les principes de protection de la LDI (par ex. la sécurité de l’information) sont également applicables à ce type d’informations. Les enregistrements utilisés uniquement à des fins privées ne sont toutefois pas classés dans l’entreprise et ne sont donc pas archivés.
Lit. a : Cette disposition est en principe déjà contenue aujourd’hui dans le § 2 al. 2 OID pour les affaires du Conseil d’Etat en tant que disposition d’exécution du § 23 LID. La disposition du § 2 al. 2 OID doit désormais être réglée dans une loi formelle et être étendue aux organes exécutifs des communes. Cette disposition doit permettre de protéger le principe de collégialité des organes exécutifs du canton et des communes, sans qu’il soit nécessaire de procéder à un examen au cas par cas. Il convient de noter que la protection ne se limite pas aux propositions, corapports et prises de position des membres du Conseil d’Etat et des exécutifs communaux, mais qu’elle englobe également les documents de leurs collaborateurs. En outre, les procès-verbaux sont également exclus de l’accès à l’information. Le processus de formation d’opinion de ces organes collégiaux est donc encore protégé après une éventuelle prise de décision. Après une éventuelle décision, l’organe public peut toutefois décider, sur la base d’une pesée des intérêts, que certains documents seront mis à la disposition du public. Il convient de préciser en complément que les communes peuvent, en conséquence de l’autonomie communale, fixer dans leurs décrets des exceptions plus larges à l’accès à l’information.
Lit. b : En ce qui concerne les autres organes publics, les procès-verbaux des réunions non publiques doivent être exclus de l’accès à l’information, sans qu’il soit nécessaire de procéder à un examen des intérêts. Il convient de préciser que ces organes peuvent eux aussi exclure davantage encore de l’accès à l’information la formation de leur opinion. Toutefois, s’ils ne disposent pas d’une base légale spéciale, cela doit se faire au cas par cas sur la base d’une pesée des intérêts conformément au § 11 alinéa 2 lettre b. La seule exception concerne les organes des associations à but déterminé : Pour ces derniers, les dispositions relatives aux communes sont applicables par analogie, dans la mesure où elles sont compatibles avec les particularités de l’association à but déterminé (§ 73 al. 4 GG). En l’occurrence, il convient de répondre par l’affirmative.
Lit. c : Cette réglementation était jusqu’à présent contenue dans l’article 3 alinéa 2 de la LDI dans la définition de l’information. Mais comme il s’agit, pour les enregistrements non terminés et les enregistrements à usage personnel, d’une restriction de l’accès à l’information réglée par la loi et non d’un domaine partiel de la notion, la réglementation correspondante doit désormais figurer dans la communication d’informations (cf. Beat Rudin, in : Praxiskommentar IDG, § 3 N. 10). Les exceptions doivent permettre à l’organe public de développer les projets et les travaux avec la liberté nécessaire. Mais elles aident aussi à exclure les risques qui peuvent résulter de la publication de documents à caractère provisoire.
La crainte exprimée lors de la consultation que l’administration – afin d’empêcher la communication de documents – ne les achève jamais, semble infondée, car l’administration est tenue d’agir conformément à la loi, de manière efficace, coopérative et dans l’intérêt des citoyens (cf. art. 70, al. 2, Cst.). De plus, le recours pour déni de justice ou le recours pour déni de justice est disponible contre les refus répétés au motif que les enregistrements ne sont pas encore terminés. Ensuite, on ne peut pas supposer à la légère qu’un document est à l’état de projet. Toutefois, la notion d«»enregistrements qui ne sont pas achevés” est une notion juridique indéterminée qui est liée à une marge d’appréciation (cf. Beat Rudin, in : Praxiskommentar IDG BS, § 25 N. 32). Comme sous l’ancien droit, la délimitation entre l’avant-projet et l’enregistrement achevé se fera sur la base de la signature ou de l’approbation par la personne officielle habilitée, mais aussi sur la base de la transmission à un autre organe public ou à une personne extérieure.
Par notes «à usage personnel», on entend les documents de travail que les collaborateurs établissent pour eux-mêmes en tant qu’outils de travail personnels et qui ne sont pas archivés. Cette exception concerne les outils de travail personnels tels que les carnets de notes utilisés pour effectuer le travail de manière rationnelle (cf. ATF 142 II 324 p. 331 ss ; BVR 1992 p. 80 E. 4c, 2008 p. 49 E. 4.3), ou encore l’impression d’une pièce du dossier sur laquelle une collaboratrice a ajouté des notes pour une discussion orale. C’est au cas par cas qu’il faut décider si une forme de communication particulière (par exemple les historiques de chat sur les téléphones portables) relève de ce type d’enregistrement.
Alinéa 1Le § 24 al. 1 IDG stipule que quiconque souhaite accéder à des informations conformément au § 20 al. 1 IDG (accès aux informations détenues par un organe public) doit présenter une demande écrite. Cette formulation pourrait laisser penser que l’exigence de la forme écrite ne s’applique qu’à l’accès aux informations et non au droit d’accès aux données personnelles. Or, conformément à la réglementation de l’ordonnance, la forme écrite s’applique en principe aussi au droit d’accès (cf. § 16 al. 1 OID). La forme de la demande doit donc être clarifiée et réglée dans la loi pour les deux types d’accès.
Les exigences posées à la demande écrite d’accès à l’information sont réglées dans le droit en vigueur au § 8 de l’ODI. Aujourd’hui déjà, des exigences élevées en matière de forme écrite ne sont pas requises et une demande écrite peut être envoyée par courrier, par e‑mail ou par fax. Si la voie électronique est choisie, des exigences qualifiées doivent éventuellement être posées à l’identification du requérant ou de la requérante, selon le contenu de l’information demandée. Les organes publics peuvent en outre encourager la procédure électronique, par exemple en mettant à disposition sur leur site Internet un formulaire de demande électronique standardisé (JO 2008, 916 ss., 928).
Désormais, les demandes d’accès à l’information doivent pouvoir être formulées de manière informelle, par exemple par téléphone, car l’accès à l’information doit être le plus facile possible. Les demandes informelles, notamment par téléphone, permettent d’obtenir au préalable des renseignements généraux sur l’activité des organes publics (cf. § 7 OID). Dès que des dispositions doivent être prises conformément à l’alinéa 2, une demande écrite doit être déposée.
Conformément à la doctrine et à la jurisprudence dominantes (cf. Beat Rudin, in : digma 2019, p. 32 ss), les demandes doivent se référer à un cas particulier, l’information à laquelle l’accès est demandé devant être décrite de manière suffisamment précise. Il n’existe donc pas de droit à obtenir un aperçu général de l’activité de l’Etat par le biais d’une demande d’accès à l’information, c’est-à-dire un droit à un «accès encyclopédique à l’information».
Comme dans le droit en vigueur, on renonce à désigner une fonction centrale de responsable de l’information au sein de l’administration. La tâche et la responsabilité doivent être confiées de manière aussi décentralisée que possible aux organes qui établissent eux-mêmes les faits pertinents en matière d’information et qui, en raison de leur compétence matérielle en matière de tâches et de leur proximité avec le sujet, sont également les mieux à même d’expliquer les questions qui se posent dans ce contexte. Si plusieurs organes publics sont concernés par une demande, ils se concertent d’office pour savoir quel organe exerce l’activité d’information.
al. 2 : Dès que les demandes ne peuvent pas être traitées sans autre, l’organe public exige une demande écrite répondant aux exigences de la LRCF. C’est par exemple le cas lorsque des tiers doivent être impliqués dans la réponse à la demande (§ 20) et qu’une pesée des intérêts doit être effectuée ou que d’autres clarifications sont nécessaires. Une demande écrite est également nécessaire lorsque le traitement de la demande est lié à un travail particulier et entraîne donc des conséquences financières (§ 22) ou lorsque l’organe public doit prendre une décision pour d’autres raisons (§ 23). Cela se justifie par le fait que l’autorité administrative ne doit fournir un effort plus important que s’il y a clarté sur l’identité de la personne qui demande les informations. En outre, il faut s’assurer qu’une éventuelle décision puisse être valablement notifiée au requérant. Si le requérant n’est pas prêt à faire une demande écrite en ce sens, cela indique qu’il n’a pas d’intérêt sérieux à obtenir l’information. Un exercice abusif du droit d’accès à l’information peut également être limité de cette manière. En fin de compte, c’est l’autorité administrative qui décide si elle doit exiger une demande écrite formelle.
Il convient tout d’abord de souligner que l’accès à l’information – dans la mesure où des données personnelles (et donc aussi des données personnelles particulières) sont concernées – se trouve dans un rapport de tension avec la communication de données personnelles. Selon le § 35, la communication de données personnelles et de données personnelles particulières est autorisée en présence d’une base juridique suffisante. Une telle base est également le droit à l’information garanti par la Constitution (art. 17 Cst.), qui est concrétisé aux §§ 17 et suivants.
Alinéa 1 correspond pour l’essentiel au § 26 al. 1 IDG. Toutefois, il est désormais expressément mentionné qu’en cas d’anonymisation ou de suppression préalable des données personnelles, il n’est pas nécessaire d’impliquer les tiers. L’anonymisation signifie que la référence personnelle des données est supprimée de manière irréversible. Les informations ne peuvent ensuite plus être attribuées à une personne ou seulement au prix d’efforts disproportionnés. L’anonymisation doit être effectuée de manière à ce qu’elle ne puisse plus être annulée ou seulement au prix d’efforts disproportionnés. Les exigences concrètes en matière d’anonymisation ne doivent pas être fixées par la loi, mais dépendent plutôt de l’état de la technique. Si la réidentification ne peut être évitée, les tiers concernés doivent être impliqués. Il convient de noter que les collaborateurs des organes publics ne sont pas considérés comme des «tiers» devant être formellement consultés. Cette implication peut se faire de manière informelle. Un avis exprimé oralement ou par courrier électronique peut également être utilisé, à condition qu’il soit documenté.
Pour chaque demande d’accès à l’information, l’organe public doit procéder à une pesée des intérêts (§ 11). Il s’agit de vérifier si les informations auxquelles l’accès est demandé contiennent des données confidentielles ou des données personnelles, de sorte que l’accès doit éventuellement être totalement refusé ou du moins limité. Le fait que les informations soient «classifiées comme confidentielles» (cf. § 26 al. 1 IDG) n’est pas déterminant. Ce qui est essentiel, c’est de savoir si les informations ont droit à la confidentialité au moment d’une demande spécifique et si elles ont donc besoin d’être protégées. Il convient de vérifier si c’est le cas dans le cadre du traitement de la demande au moyen de la pesée des intérêts (§ 11). En complément, il convient de souligner que toutes les informations fondamentalement confidentielles et toutes les données personnelles ne s’opposent pas sans autre à l’octroi de l’accès à l’information. Si, sur la base de la pesée des intérêts, l’organe public parvient à la conclusion que l’information souhaitée est confidentielle ou qu’elle contient des données personnelles qui nécessitent une protection, il supprime les données confidentielles dans la mesure nécessaire ou rend les données personnelles anonymes. Ce dernier principe, qui fait déjà parfois partie de la pratique actuelle, est expressément inscrit dans la loi, par analogie avec la réglementation prévue à l’art. 9 LTrans. Dans ce contexte, il convient de noter que la personne qui travaille dans le cadre d’une fonction auprès de l’organe public ne peut pas exiger la protection de sa sphère privée dans la même mesure qu’une personne privée lorsque ses données personnelles sont contenues dans des informations (cf. arrêt du Tribunal administratif VB.2012.00510 du 4 septembre 2013, consid. 3.7). Toutefois, seule la personne responsable de l’information doit être nommée. La mention des noms d’autres participants qui ont également contribué à la réalisation de cette information peut en revanche s’avérer disproportionnée, ce qui implique que les données personnelles correspondantes doivent être anonymisées ou supprimées. En outre, l’institution publique doit, en tant qu’employeur, assumer son devoir d’assistance. Les collaborateurs ont donc droit à une protection appropriée, qui varie en fonction de leur position hiérarchique. Si un collaborateur est mis en danger par la communication de ses données personnelles, il faut en tenir compte dans le cadre de la pesée des intérêts.
Il convient d’ajouter que la LDI protège également les personnes morales. Les secrets professionnels et commerciaux sont protégés dans le cadre de la sphère privée des personnes morales et doivent être classés dans les «données personnelles» pour les personnes morales.
On pourrait déduire de la formulation actuelle du § 26 al. 2 LDI qu’une communication peut avoir lieu sur la base d’une pesée des intérêts dans le cas de données personnelles, mais qu’elle doit toujours être refusée dans le cas de données personnelles particulières si aucun consentement exprès n’est donné et que les tiers concernés ont pour ainsi dire un «droit de veto» («Si la demande concerne des données personnelles particulières, l’organe public rejette la demande si les tiers concernés ne donnent pas leur consentement exprès à l’accès»). Selon la doctrine et la jurisprudence, une information doit également être possible en cas de refus des tiers concernés, sur la base d’une pesée des intérêts, lorsque l’information concerne des données personnelles particulières (jugements du Tribunal administratif VB.2010.00025 du 19 mai 2010 et VB.2014.00341 du 19 mars 2015 ; Alain Griffel, in : Kommentar VRG, § 8 N. 26 avec d’autres références ; Urs Thönen, in : Praxiskommentar IDG, § 26 N. 19). Cela correspond également à la réglementation de l’art. 6 de l’ordonnance du 24 mai 2006 sur le principe de la transparence dans l’administration (RS 152.31), selon laquelle une pesée des intérêts est également possible dans de tels cas. La formulation de la disposition est donc adaptée. L’al. 2 précise donc, pour toutes les données personnelles (dont font partie les données personnelles particulières), que l’accès aux informations peut être accordé sur la base d’une pesée des intérêts, même sans le consentement ou en cas d’opposition expresse des personnes concernées (let. b), dans la mesure où l’intérêt à l’accès aux informations l’emporte sur les intérêts contradictoires concrètement invoqués par des tiers. Si des intérêts publics prépondérants s’opposent à l’octroi de l’accès à l’information, l’accès doit également être refusé. Dans ce cas, il n’est pas nécessaire d’impliquer les tiers.
Lit. a : Si les tiers concernés acceptent la demande d’information, l’accès doit en principe être accordé. Le § 12 s’applique aux exigences relatives au consentement.
Lit. b : Il convient tout d’abord de préciser que l’intérêt à l’accès à l’information dont il est question ici est l’intérêt général et abstrait du public à l’accès à l’information et non l’intérêt éventuel du requérant à un accès à l’information particulier. Dans ce contexte, il convient donc uniquement d’examiner si les intérêts privés de tiers l’emportent sur cet intérêt abstrait à l’accès à l’information. Le simple fait d’indiquer que des données personnelles particulières sont concernées ne suffit pas à cet égard. Si des données personnelles particulières sont concernées, il convient de l’apprécier en conséquence dans le cadre de la pesée des intérêts.
Si l’organe public conclut qu’il ne peut pas accorder l’accès aux informations ou que celui-ci doit être accordé contre la volonté des tiers, il rend une décision (voir § 23).
L’octroi de l’accès à l’information sous conditions et charges n’est pas prévu, contrairement au souhait de plusieurs participants à la consultation. Une telle disposition serait toujours en contradiction avec l’art. 17 Cst. si l’accès à l’information, qui devrait en principe être approuvé sur la base de la pesée des intérêts, était limité par des conditions ou des charges (cf. arrêt du Tribunal fédéral 1C_33/2016 du 17 novembre 2016, consid. 5.5). Selon la jurisprudence du Tribunal fédéral, l’octroi de l’accès à l’information sous conditions n’est admissible que s’il n’existe pas de droit d’accès à un document, car l’accès à l’information doit être refusé après avoir procédé à la pesée des intérêts. Dans un tel cas, l’organe public peut décider librement si et, le cas échéant, de quelle manière l’accès à l’information peut malgré tout être justifié (cf. arrêt du Tribunal fédéral 1C_33/2016 du 17 novembre 2016, consid. 5.6 avec référence à Bruno Baeriswyl, in : Praxiskommentar IDG, § 23 N. 5 ss). Ce n’est que dans de tels cas que l’accès à l’information peut également être soumis à des charges ou des conditions. Celles-ci ne nécessitent pas obligatoirement une base légale explicite, mais leur admissibilité peut aussi résulter directement du but de la loi et de l’intérêt public qui s’y rattache (ATF 138 V 310 consid. 5.2 p. 317 s. ; 131 I 166 consid. 4.4 p. 175 ; dans chaque cas avec références). Si, dans ces cas, l’accès à l’information est accordé sous conditions, il faut toutefois tenir compte du fait qu’il n’existe aucun contrôle sur l’utilisation d’une information communiquée : Lorsqu’une information est parvenue à un public – même restreint -, l’organe public n’a plus la possibilité de contrôler sa transmission ou sa non-transmission. Une menace au sens de l’art. 292 CP (désobéissance à une décision officielle) ne peut pas, dans la plupart des cas, offrir une protection suffisante.
Alinéa 1: L’article 12, paragraphe 3 du RGPD prévoit que les responsables doivent respecter les droits des personnes concernées conformément aux articles 15 à 22 du RGPD dans un délai d’un mois, avec une possibilité de prolongation de deux mois. Les articles 15 à 22 du RGPD régissent le droit d’accès, le droit de rectification et d’effacement, etc. de la personne concernée. Cette disposition n’est certes pas déterminante pour l’accès à l’information. Une réglementation analogue s’impose toutefois pour l’octroi de l’accès à l’information. Certes, le principe général du droit administratif (cf. également § 4a VRG) selon lequel il faut agir dans un délai raisonnable s’applique, ce qui ne rend pas nécessaire une réglementation expresse. Cependant, le délai déjà ancré dans le droit en vigueur selon le § 28 IDG doit être maintenu au sens d’un délai d’ordre – également en accord avec le droit de l’UE.
Alinéa 2 est une conséquence du fait que le délai à respecter n’est qu’un délai d’ordre. Celui-ci doit en principe être respecté. Si cela n’est pas possible (ce qui est souvent le cas lors de clarifications importantes ou lorsque des tiers sont impliqués), le requérant doit être informé de la raison pour laquelle la réponse est tardive et de la date à laquelle la réponse peut être attendue.
Alinéa 1: Par décision du 15 novembre 2021, le Grand Conseil a décidé la gratuité de principe des demandes d’accès à l’information (JO 2020-12-18). Selon la disposition en vigueur, il est possible d’imposer des frais si «le traitement de la demande (entraîne) des coûts considérables et … les dépenses de l’organe public (sont) hors de proportion avec l’intérêt public». Cette disposition est en vigueur depuis le 1er octobre 2022. Le principe de gratuité est repris dans le projet de loi, même si sa formulation est quelque peu adaptée. Comme nous l’avons déjà expliqué, compte tenu du fait qu’il existe un droit d’accès à l’information sans qu’il soit nécessaire de faire valoir un intérêt qui dépasse le simple droit à l’information, une obligation de payer doit dépendre uniquement du (très grand) travail de traitement (cf. § 17 al. 2). Le principe fixé jusqu’au 1er octobre 2022 dans le § 29 al. 2 let. b IDG, selon lequel l’accès à ses propres données personnelles (droit d’accès, § 38) doit toujours être gratuit, est désormais réglé dans la partie relative à la protection des données (cf. § 38 al. 3).
Conformément à l’article 29, alinéa 3 de la LDI, les informations qui se prêtent à une utilisation commerciale peuvent faire l’objet d’une rémunération calculée en fonction de leur valeur marchande. Il ne s’agit pas d’une taxe. Il s’agit plutôt d’indemniser la valeur marchande de l’information, l’autorité qui fournit les données étant libre d’exiger ou non une rémunération. Selon la directive relative à la LDI, une base dans une loi formelle est nécessaire en plus de la réglementation du § 29 al. 4 LDI pour qu’une rémunération puisse être perçue (JO 2005-11-25, p. 1321 ; de même Urs Thönen, in : Praxiskommentar IDG, § 29 N. 30 s.). C’est pourquoi il est désormais expressément stipulé dans la loi que des réglementations dérogatoires sont autorisées dans des lois spéciales pour les utilisations économiques. Ainsi, les communes ont la possibilité d’adopter des réglementations correspondantes. Le terme «commercial», quelque peu restrictif, est remplacé par le terme «économique».
al. 2 : Il convient tout d’abord de souligner que l’imposition de frais pour l’exercice d’un droit fondamental est en principe admissible. C’est par exemple incontesté pour l’exercice de la garantie des voies de droit (cf. Giovanni Biaggini, in : Isabelle Häner/Markus Rüssli/Evi Schwarzenbach [éd.], Kommentar zur Zürcher Kantonsverfassung [zit. KV-Kommentar], Art. 17 N. 17). La réglementation en vigueur avant la formulation du § 26 IDG adoptée par le Grand Conseil le 15 novembre 2021 résistait donc déjà à l’art. 17 Cst. A l’avenir, pour qu’il y ait obligation de payer, il faudra simplement que la recherche de l’information souhaitée et l’examen de l’accès à l’information ainsi que le traitement de l’information soient liés à une charge de travail très importante. L’évaluation de la charge de travail est une question d’appréciation qui ne peut pas être déterminée sur la base de critères objectifs. Contrairement à la réglementation actuelle, seul l’effort à fournir par l’organe public doit être déterminant. Il ne sera plus nécessaire d’invoquer un intérêt public prépondérant pour l’accès à l’information. Cette solution permet d’établir une concordance avec la réglementation de la Confédération et de résoudre la contradiction entre le fait que l’accès à l’information peut être exigé sans condition et le fait que la gratuité de l’accès est subordonnée à la preuve d’un intérêt particulier. Dans la pratique, il devrait en outre être difficile de définir l’intérêt public qui donne droit à un accès gratuit. Il faut retenir que la réglementation prévue va plus loin que la modification du § 29 IDG décidée par le Grand Conseil le 15 novembre 2021, qui permet d’évaluer non seulement les dépenses de l’organe public, mais aussi l’intérêt public à accéder à l’information. Al. 3 : Si le traitement de la demande d’accès à l’information occasionne un travail très important à l’organe compétent et que celui-ci souhaite facturer les frais au requérant, l’organe public doit indiquer le montant probable des frais. La possibilité d’exiger une avance de frais doit être abandonnée – conformément à la modification du § 29 IDG décidée par le Grand Conseil le 15 novembre 2021.
En guise d’introduction, il convient de préciser que les décisions selon le § 10a let. b et c LRCF peuvent également être rendues sans fondement si les parties à la procédure sont informées qu’elles peuvent demander une motivation par écrit dans les dix jours suivant la communication ou si la possibilité de faire opposition leur est accordée. Cette procédure permet d’éviter des dépenses sans pour autant restreindre les droits des parties. Cela vaut en particulier parce que la demande de motivation n’entraîne pas de frais.
Le contenu de cette disposition correspond au § 27 IDG et doit s’appliquer également au droit d’accès par le biais d’un renvoi (cf. § 38 al. 5). Il convient de retenir que le prononcé de la décision est régi par la LRCF.
Il est donc également possible de rendre une décision non motivée au préalable, en accordant une possibilité d’opposition ou la possibilité de demander ultérieurement une motivation.
Lit. a : Si l’accès à l’information est refusé, n’est pas accordé dans son intégralité ou est différé, l’organe public doit rendre une décision correspondante afin que la légalité du refus, de la limitation ou du report puisse être contrôlée par l’instance de recours et également par le tribunal. Il convient de noter que toute anonymisation ne signifie pas nécessairement une restriction du droit d’accès. Ce n’est le cas que si la demande d’accès à l’information se réfère expressément aux données personnelles anonymisées. S’il n’est pas clair que la demande d’accès à l’information se réfère aux données personnelles, il est possible de clarifier ce point de manière informelle en consultant le requérant ou la requérante.
Lit. b : Si la demande d’accès à l’information concerne (également) des données personnelles, ce qui est également le cas lorsque des données personnelles de tiers ne sont pas directement demandées, mais sont en rapport avec l’information demandée et ne peuvent pas être supprimées ou rendues anonymes (cf. § 38 al. 4 et 5 ; cf. également § 20), et si l’accès à l’information doit être accordé sur la base d’une pesée des intérêts contraire à la volonté des tiers concernés, l’organe public doit également rendre une décision. Les tiers concernés ont ainsi la possibilité de faire vérifier la pesée des intérêts par l’autorité supérieure et, le cas échéant, par les tribunaux. Il convient de noter qu’il est jugé inutile d’ajouter une norme analogue à l’art. 12, al. 3, LTrans, selon laquelle l’accès à l’information n’a lieu qu’après l’entrée en force. Il s’agit là d’une conséquence de l’effet suspensif des recours, qui va donc de soi.
Lit. c : Les frais doivent toujours être imposés par voie de décision. Par souci d’exhaustivité, il convient de le mentionner expressément au § 23 (cf. § 27 IDG).
Remarques préliminaires sur les §§ 24 s.
Selon la nouvelle doctrine, les lois sont des normes générales et abstraites qui ont été édictées dans le cadre d’une procédure législative particulière, alors que les ordonnances sont des actes législatifs d’un niveau inférieur à la loi. Il faudrait renoncer à faire une distinction entre les lois au sens formel ou matériel, car cela ne correspondrait plus à la terminologie de la Constitution fédérale (Ulrich Häfelin/Georg Müller/Felix Uhlmann, Allgemeines Verwaltungsrecht, 8e édition, Zurich 2020, n. 62 ss). Cette terminologie récente est également utilisée dans l’art. 38 Cst. Selon cet article, «toutes les règles importantes du droit cantonal […] sont édictées sous la forme de la loi». La loi sur le Grand Conseil utilise elle aussi exclusivement le terme de «loi» pour désigner les lois au sens formel (§ 76 al. 1 LGC). Ainsi, le terme utilisé dans la doctrine est également introduit dans le canton de Zurich et peut être utilisé ainsi. Le terme de «loi» doit être utilisé exclusivement pour les lois au sens de l’art. 38 Cst. et remplacer le terme de loi au sens formel. Pour le traitement de données personnelles particulières, il faut donc exiger une base dans une loi et non plus dans une loi formelle. Pour le traitement des autres données personnelles, une base dans une ordonnance doit en outre suffire. Si une ordonnance suffit comme base, cela est expressément mentionné pour des raisons de transparence. Il convient de noter que les ordonnances sont des réglementations générales et abstraites qui contiennent des règles de droit d’importance secondaire, notamment pour l’exécution des lois (cf. art. 38, al. 2, Cst.).
Cette disposition règle, comme jusqu’à présent le § 8 al. 1 LDI, quand un organe public peut traiter des données personnelles. Dans ce contexte, il convient de souligner une fois de plus que la mise en œuvre du principe «once only» ne peut pas se faire dans le cadre de la révision de la LDI (cf. supra, A.). En ce qui concerne le traitement de données personnelles par l’administration cantonale, il convient de se référer au § 44 al. 3 OG RR, selon lequel «tous les services de l’administration cantonale [ont] accès [aux données personnelles] dans la mesure où ils en ont besoin pour accomplir leurs tâches». Cette disposition concorde également avec le § 23 de la loi sur l’enregistrement et les registres des habitants du 11 mai 2015 (LS 142.1), selon lequel les autorités et l’administration du canton peuvent consulter des données par voie électronique sur la plateforme cantonale des données des habitants et se faire communiquer les modifications de données, dans la mesure où cela est nécessaire à l’accomplissement de leurs tâches légales.
Lit. a : Le traitement de données personnelles est toujours autorisé lorsqu’une loi ou une ordonnance autorise ou oblige l’organe public à le faire. Ceci est déjà couvert aujourd’hui par le § 8 al. 1 IDG. La subdivision en deux littéraux met toutefois en évidence le fait qu’une autorisation ou une obligation expresse n’est justement pas une condition préalable à l’admissibilité du traitement des données.
Lit. b : Cette disposition stipule que pour que le traitement de données personnelles par les organes publics soit licite, il suffit que les tâches pour l’accomplissement desquelles un traitement de données personnelles est nécessaire soient réglées dans une loi ou une ordonnance. Il n’est pas nécessaire de mentionner expressément que le traitement des données doit être approprié à l’accomplissement des tâches. Il découle du principe de proportionnalité qu’une action de l’État doit toujours être appropriée pour atteindre l’objectif visé afin d’être tout simplement admissible. Cela découle de l’article 5, paragraphe 2, de la Constitution fédérale, selon lequel toute action de l’État doit servir l’intérêt public et être proportionnée. Comme le principe de proportionnalité fait désormais l’objet d’une disposition spécifique dans la LPD (§ 27), il n’est pas nécessaire de préciser dans la présente disposition que le traitement des données doit être approprié. Le terme «nécessaire» englobe les critères d«»adéquation« et de »nécessité«. Dans les lois zurichoises, les termes »nécessaire« et »approprié et nécessaire” sont utilisés dans le même sens (voir par exemple § 26 al. 3 de la loi sur l’exécution des peines et des mesures du 19 juin 2006 [LS 331] ou § 6 de la loi sur la procédure de conciliation pour les litiges relevant de la loi sur l’égalité dans les rapports de travail de droit public du 10 mai 2010 [LS 177.12]).
Il reste à ajouter que l’on a renoncé à régler dans la loi le cas où l’organe public peut traiter les données si la personne concernée a rendu ses données accessibles à tous et ne s’est pas expressément opposée à leur traitement (cf. art. 34, al. 4, let. b, nLPD pour les organes fédéraux). Etant donné qu’un traitement de données ne peut de toute façon être envisagé que s’il sert à l’accomplissement de la tâche de l’organe public et qu’une base légale est à son tour obligatoire pour cette tâche, les cas réglés à l’art. 34, al. 4, let. b nLPD sont déjà couverts par le § 23, let. b.
Lit. c : Le droit actuel connaît déjà le consentement, même s’il est limité au cas particulier de la communication de données personnelles (§§ 16 al. 1 let. b et 17 al. 1 let. b LDI). Un tel consentement est également compatible avec la protection des droits fondamentaux (art. 13 al. 2 Cst. ; cf. ATF 138 I 331 consid. 6 avec renvois). C’est ainsi que la nLPD prévoit la possibilité du consentement pour le traitement des données par les organes fédéraux (art. 6, al. 6 en relation avec l’art. 34, al. 4, let. b nLPD). Le consentement est particulièrement important dans le contexte de la numérisation. Si, par exemple, des données d’un registre (p. ex. casier judiciaire) ou des données fiscales (p. ex. dans le cadre d’une procédure de naturalisation) sont nécessaires pour une prestation de l’autorité, leur obtention et leur traitement par l’autorité pourraient être rendus possibles par le biais du consentement. Cela implique beaucoup moins de travail pour la personne concernée et peut également entraîner des économies pour l’administration. Un tel accès direct à certaines données peut également servir à économiser les données, car seules les données essentielles doivent être consultées et traitées de manière ciblée, et non des ensembles de données entiers (par exemple la déclaration d’impôt complète). A l’avenir, la possibilité de traiter des données personnelles par consentement doit être possible de manière générale et ne plus être limitée au cas particulier de la communication de données personnelles. C’est ce qu’ont demandé plusieurs participants à la consultation, en s’alignant sur la loi fédérale sur la protection des données.
Une base juridique est toujours nécessaire pour une tâche étatique. Celle-ci peut également servir de base au traitement de données personnelles chaque fois que le traitement de données personnelles est nécessaire à l’accomplissement de la tâche (cf. § 24, let. b) ou lorsque le traitement de données personnelles particulières est indispensable à l’accomplissement de la tâche et que les exigences du § 25, let. a et b, sont en outre remplies. Toutefois, si le traitement souhaité des données personnelles va au-delà de ce qui est nécessaire ou indispensable à l’accomplissement de la tâche, la définition de la tâche comme base légale pour ce traitement des données personnelles ne peut pas suffire. La présente disposition doit permettre, dans de tels cas, le traitement des données sur la base du consentement des personnes concernées. La condition préalable à un tel consentement est que le traitement des données soit effectué dans le cadre de l’accomplissement d’une tâche étatique, même si le traitement n’est pas indispensable à cet effet. Le consentement permet de clarifier pour les personnes concernées le type d’utilisation de leurs données : Si une base juridique ne permet pas de déterminer clairement le type de traitement de données nécessaire, l’organe public peut demander à la personne soumise au droit de donner son consentement. Cette disposition est donc également utile aux personnes soumises au droit.
Conformément à la jurisprudence du Tribunal fédéral, le consentement ne doit être autorisé qu’au cas par cas. Conformément à l’art. 6 nLPD, aucune exigence de forme n’est requise pour le traitement de données personnelles (et non de données personnelles particulières). Le consentement est donc notamment possible de manière implicite (cf. rapport explicatif relatif à l’avant-projet de loi fédérale sur la révision totale de la loi sur la protection des données et la modification d’autres actes législatifs relatifs à la protection des données du 21 décembre 2016, p. 47). Pour les exigences fondamentales en matière de consentement, voir § 12).
Le contenu de cette disposition correspond dans une large mesure au droit en vigueur et règle le principe de légalité en matière de protection des données en ce qui concerne les données personnelles particulières, principe qui figurait jusqu’à présent au § 8 al. 2 LDI. A l’avenir également, une base dans une loi (formelle) sera nécessaire comme autorisation pour le traitement de données personnelles particulières ; toutefois, pour s’adapter à la terminologie utilisée dans les lois les plus récentes, seul le terme de «loi» sera utilisé.
La protection de la vie privée et la protection contre l’utilisation abusive de données personnelles (particulières) sont un bien précieux. La protection de la vie privée se situe au même niveau que les autres droits fondamentaux. Cela signifie que la protection des données n’a pas de valeur particulière en ce sens qu’une réglementation plus complète ou plus détaillée du traitement des données et des informations au niveau de la loi serait nécessaire par rapport aux restrictions d’autres droits fondamentaux. Une meilleure transparence et une meilleure protection des données, associées à une exécution efficace et effective de l’activité des autorités et de l’administration, sont largement compromises par des réglementations complètes et détaillées au niveau de la loi. Une telle réglementation conduit au contraire à un manque de flexibilité de l’action administrative et à un besoin fréquent d’adaptation des lois, car c’est précisément dans le domaine du traitement des données que de nouveaux besoins (justifiés) apparaissent régulièrement. En outre, il n’est pas rare que le choix des moyens ne soit possible que sur la base de la concrétisation dans un cas particulier. En principe, le traitement de données personnelles particulières doit être considéré comme une atteinte grave aux droits fondamentaux, raison pour laquelle il doit ressortir clairement de la loi (formelle) que l’organe public est autorisé à traiter les données personnelles particulières pour accomplir ses tâches (ATF 144 I 126 consid. 5.1, ATF 139 I 280 consid. 5.1 ; dans les deux cas avec renvois). Outre la réglementation expresse du traitement de données personnelles particulières dans une loi (let. a), la définition d’une tâche pour l’accomplissement de laquelle le traitement de données personnelles particulières est indispensable doit également constituer – sous réserve d’exigences strictes – une base légale suffisante pour le traitement de données personnelles particulières (let. b). Sur la base des réponses à la consultation, l’al. 2 a été formulé de manière encore plus concrète que dans le projet mis en consultation et le contenu réglementaire de l’art. 34, al. 2, let. a et b, nLPD a été repris.
Lit. a : La notion de «base suffisamment déterminée» est sujette à interprétation. Il convient de noter à ce propos qu’une certaine ouverture de la normalisation répond ici aussi – comme dans d’autres domaines de l’action administrative touchant aux droits fondamentaux – au but légitime d’accorder aux unités administratives une marge d’appréciation appropriée et de permettre une action flexible. Les dispositions légales ne doivent donc pas réglementer toutes les catégories de données, chaque finalité de traitement des données, chaque autorité ou service autorisé à traiter des données et chaque manière imaginable de traiter les données. Il en résulterait une densité réglementaire énorme, dans laquelle pratiquement aucun autre domaine de l’action administrative n’est réglementé par la loi, même si, comme la protection des données, il est pertinent pour les droits fondamentaux. La réglementation au niveau de la loi peut par conséquent se limiter aux principes. La réglementation ne doit pas nécessairement se faire dans une seule loi. Dans de nombreux cas, les actes d’organisation de certaines autorités peuvent également être pris en compte pour déterminer si une base légale est suffisamment précise. Pour l’administration cantonale, il convient de signaler dans ce contexte que le § 44 OG RR contient une base légale générale pour le traitement de données personnelles, y compris de données personnelles particulières. Celle-ci mentionne également les finalités possibles du traitement. Cette norme – associée à la description des tâches dans les lois sectorielles respectives et à d’autres actes législatifs éventuels relevant du droit organisationnel – constitue en règle générale une base légale suffisamment précise pour le traitement de données personnelles (particulières) dans un domaine de tâches et de compétences déterminé (p. ex. poursuite pénale, exécution de la justice). Il en va de même lorsque, à certaines étapes de l’accomplissement des tâches, différents organes sont chargés de traiter des données personnelles (outre les organes habilités à accomplir les tâches, les organes de surveillance, le personnel administratif, voire des tiers externes à l’administration, dans la mesure où ils sont impliqués dans l’accomplissement des tâches étatiques prévues par la loi, par exemple des experts dans le cadre d’une procédure administrative).
Les détails du traitement des données peuvent être réglés par voie d’ordonnance. Cela est particulièrement nécessaire dans le présent domaine, car il faut souvent régler des détails techniques dans un domaine qui évolue rapidement. La normalisation détaillée au niveau de la loi des catégories de données personnelles (particulières) utilisées dans un domaine d’activité donné semble peu judicieuse et inadaptée à l’échelon concerné. Souvent, les catégories de données personnelles traitées découlent sans autre de la finalité d’un traitement de données donné, sans qu’une réglementation séparée ne soit nécessaire. Lorsque ce n’est pas le cas, il est recommandé de réglementer au niveau de l’ordonnance, tout en introduisant une norme de délégation dans la loi sectorielle elle-même. Les réglementations relatives aux mesures de sécurité de l’information sur le plan technique et organisationnel (par ex. cryptage, sauvegarde, journalisation, concepts d’accès, réglementation du classement des dossiers) doivent en principe être édictées par voie d’ordonnance, pour autant qu’elles soient encore nécessaires en plus des prescriptions déjà existantes dans le domaine concerné. En règle générale, le Conseil d’Etat est déjà compétent en la matière en vertu de sa compétence d’édicter des ordonnances d’exécution (art. 38, al. 3 et 67, al. 2 Cst.). La délégation de compétences réglementaires à des instances inférieures au Conseil-exécutif, notamment à une direction ou à un office, doit toutefois être prévue dans la loi elle-même en raison de l’interdiction de la subdélégation.
Lit. b : Outre la réglementation explicite de l’autorisation de traiter des données personnelles particulières, la loi doit désormais stipuler expressément que le traitement de données personnelles particulières est également autorisé lorsque la loi règle la tâche pour l’accomplissement de laquelle le traitement des données personnelles particulières est indispensable. Pour ce faire, la nature des tâches qui nécessitent le traitement de données personnelles doit être suffisamment concrétisée au niveau de la loi. En outre, les règles relatives au traitement des données doivent être fixées au niveau de l’ordonnance (ch. 2). La réglementation met en œuvre le principe constitutionnel selon lequel seuls les principes juridiques importants doivent être réglés dans la loi (art. 38, al. 1, Cst.). Il convient de noter à cet égard que la jurisprudence du Tribunal fédéral relative aux exigences en matière de base légale est abondante (cf. 146 I 11 consid. 3 avec renvois). L’admissibilité du traitement des données personnelles particulières doit résulter clairement d’une base légale. Avec cette exigence, le traitement de données personnelles particulières suppose un lien direct avec la tâche décrite dans la loi. Il n’est donc admissible que si les personnes concernées doivent s’attendre à ce que les données personnelles particulières soient traitées dans le cadre de l’accomplissement des tâches définies par la loi (cf. ATF 122 I 360 ss, consid. 5).
Les flux de données et d’informations sont étroitement liés à l’accomplissement des tâches de l’Etat et aux règles de compétence prévues par le droit organisationnel. Si les tâches à accomplir et les compétences correspondantes sont réglées de manière suffisamment concrète dans la loi, de sorte qu’il faut s’attendre à ce que des données personnelles particulières soient traitées et que les flux de données et d’informations soient transparents, il n’est pas nécessaire d’introduire au niveau de la loi des définitions de finalités et des règles de compétence supplémentaires dans les dispositions relatives au traitement des données. Au contraire, une norme de délégation au niveau de la loi et la réglementation du traitement des données au niveau de l’ordonnance sont suffisantes. Cela correspond également aux exigences posées en principe à la délégation de compétences législatives. L’art. 38 al. 1 Cst. prescrit la forme de la loi pour les «règles de droit importantes». La question de savoir si des règles de droit sont importantes doit être déterminée sur la base de critères. Outre la gravité de l’atteinte à la situation juridique des destinataires de la norme, c’est notamment le caractère fondamental qui est important : la loi doit fixer des décisions de principe sur les grandes lignes de la politique et laisser les détails au pouvoir réglementaire (cf. Christian Schuhmacher, in : Commentaire de la Cst., art. 38 n. 12 et 15). En ce qui concerne la délégation de compétences législatives, le Tribunal fédéral a décrit dans une riche pratique les exigences constitutionnelles fédérales relatives à la base légale nécessaire (cf. par exemple ATF 128 I 327 consid. 4). La possibilité d’une délégation est généralement reconnue lorsqu’elle est contenue dans une loi, qu’elle n’est pas exclue par le droit cantonal, qu’elle se limite à un domaine déterminé et que la loi contient elle-même les grandes lignes de la réglementation, dans la mesure où la position des personnes soumises au droit est gravement touchée (ATF 128 I 113 consid. 3c p. 122, 118 Ia 245 consid. 3b p. 247 s., 305 consid. 2b p. 310 s. ; toujours avec références). Ces principes relatifs à la délégation de compétences législatives s’appliquent également en vertu du droit constitutionnel cantonal (Christian Schuhmacher, op. cit., n. 40). S’il faut partir du principe que le traitement de données personnelles particulières touche en général gravement la situation juridique des personnes soumises au droit, cela signifie que les grandes lignes de la tâche à accomplir doivent être décrites dans la loi et que la loi contient une norme de délégation se rapportant à l’accomplissement de la tâche – et donc aussi au traitement des données. Ceci est désormais expressément stipulé à la lettre b.
Si les organes publics souhaitent traiter des données personnelles particulières que les personnes soumises au droit ne doivent pas s’attendre à voir traitées en raison de la tâche définie dans la loi, il convient donc de créer une base explicite dans la loi. Si le traitement de données personnelles particulières fait obstacle à un domaine d’activité déterminé (et donc à la finalité du traitement des données) – par exemple si un organe administratif communique des données personnelles à un autre organe administratif dont les tâches relèvent d’une autre compétence (dépassement des limites des tâches et des compétences) – la communication ou l’obtention de données nécessite une base légale (formelle). Les exemples suivants peuvent être cités à cet égard :
- Le maintien de la sécurité et de l’ordre publics, le soutien des autorités dans l’application de l’ordre juridique, les mesures préventives visant à augmenter la sécurité routière ainsi que la poursuite des infractions au droit de la circulation ne suffisent pas comme base suffisante pour l’exploitabilité des enregistrements de police de la recherche automatique de véhicules et de la surveillance du trafic (ATF 146 I 11 consid. 3). Dans ce contexte, le Tribunal fédéral a indiqué que le but d’utilisation des données collectées devait découler de la base légale.
- Des données sont régulièrement communiquées et obtenues (droits et obligations de communication) par des organes administratifs ayant un autre domaine de tâches et de compétences. Ces communications et retraits de données doivent être distingués des communications de données personnelles particulières dans le cadre de l’entraide administrative, qui sont couvertes par l’article 35, paragraphe 3, lettre b, qui ont lieu au cas par cas et qui ne nécessitent pas de réglementation supplémentaire dans des lois matérielles.
- Un organe public communique des données dans un domaine soumis à un secret professionnel selon l’art. 321 CP ou à un autre secret prévu par une loi spéciale (p. ex. secret fiscal, secret de l’aide sociale, secret de la protection de l’enfant et de l’adulte). Pour que, dans ces cas, les autorités et organes qui communiquent (détenteurs du secret) ne violent pas leurs prescriptions en matière de secret en les communiquant à d’autres fins, il faut une base légale comme motif justificatif (par exemple au sens de l’art. 14 CP). Le secret de fonction selon l’art. 320 CP n’est pas important à cet égard.
Ch. 1 : Lors de la procédure de consultation, diverses critiques ont été émises à l’encontre de la réglementation prévue. Il a été donné suite à ces critiques en ajoutant un critère supplémentaire, à savoir que le but du traitement ne doit pas présenter de risque particulier pour les droits fondamentaux de la personne concernée. La réglementation correspond ainsi à l’art. 34, al. 3 nLPD. Il ressort de la jurisprudence du Tribunal fédéral que les exigences relatives au niveau et à la densité de la norme sont d’autant plus élevées que l’atteinte aux droits fondamentaux est importante (ATF 141 I 201 consid. 4). Ce dernier principe est expressément transposé dans la LDI par la lettre a. Il reste en outre à ajouter que, selon la jurisprudence du Tribunal fédéral, l’utilisation de technologies intelligentes de traitement des données, notamment à des fins de surveillance, est soumise à des exigences élevées en matière de bases légales (cf. ATF 146 I 11). La disposition nouvellement formulée garantit notamment que l’utilisation de systèmes de reconnaissance biométrique, qui sont considérés comme un traitement de données personnelles particulières selon le § 5 al. 4 let. a ch. 2, n’est possible que si une base légale (formelle) l’autorise expressément. Cela répond à la demande des motionnaires de la motion CRN n° 329/2022 concernant la protection des droits fondamentaux et de la sphère privée dans l’espace public : si l’utilisation de systèmes de reconnaissance biométrique n’est pas expressément prévue par la loi, elle est interdite.
Chiffre 2 : L’exigence d’une réglementation du traitement des données dans une ordonnance crée la transparence sur la nature des traitements de données et garantit en outre qu’une contestation de la réglementation générale et abstraite est possible.
Lit. c : On peut d’abord renvoyer aux explications relatives au § 24, lettre c. Toutefois, les données personnelles particulières ne peuvent être traitées sur la base d’un consentement que si elles servent à l’accomplissement d’une tâche définie dans une loi (formelle). En outre, le consentement au traitement de données personnelles particulières suppose un consentement exprès. Cette formulation est conforme à l’art. 6, al. 6 et 7 nLPD et répond également aux exigences de la Convention STE 108 (art. 5, al. 2). Le règlement (UE) 2016/679 (règlement général sur la protection des données, RGPD ; art. 4, ch. 11 et art. 6, ch. 1, let. a) choisit lui aussi une formulation similaire. La distinction entre données personnelles et données personnelles particulières correspond également à celle qui est faite dans le droit en vigueur pour la communication aux §§ 16 al. 1 let. a et 17 al. 1 let. a IDG.
Les exigences en matière de consentement sont réglées de manière uniforme pour toutes les données personnelles au § 12.
Alinéa 1Cette disposition correspond dans une large mesure au contenu de l’article 9, alinéa 1 de la LDI et de l’article 6, alinéa 3 de la nLPD. La finalité signifie que les données personnelles ne sont traitées que dans le but pour lequel elles ont été collectées. C’est une conséquence du fait que le traitement des données ne peut être effectué que sur la base d’un fondement juridique, les exigences relatives au fondement juridique étant différentes pour les données personnelles (§ 24) et les données personnelles particulières (§ 25). Le fait que les données personnelles doivent être saisies à chaque fois par un grand nombre d’autorités entraîne une charge administrative qui pourrait être évitée. La directive (UE) 2016/680 ne permet pas de limiter la stricte limitation de la finalité aux données personnelles particulières, raison pour laquelle tout traitement plus poussé de données personnelles est soumis aux mêmes exigences en matière de base légale que le traitement dans le but pour lequel les données ont été collectées. Le traitement dans un autre but n’est autorisé que si une base légale ou un consentement selon les §§ 24 s. le permet.
Le traitement à une autre fin est autorisé si la personne concernée a donné son consentement. Les exigences des §§ 24 let. c et 25 let. c ainsi que du § 12 s’appliquent au consentement. Le consentement ne peut donc pas être obtenu de manière globale et d’emblée, mais il n’est admissible qu’au cas par cas. Par souci d’exhaustivité, il convient de préciser qu’une mise en œuvre complète du principe «once only» ne sera pas abordée dans le cadre de la présente révision de la LDI, mais dans le cadre de l’initiative stratégique Données globales (ACE n° 1331/2022 ; cf. également supra, A.). Pour l’administration cantonale, il convient toutefois de se référer également dans ce contexte au § 44 al. 3 OG RR, qui constitue – en relation avec la base légale pour l’accomplissement des tâches – une base légale suffisante pour le traitement de données personnelles (simples) dans un autre but.
Alinéa 2 correspond pour l’essentiel au § 9 al. 2 IDG. En complément, il est tout d’abord précisé que l’anonymisation doit avoir lieu dès que le but du traitement le permet. Cette formulation correspond largement à l’art. 31, al. 2, let. e, ch. 1 nLPD. En outre, le terme «dans la mesure» a été ajouté à la disposition légale. Ce complément confère à la prescription d’anonymisation une composante de contenu en plus de la composante temporelle et correspond ainsi au libellé du § 9 de la loi du 11 mai 2015 sur la statistique (StatG, LS 431.1). La disposition garantit ainsi qu’il n’est pas possible de tirer des conclusions sur les personnes concernées à partir des résultats publiés.
La communication de données personnelles à des fins non personnelles est expressément réglée au § 37, comme dans le droit en vigueur (§ 18 IDG).
Le principe de proportionnalité découle de la Constitution fédérale et s’applique à toute action administrative. Toutefois, sa mention expresse dans la LDI revêt une importance particulière. Dans la pratique, la mesure du traitement des données personnelles revêt une grande importance. Jusqu’à présent, le principe était déjà implicitement contenu dans le § 8 al. 1 LDI, qui renvoie, pour le traitement de données personnelles, au fait que celui-ci doit être «approprié et nécessaire» à l’accomplissement de la tâche. Contrairement à la LDI en vigueur, le principe doit être transféré dans un paragraphe distinct et séparé de l’exigence relative à la base légale. Il faut retenir qu’un traitement de données personnelles n’est d’emblée autorisé que si le traitement est nécessaire à l’accomplissement de la tâche publique et que le mode de traitement semble également approprié à cet effet. En outre, le traitement doit être effectué de manière appropriée. Cela s’exprime par exemple dans l’étendue de la collecte de données personnelles et dans la durée de conservation autorisée des données personnelles collectées. Enfin, le traitement doit être raisonnablement exigible de la part de la personne concernée (cf. par exemple ATF 149 II 1 consid. 2.6, ATF 137 I 327 consid. 5.4).
La mention du principe de la bonne foi, tel qu’il figure par exemple à l’art. 6, al. 2, nLPD et dans différentes lois cantonales sur la protection des données, n’apparaît pas comme nécessaire. Il n’est guère possible de donner des contours clairs à ce principe dans le contexte du traitement de données personnelles et d’en déduire des exigences claires pour les personnes qui traitent les données. Souvent, le principe de la bonne foi englobe aussi de manière générale l’exigence de transparence, ce qui n’apporte aucune valeur ajoutée normative compte tenu de l’obligation d’informer sur la collecte de données personnelles selon le § 31 (§ 12 IDG).
Alinéa 1La réglementation s’appuie sur la disposition de la nLPD révisée. Le Conseil d’Etat doit pouvoir autoriser par voie d’ordonnance le traitement de données personnelles particulières dans le cadre d’essais pilotes avant l’adoption d’une base juridique conformément au § 25. Cela peut par exemple être le cas lorsque, en raison du risque particulier pour les droits fondamentaux des personnes concernées, une base suffisamment précise pour le traitement des données personnelles particulières serait nécessaire dans une loi (§ 25 let. a, cf. ci-après let. a). Un traitement de données dans le cadre d’un essai pilote peut en outre être autorisé lorsque le traitement des données personnelles particulières doit certes être effectué dans le cadre d’une tâche réglementée par une loi et qu’il ne présente pas de danger particulier pour les droits fondamentaux des personnes concernées (cf. § 24, let. a), mais que le traitement des données n’est pas «indispensable» à la tâche (§ 25, let. b). Il faut également penser au cas où les conditions prévues au § 25, lettre a, sont certes remplies, mais où le traitement des données n’est pas encore réglementé dans une ordonnance (§ 25, lettre b, chiffre 2). Dans de tels cas également, un traitement des données personnelles dans le cadre d’un essai pilote fondé sur les §§ 28 s. peut s’imposer, car il n’est parfois pas encore possible d’évaluer comment le traitement des données doit être réglé au niveau de l’ordonnance conformément au § 25, let. b, ch. 2 (même à plus long terme).
Le traitement de données personnelles particulières dans le cadre d’essais pilotes ne doit être autorisé que si les tâches qui nécessitent le traitement en question sont elles-mêmes réglées dans une loi (let. a). En outre, des mesures suffisantes doivent être prises pour prévenir les atteintes à la personnalité afin de limiter autant que possible les atteintes aux droits fondamentaux des personnes concernées (let. b). Enfin, la phase de test doit être nécessaire à la mise en œuvre pratique du traitement des données (let. c). Ces conditions sont cumulatives.
Lit. a : La tâche est certes réglée dans la loi, mais elle est définie de manière plus générale que ce qui est exigé dans les bases selon le § 25. Cela peut par exemple être le cas pour les tâches de police : ainsi, l’utilisation de caméras mobiles que les policiers portent sur eux lors d’interventions policières et qui permettent d’enregistrer des séquences n’est pas couverte par le § 3 PolG, car leur utilisation ne semble pas indispensable à l’accomplissement des tâches légales (§ 52, al. 2 PolG ; cf. § 25, let. b). Il peut donc s’avérer utile, avant de créer une base légale spécifique, de tester dans le cadre d’un projet pilote si les résultats justifient l’utilisation des caméras.
Lit. b : Dans ce contexte, il faut tenir compte de tous les droits fondamentaux et pas seulement du droit à l’autodétermination en matière d’information. Lit. c : Les essais pilotes ne sont autorisés que si des phases de test sont nécessaires. Celles-ci peuvent s’imposer notamment pour des raisons techniques.
al. 2 : La limitation des essais pilotes à cinq ans a pour conséquence qu’une base juridique doit être mise en vigueur au plus tard cinq ans après le début de l’essai pilote, conformément au § 25. Une prolongation des essais pilotes n’est pas prévue, raison pour laquelle les organes publics doivent entamer à temps le processus législatif : Si les règles correspondantes n’entrent pas en vigueur avant l’expiration du délai de cinq ans, l’essai pilote ne peut plus être poursuivi. Il n’est pas nécessaire de régler expressément cette évidence dans la loi.
alinéa 3 : Pour l’utilisation de systèmes de reconnaissance biométrique dans l’espace public, les essais pilotes ne doivent en principe pas être autorisés. Il s’ensuit que l’utilisation de ces moyens doit toujours reposer sur une base juridique conformément au § 25. Ceci est également partiellement mis en œuvre par la motion CRN n° 329/2022 concernant la protection des droits fondamentaux et de la vie privée dans l’espace public.
alinéa 4 : Les communes doivent également pouvoir réaliser des essais pilotes sur la base de la LDI. C’est l’exécutif communal qui est compétent. Il convient de noter que cette disposition ne confère aucune compétence aux organes de direction d’autres organes publics, tels que les établissements publics. Les essais pilotes correspondants devraient être ordonnés par le Conseil d’Etat par le biais d’une ordonnance. Si un organe public devait permettre des essais pilotes par ses propres organes de direction, cela devrait être réglé dans la loi spéciale correspondante de l’organe public.
Il convient tout d’abord de noter que le renvoi concernant les communes figurant à l’article 28, paragraphe 4, s’applique également à l’article 29 en tant que disposition générale.
al. 1 : En ce qui concerne la réglementation dans l’ordonnance, il convient de demander au préalable l’avis du ou de la préposé(e). La mise en œuvre du projet pilote, c’est-à-dire le traitement effectif des données, est soumise au contrôle préalable, comme tous les autres traitements de données présentant des risques particuliers.
al. 2 : Dans le cas d’essais pilotes, une évaluation est indispensable, car elle doit servir de base à la décision d’une introduction définitive. En règle générale, l’évaluation doit commencer dès le début de la phase expérimentale. Comme une base juridique doit être créée dans un délai de cinq ans conformément au § 25, l’évaluation doit en règle générale être terminée au plus tard deux ans avant l’expiration de ce délai de cinq ans, afin de permettre l’adoption de la base juridique dans le délai imparti.
Le § 11 IDG n’est pas repris dans le nouveau droit. Cette disposition (en particulier l’al. 2) se référait aux données dites périphériques, c’est-à-dire aux données générées lors du traitement et nécessaires au fonctionnement du système (cf. Bruno Baeriswyl, in : Praxiskommentar IDG, § 11 N. 1). En lieu et place, les principes de «privacy by design», c’est-à-dire de protection des données par la conception technique (al. 2), et de «privacy by default», c’est-à-dire de protection des données par des paramètres par défaut favorables à la protection des données (al. 3), sont désormais expressément mentionnés dans la loi. Il s’agit de principes établis dans le droit européen de la protection des données. Leur introduction dans la LDI permet de répondre aux exigences de l’article 20 de la directive (UE) 2016/680. Le règlement général sur la protection des données de l’UE (art. 25 RGPD) ainsi que la Confédération dans la nLPD révisée (art. 7 nLPD) connaissent des dispositions correspondantes. La présente disposition complète spécifiquement le § 10, qui régit la sécurité de l’information et s’applique au traitement de toutes les informations, dans le domaine de la protection des données.
al. 1 : Cette disposition est transférée telle quelle du § 13 al. 1 IDG dans le nouveau droit. Conformément aux articles 4 et 8 de la directive (UE) 2016/680, les dispositions relatives à la protection des données doivent comporter l’exigence de pouvoir prouver le respect des dispositions relatives à la protection des données. Il convient de retenir que cette preuve doit être apportée notamment par l’adoption de règles d’organisation, de directives de sécurité de l’information et de concepts d’accès appropriés. Les processus et procédures des organes publics doivent être réglés de manière à ce que les dispositions relatives à la protection des données soient respectées. Les exigences relatives à la mise en œuvre (p. ex. le degré de détail des concepts d’accès) doivent correspondre au risque lié au traitement des données personnelles concernées. Les exigences seront moins étendues pour les données personnelles ordinaires que pour les données personnelles particulières. Il convient de noter qu’il n’existe aucune obligation pour les organes publics de mettre en place des systèmes de gestion des données certifiés.
Les dépenses supplémentaires pour la mise en œuvre de ces exigences ne devraient pas être importantes, car l’adoption de règles d’organisation, de directives de sécurité de l’information et de concepts d’accès est déjà courante aujourd’hui.
Alinéa 2 régit le principe de «privacy by design». Il exige de l’organe public qu’il conçoive le traitement des données sur le plan technique et organisationnel dès la planification, de manière à ce que les prescriptions en matière de protection des données puissent être respectées. Alors que l’al. 1 réglemente les règles d’organisation générales des organes publics, telles que les directives de sécurité de l’information ou les concepts d’accès (par exemple en ce qui concerne les systèmes de gestion des affaires), l’al. 2 concerne la conception de traitements de données concrets, c’est-à-dire la conception technique et organisationnelle des processus de traitement correspondants. Selon le principe de la protection des données par la conception technique, les mesures techniques et organisationnelles pour un traitement de données doivent être définies et mises en œuvre dès le début.
Les dispositions techniques jouent un rôle particulier à cet égard. Les technologies respectueuses de la protection des données sont indispensables à la mise en œuvre pratique des règles de protection des données. Les dimensions toujours plus grandes
Les quantités de données ne peuvent être traitées en conformité avec les règles de protection des données que si des mesures techniques adéquates sont prises. La technique permet par exemple de veiller à ce que les données qui ne sont pas soumises à l’obligation de conservation et de proposition aux archives (par exemple les données marginales) soient effacées à intervalles réguliers ou rendues anonymes ou pseudonymes de manière standard. En vertu du principe de proportionnalité, certaines informations qui perdent de leur importance en raison de l’écoulement du temps doivent être effacées. L’obligation de proposer les documents aux archives ne signifie pas que toutes les informations classées une fois dans le dossier doivent y rester, même si elles sont dépassées. Le principe de proportionnalité doit également être respecté dans le cadre de l’obligation de proposer les documents. Le traitement des données doit en outre être conçu dès le départ de manière à ne pas collecter et traiter plus de données ou des données différentes de celles qui sont couvertes par le but du traitement (minimisation des données ; voir également le message relatif à la loi fédérale sur la révision totale de la loi sur la protection des données et la modification d’autres actes législatifs relatifs à la protection des données, FF 2017 6941, 7029).
al. 3 régit le principe de «privacy by default». Au moyen de préréglages appropriés, l’organe public doit veiller à ce que seules les données nécessaires à l’utilisation prévue soient traitées. Les paramètres par défaut sont les paramètres, notamment des logiciels, qui sont appliqués par défaut, c’est-à-dire si l’utilisateur ne les modifie pas. Le principe de la protection des données par des paramètres par défaut favorables à la protection des données ne joue toutefois qu’un rôle secondaire pour les organes publics, car le traitement des données par les organes publics repose moins sur le consentement de la personne concernée que sur des obligations légales. L’objectif réglementaire de minimisation des données poursuivi par ce principe doit toutefois également être pris en compte lors de la conception technique conformément à l’al. 2.
alinéa 4 : La réglementation correspondante se trouve au § 13 alinéa 2 IDG. En outre, il doit être possible de faire contrôler l’organisation (déroulements, processus), la technique utilisée et les préréglages choisis par un organisme externe indépendant. En revanche, il n’est pas prévu d’introduire une obligation de contrôle par un organisme indépendant. Une telle «certification» ne semble pas nécessaire dans le domaine public, où les dispositions légales doivent impérativement être appliquées. Le respect des prescriptions correspondantes est en effet assuré par les moyens de surveillance et de contrôle du préposé à la protection des données. Dans certains cas, un contrôle externe peut toutefois s’avérer utile.
Le § 12 LDI a été adapté lors de la révision du 25 novembre 2019 conformément aux exigences de la directive européenne 2016/680 (cf. guide 5.2 et 5.3) et doit être repris tel quel. Il convient de retenir que, selon l’al. 3, let. b, l’obligation d’informer est toujours supprimée lorsque la collecte des données personnelles est prévue par la loi. Comme il s’agit là de la règle, la pertinence pratique de la disposition est faible. La disposition a une certaine importance en cas d’utilisation de caméras vidéo. La disposition oblige les personnes qui enregistrent à apposer une mention correspondante, même si aucune donnée n’est enregistrée.
Dans le cadre de la possibilité nouvellement introduite de consentir à un traitement de données (§ 12), la norme revêt toutefois une plus grande importance. Une information préalable «appropriée» sur le traitement de données prévu est en effet une condition préalable pour que le consentement puisse être valablement donné. Le § 12 exige ainsi que la personne concernée soit consciente des conséquences de son consentement et des objectifs poursuivis par le traitement des données. Un consentement ne peut être donné qu’en connaissance des circonstances concrètes. En outre, la personne concernée doit toujours être informée que son consentement peut être révoqué. Si des données personnelles doivent être collectées sur la base d’un consentement, il en résulte un devoir d’information sur la collecte conformément au § 31, al. 1.
Une information est également indiquée dans les cas d’entraide administrative générale (cf. ci-dessous al. 3). Dans le cas de l’assistance administrative générale, l’information est certes fondée sur une disposition légale, mais elle n’est pas reconnaissable pour les personnes concernées.
Il convient ensuite d’ajouter que la manière dont l’information doit être fournie n’est pas fixée. Les organes publics peuvent également utiliser les technologies modernes (par exemple les codes QR), pour autant que l’on puisse supposer que les personnes concernées disposent des outils nécessaires pour prendre connaissance de l’information.
al. 3 let. b : la communication de données personnelles n’est pas nécessaire si une disposition légale spéciale prévoit la communication (cf. par ex. § 47c de la loi sur l’aide sociale du 14 juin 1981 [LS 851.1]). En revanche, une communication fondée sur l’entraide administrative générale selon le § 35 al. 3 let. b ne dispense pas de l’obligation d’informer.
al. 3 lit. c : Le coût de l’information des personnes concernées par le service administratif doit être déterminant. Celui-ci doit être très important pour qu’une information ne soit pas nécessaire. Cela se mesure aux moyens en personnel disponibles. Une pesée des intérêts n’est pas exigée, car les intérêts des personnes concernées ne sont pas connus et ne peuvent pas non plus être connus.
Il convient d’adapter le renvoi à l’al. 3 let. d : jusqu’à présent, le § 12 al. 3 let. d LDI était libellé «dans les cas visés au § 23» et se référait à un refus de communication fondé sur une pesée des intérêts. L’adaptation du § 23 LDI (nouveau : pesée des intérêts lors de la communication d’informations au § 11) entraîne également un besoin d’adaptation de la présente disposition : les «cas» mentionnés dans la formulation actuelle sont des informations qui ne sont pas autorisées sur la base d’une pesée des intérêts.
Le § 10 IDG est repris tel quel du droit en vigueur. En complément, il convient de souligner que l’organe public doit, lors de la planification de traitements de données, prendre en considération, dans le cadre de son analyse des bases juridiques, les risques pour l’ensemble des droits fondamentaux, y compris la protection contre la discrimination, qui revêt une importance particulière dans le contexte de l’utilisation de systèmes décisionnels algorithmiques. Cette protection globale des droits fondamentaux n’est en revanche pas l’objectif de la LDI. En conséquence, la protection contre la discrimination ne peut pas non plus faire l’objet d’un contrôle préalable.
Alinéa 1Le § 12a IDG a été introduit lors de la révision du 25 novembre 2019 dans le cadre de l’adaptation aux exigences de la directive européenne 2016/680 (cf. guide 6.4). Conformément à la directive, toute violation de la sécurité des données n’est pas soumise à l’obligation de notification. Les incidents qui n’entraînent vraisemblablement aucun risque pour les droits fondamentaux des personnes concernées ne sont pas soumis à l’obligation de notification (art. 30, al. 1 ; cf. Julian Powell, Die Revision der kantonalen Datenschutzgesetze, in : Jusletter, 31 mai 2021, p. 9). La Confédération définit à l’art. 5, let. h, nLPD la notion de sécurité des données comme «une atteinte à la sécurité qui a pour conséquence que des données personnelles sont accidentellement ou illicitement perdues, effacées, détruites ou modifiées ou qu’elles sont divulguées ou rendues accessibles à des personnes non autorisées». L’art. 24, al. 1, nLPD stipule ensuite qu’une violation de la sécurité des données doit être notifiée si elle «est susceptible d’engendrer un risque important pour la personnalité ou les droits fondamentaux de la personne concernée». L’obligation de notification incombe à l’organe compétent, la compétence découlant du droit organisationnel.
Comme dans le droit en vigueur, les traitements non autorisés de données personnelles doivent également être déclarés dans le canton de Zurich. Il convient de souligner que le droit zurichois va sur ce point au-delà des exigences de la directive européenne et de la nLPD. Pour être soumis à l’obligation de notification, le traitement non autorisé doit également présenter un risque important pour les droits fondamentaux de la personne concernée. Comme exemples de traitements de données non autorisés, on peut citer la collecte d’informations auprès des habitants sans base légale ou une collecte de données sensibles non nécessaires au moyen de modèles de formulaires ou de demandes par un service administratif.
§ L’article 12a IDG présuppose un risque pour les droits fondamentaux. Désormais, sur le modèle de l’art. 24 al. 1 nLPD, un «risque important pour les droits fondamentaux» doit être déterminant. Comme tout traitement non autorisé de données comporte en principe un risque pour les droits fondamentaux, il se justifie – comme le fait la Confédération – de ne prévoir une obligation de déclaration qu’en cas de risques importants. Les conséquences négatives possibles pour la personne concernée d’une violation de la sécurité des données ou d’un traitement non autorisé des données sont déterminantes pour l’évaluation du risque. Les conséquences négatives peuvent être de différents types. On peut penser par exemple à un préjudice financier, à des inconvénients sociaux (p. ex. atteinte à la réputation), à des inconvénients économiques (pertes financières) ou à une discrimination (cf. David Rosenthal, Die Tücken spontaner Datenschutzbeurteilungen und was sich dagegen tun kann, in : Jusletter, 28 février 2022, p. 4 s.).
al. 2 : Cette disposition précise quand il y a violation de la sécurité des données, les faits énumérés ne nécessitant pas d’explications supplémentaires. Le contenu de cette disposition correspond à celui de l’art. 5, let. h, nLPD.
Concernant la lettre d, il convient d’ajouter que cette disposition couvre notamment la prise de connaissance par des pirates informatiques.
al. 3 règle le contenu de la notification. Le contenu de cette disposition correspond à celui de l’art. 24, al. 2, nLPD en ce qui concerne la violation de la sécurité des données ; elle est donc ajoutée ici. La notification doit renseigner sur le type de traitement non autorisé des données (par exemple la suppression de données) ou sur la violation de la sécurité des données (par exemple la publication de données personnelles particulières sans base légale correspondante) et énumérer également les mesures prises ou prévues.
Alinéa 1Contrairement au droit de l’UE, l’obligation d’informer est plus large dans le canton de Zurich, en ce sens qu’elle ne concerne pas seulement les incidents de sécurité, mais aussi les traitements de données non autorisés susceptibles d’entraîner un risque important pour les droits fondamentaux des personnes concernées. L’obligation d’informer la personne concernée sert ici – conformément aux prescriptions des articles 30 et 31 de la directive (UE) 2016/680 – en premier lieu à limiter les dommages. Les personnes concernées doivent être informées si cela est nécessaire pour leur protection, en particulier si elles peuvent éviter ou limiter un dommage imminent par leurs propres mesures (par exemple en modifiant un mot de passe). En outre, en cas de violation de la sécurité des données, le délégué à la protection des données peut, dans le cadre de ses compétences de surveillance et de contrôle, exiger une information de la personne concernée ou du public (§§ 50 et suivants). Mais cela n’entre probablement en ligne de compte que si l’organe public n’exerce pas son pouvoir d’appréciation conformément à ses obligations.
al. 2 : La notification doit en principe contenir les mêmes éléments que la notification au préposé, mais elle peut être limitée (al. 3).
alinéa 3 : Le § 12a al. 3 IDG est repris, mais élargi conformément aux exigences de l’art. 31 de la directive (UE) 2016/680 et à la réglementation de l’art. 24 al. 5 nLPD.
La let. b correspond largement à l’art. 24, al. 5, let. b nLPD. Le cas où une information est impossible n’est pas repris. Cette évidence ne doit pas être réglée dans la loi.
La let. c correspond à l’art. 24, al. 5, let. c nLPD. Il convient de retenir que la communication doit être appropriée. La simple possibilité pour les personnes concernées de s’informer n’est pas suffisante.
Remarques préliminaires
Comme dans le droit en vigueur, des règles particulières s’appliquent à la communication de données personnelles, qui constitue un cas particulier de traitement de données personnelles. Les dispositions actuelles des §§ 16 s. IDG sont réorganisées afin que la différence entre la communication de données personnelles et la communication de données personnelles particulières soit plus claire et plus facile à comprendre.
Lors de chaque communication de données, un organe public doit procéder à une pesée des intérêts et vérifier s’il existe des intérêts ou des dispositions légales contraires qui s’opposent à la communication des données personnelles (§ 11 ; § 23 IDG). C’est en principe aussi le cas lorsque la communication de données s’appuie sur une base juridique correspondante (al. 1). Dans ces cas, l’examen est toutefois naturellement limité, car la législation spéciale qui régit la communication des données a déjà procédé à une première pesée des intérêts.
La communication à des fins non personnelles est réglée séparément. Des exigences réduites s’appliquent à ces communications (voir § 37).
Comme dans le droit en vigueur, la communication de données personnelles ne peut avoir lieu que s’il existe une base correspondante dans une loi ou une ordonnance (jusqu’ici § 16 al. 1 let. a LDI : «disposition légale»). L’exigence pour la communication des données personnelles est donc plus stricte que pour leur traitement qui, selon le § 24 let. b, est également autorisé si cela est nécessaire à l’accomplissement d’une tâche définie dans une loi ou une ordonnance. Cela se justifie notamment par le fait que la communication à d’autres organes publics peut se faire par le biais de l’entraide administrative (cf. al. 3, let. b) et que la communication à des fins non personnelles est également soumise à des exigences réduites (cf. § 37).
En ce qui concerne l’administration cantonale, il convient de mentionner le § 44 al. 3 OG RR, selon lequel tous les services de l’administration cantonale «ont accès aux données personnelles dans la mesure où elles sont nécessaires à l’accomplissement de leurs tâches». Au sein de l’administration cantonale, les données personnelles doivent donc être communiquées dans la mesure où la tâche pour laquelle elles sont nécessaires dispose d’une base légale dans une loi ou une ordonnance. La communication de données personnelles à d’autres organes publics dans le cadre de l’entraide administrative est ensuite réglementée à l’alinéa 3, lettre b.
al. 2 : La condition préalable à la communication de données personnelles particulières est, comme dans le droit en vigueur, une base suffisamment précise dans une loi (au sens formel). L’exigence est donc plus stricte pour la communication de données personnelles particulières que pour leur traitement, qui est également autorisé sous certaines conditions s’il est indispensable à l’accomplissement d’une tâche définie dans une loi (cf. § 25, let. b).
alinéa 3 : Les let. a et b de cet alinéa énumèrent certains cas particuliers dans lesquels la communication de données personnelles, y compris de données personnelles particulières, est autorisée au cas par cas.
La let. a correspond au droit en vigueur (§§ 16 al. 1 let. b et 17 al. 1 let. b IDG). Pour le consentement, il convient de se référer à la nouvelle disposition du § 12. En exigeant un consentement exprès pour les données personnelles particulières, cette disposition correspond au droit en vigueur.
La let. b règle l’entraide administrative générale dans la mesure où elle concerne des données personnelles. Il convient de préciser que l’obtention de renseignements implique la plupart du temps obligatoirement la communication de données personnelles au service sollicité pour que celui-ci puisse fournir un renseignement. Ce type de communication de données est en principe admissible – en tant que condition préalable à la collecte de données par le biais de l’assistance administrative – et constitue avant tout une question de proportionnalité.
Sur la base des réactions majoritairement critiques exprimées lors de la consultation, la communication de toutes les données personnelles au titre de l’entraide administrative ne doit avoir lieu qu’au cas par cas, comme dans le droit en vigueur. L’autorisation de traiter les données personnelles présuppose l’existence d’une base juridique conformément aux §§ 24 et suivants. Si une communication régulière est nécessaire, c’est-à-dire si l’entraide administrative doit être dissociée des cas individuels, l’organe public est tenu de créer une base légale correspondante.
Selon la réglementation actuelle de l’entraide administrative, la question se pose régulièrement de savoir dans quelle mesure l’organe qui communique les données est responsable de l’examen de la condition prévue aux §§ 16 al. 2 et 17 al. 2 LDI, c’est-à-dire si l’organe requérant a «besoin de ces données personnelles pour accomplir ses tâches légales». La question se pose également de savoir si l’organe qui communique les données est en mesure de procéder à un tel examen. A l’avenir, la disposition relative à l’entraide administrative devra donc s’orienter plus clairement sur l’autorisation de l’organe requérant à traiter des données. Il sera exigé de l’organe demandeur qu’il prouve sa légitimité à traiter des données ainsi que la finalité et la proportionnalité de ce traitement. Cette exigence était déjà la règle dans le droit en vigueur, mais elle n’était pas expressément mentionnée dans la loi. Les exigences relatives à la base légale sont déterminées par les §§ 24 s. (§ 8 IDG). Cette preuve de la légitimation avec la demande d’entraide administrative conduit à la fois à une réglementation plus claire en ce qui concerne la responsabilité des organes impliqués et à la congruence entre la légitimation pour la communication de données personnelles selon le § 35 et la légitimation pour le traitement de données personnelles selon les §§ 24 f.
Il convient de tenir compte, lors de la communication, de l’obligation d’informer sur la collecte conformément au § 31 (anciennement § 12 IDG). L’organe qui collecte les données dans le cadre de l’entraide administrative générale est tenu d’informer sur la collecte. Cette obligation d’information ne s’applique pas en cas de communication de données selon les alinéas 1 et 2, c’est-à-dire lorsqu’il existe une base légale spéciale suffisante. Il est donc également dans l’intérêt des organes publics de créer des bases légales précises pour la collecte de données, car cela supprime l’obligation d’informer.
Lit. c : Cette disposition correspond également au droit en vigueur (§§ 16 al. 1 let. c et 17 al. 1 let. c LDI). Selon la première partie de cette disposition, la communication de données doit être indispensable pour écarter un danger pour la vie ou l’intégrité corporelle. Si d’autres moyens sont donc disponibles pour écarter le danger, ils doivent être choisis. En complément, il convient de noter que la protection des «autres biens juridiques essentiels» dans la deuxième partie de la disposition englobe également l’information du public, dans la mesure où celle-ci est nécessaire pour protéger la confiance en l’Etat. Il arrive que les organes de l’État soient confrontés à des reproches qu’il est nécessaire de réfuter afin de ne pas saper la confiance dans le fonctionnement de l’État. Dans certaines conditions, la communication de données personnelles doit alors être possible, et ce indépendamment du consentement de la personne concernée. Il va de soi que dans un tel cas, l’intérêt public à l’information doit l’emporter sur l’intérêt à la protection de la vie privée de la personne concernée. La pesée des intérêts doit se faire en fonction des données à communiquer : Plus le risque d’atteinte à la personnalité est grand, plus l’intérêt public doit être important. Dans le cadre de la rectification d’informations erronées notamment, il est parfois indispensable de communiquer des données personnelles, voire des données personnelles particulières. On peut penser par exemple à une information sur une enquête administrative clôturée. Les résultats d’une telle enquête et les mesures prises à l’égard des personnes concernées doivent pouvoir être communiqués. Dans ce contexte, il n’est parfois pas possible de rendre les données anonymes.
Cette disposition est reprise telle quelle du droit en vigueur (§ 19 LDI), à l’exception d’une modification de la lettre a. Selon le droit en vigueur, la communication de données personnelles à des destinataires non soumis à la Convention STE 108 est autorisée si une protection adéquate est garantie dans l’Etat destinataire pour la transmission des données. La protection adéquate dans l’État destinataire ne doit pas seulement couvrir la transmission de données en tant que processus, mais également garantir la protection des données transmises, raison pour laquelle une adaptation correspondante est proposée. Les données personnelles des personnes morales peuvent également être transmises à l’étranger si les destinataires sont soumis à la convention STE 108. Cela est valable bien que la convention STE 108 ne prévoie pas de protection pour les données personnelles des personnes morales. Cela s’explique par le fait que, d’une part, certaines exigences en matière de traitement des données, garanties par la Convention, s’appliquent à tous les types de traitement de données. D’autre part, on peut partir du principe que ces États garantissent généralement le respect de l’État de droit et la protection des droits des personnes morales, tels que les droits de la personnalité, les droits d’auteur ainsi que les secrets professionnels, d’affaires et de fabrication.
Lit. a : Une communication peut exceptionnellement avoir lieu vers des pays ne disposant pas d’un niveau de protection correspondant, si une base légale le permet et si cela sert les intérêts de la personne concernée ou si cela est dans l’intérêt public prépondérant.
Lit. b : Si la communication de données doit avoir lieu dans des pays offrant un niveau de protection des données adéquat, il n’est pas nécessaire de disposer d’une base légale expresse ni de procéder à une pesée des intérêts conformément à la lettre a.
Lit. c : Une communication à des pays ne disposant pas d’un niveau de protection correspondant est en outre possible si le nécessaire est prévu par contrat.
Alinéa 1La recherche, les statistiques et la planification nécessitent une multitude d’informations qui sont souvent liées aux personnes. L’objectif est toutefois d’obtenir des évaluations ou des déclarations qui ne sont pas liées aux personnes individuelles et qui sont souvent d’intérêt public général pour la société, l’économie et la politique. Ainsi, un bon état des données (par exemple des statistiques) permet notamment aux responsables politiques et administratifs de prendre des décisions mieux informées, favorise l’innovation et la transparence. L’importance des données s’est fortement accrue dans le cadre de la transformation numérique et leur potentiel est aujourd’hui largement reconnu. En raison de cette différence de finalité et des risques moindres qui en découlent pour les droits fondamentaux des personnes concernées, les traitements de données à des fins non personnelles sont soumis à des allégements. Cela vaut à condition que les données soient rendues anonymes et que les résultats ne soient publiés que de manière à ce que les personnes concernées ne soient pas identifiables (cf. § 26, al. 2). Des allègements analogues sont également indiqués pour la communication de données à caractère personnel. Pour que les bases de données nécessaires à la recherche, à la statistique et à la planification puissent être créées, il est souvent nécessaire de relier les données de différents services. En conséquence, les organes publics doivent en principe communiquer des données personnelles à des fins ne se rapportant pas à des personnes – contrairement à ce que prévoit le § 35 – dans la mesure où les conditions prévues à l’alinéa 2 pour la protection des droits fondamentaux des personnes concernées sont remplies et qu’aucune disposition juridique n’exclut une telle communication de données.
Lit. a : Si la communication de données doit également être exclue à des fins non personnelles, cela peut être réglé par une loi spéciale.
Lit. b et c : Comme au § 26, alinéa 2, il est ajouté que l’anonymisation doit avoir lieu dès que et dans la mesure où le but du traitement le permet (cf. également les remarques relatives au § 26 avec le renvoi au § 9 StatG). Il convient de noter que l’anonymisation signifie que toutes les données brutes sont rendues anonymes et qu’il n’est plus possible de se référer à des personnes sur la base de l’ensemble des données disponibles (cf. supra § 20). Par rapport à la version actuelle du § 18 al. 2 LDI, la mention selon laquelle «les données personnelles initiales doivent être détruites après l’analyse» est supprimée. Grâce à l’anonymisation, les données «originales» ou les données brutes n’existent plus du tout. Une destruction des données brutes n’est donc plus possible. Il convient d’ajouter que les destinataires des données ne sont pas autorisés à copier les données brutes.
L’accès aux données personnelles se distingue de l’accès aux informations. C’est pourquoi il est réglé dans la section 3 sur la protection des données, sous la rubrique «droit d’accès».
Alinéa 1 établit le droit de toute personne d’accéder aux données personnelles la concernant qui sont traitées par un organe public. La demande doit être adressée à l’organe qui traite les données. Le droit d’accès comprend toutes les informations détenues par un organe public donné sur la personne qui demande des informations. La personne concernée a en outre le droit d’être informée de la base juridique et de la finalité du traitement des données. Elle doit en outre être informée des organes qui participent au traitement des données et des services qui reçoivent régulièrement les informations correspondantes. Par rapport au droit en vigueur, il a été ajouté que la personne qui demande des informations doit être informée si les données personnelles sont traitées au moyen de systèmes de décision algorithmiques. Il s’agit ainsi de répondre au besoin légitime de transparence concernant l’utilisation de tels systèmes.
al. 2 : Contrairement au droit d’accès à l’information, l’identification du demandeur est indispensable pour le droit d’accès. La forme sous laquelle la personne s’identifie peut prendre différentes formes. Il est toutefois essentiel que l’identification soit vérifiable, car c’est le seul moyen de garantir que les données personnelles ne soient pas transmises à des personnes non autorisées.
Il est également envisageable de s’identifier auprès d’un service central au moyen d’un compte citoyen (par exemple «Mon compte» dans la ville de Zurich ou «Compte zurichois» dans le canton de Zurich).
alinéa 3 : Comme sous le droit actuel, l’accès à ses propres données personnelles doit être gratuit.
alinéa 4 : Selon la doctrine dominante (cf. Urs Thönen, in : Praxiskommentar IDG, § 26 N. 18), les tiers concernés ne doivent pas obligatoirement être entendus. Si des données personnelles de plusieurs personnes sont traitées dans un dossier, les données doivent être attribuées aux différentes personnes. Le contenu des documents qui concernent des tiers et qui ne peuvent pas être qualifiés de données personnelles propres à la partie qui demande les informations doit être exclu de l’accès ou le contenu doit être partiellement anonymisé. Si des données personnelles révèlent également des informations sur des tiers (p. ex. des données dans le cadre d’une procédure de protection de l’enfant), il convient de procéder à une pesée des intérêts (Beat Rudin, in : Praxiskommentar IDG, § 20 N. 26 ss.). L’organe public décide alors, sur la base de cette pesée des intérêts, si la demande d’avis est nécessaire dans le cas particulier. Si l’organe public estime qu’il est nécessaire de demander une prise de position pour procéder à la pesée des intérêts, aucune procédure formelle n’est nécessaire. La demande d’avis ne signifie donc pas (contrairement à l’accès à l’information) une implication formelle dans la procédure. Le § 20 s’applique donc par analogie.
L’accès à ses propres données personnelles est réglé différemment de l’accès à l’information sur quelques points essentiels. Contrairement au droit d’accès à l’information, le droit d’accès ne doit en principe pas être subordonné à la justification d’un intérêt digne de protection de la part du requérant, même en cas d’effort très important. L’accès à ses propres données personnelles doit bénéficier à cet égard d’une protection plus élevée que l’accès aux informations. § L’article 17, paragraphe 2, n’est donc pas applicable au droit d’accès. Toutefois, en cas d’exercice abusif du droit d’accès, il n’existe aucun droit à la protection et l’organe public peut refuser de fournir les données en se fondant sur l’interdiction de l’abus de droit. Les exigences relatives à la preuve de l’abus de droit sont toutefois strictes.
Par analogie, les mêmes règles s’appliquent aux enregistrements non terminés (§ 18, let. c) ainsi qu’aux dispositions de procédure concernant les délais (§ 21) et la décision en cas de refus, de limitation ou d’ajournement des renseignements (§ 23, let. a). Les dispositions relatives aux frais (§ 22) ne sont pas applicables, étant donné que la réglementation spéciale de l’alinéa 3 s’applique aux demandes de renseignements. Il convient de noter que les tiers ne sont pas impliqués dans le droit d’accès conformément au § 20 (cf. ci-dessus, al. 4). Sous le droit en vigueur, cela ne vaut que pour les demandes d’accès aux informations, même si cela ne ressortait pas clairement de la réglementation légale (§ 26 LDI). Ainsi, le § 20 LDI règle l’accès aux propres données personnelles et aux informations sous la rubrique «accès aux informations» et aucune différenciation n’est faite dans la réglementation de la procédure sous le titre «procédure d’accès aux informations» (§§ 24 ss. LDI).
Cette disposition est reprise telle quelle du droit en vigueur (§ 21 IDG).
Cette disposition correspond au droit en vigueur (§ 22 IDG). La terminologie est adaptée en fonction de la réglementation du § 34 (autorisation de communication) (loi ou ordonnance au lieu de «disposition légale spéciale»). Une communication sans condition à des tiers sur la base d’une ordonnance n’est toutefois pas envisageable pour des données personnelles particulières. En outre, le droit en vigueur ne connaît lui aussi de telles communications par le biais de lois spéciales que dans des cas exceptionnels et isolés (cf. par exemple les §§ 122 et 171a de la loi fiscale du 8 juin 1997 [LS 631.1]).
La procédure de blocage est régie par les dispositions générales du droit administratif et ne doit pas faire l’objet d’une réglementation supplémentaire.
Remarques préliminaires
Les conseillères cantonales Judith Anna Stofer et Silvia Rigoni, Zurich, ont déposé le 21 janvier 2019 une motion pour l’introduction d’un ou d’une préposé(e) à la transparence (KR-No 23/2019). Selon le texte de la motion, cette personne devrait
- être responsable de toutes les questions relatives au principe de transparence,
- surveiller l’application des prescriptions déterminantes et conseiller les autorités dans leur application,
- fournir aux particuliers des informations sur leurs droits,
- traiter les plaintes et les demandes des personnes concernées,
- prendre position sur les projets de loi qui ont une incidence sur le principe de transparence,
- servir de médiateur entre les autorités et les particuliers en cas de conflit.
Le projet prévoit l’introduction d’un préposé au principe de transparence. La liste des tâches du préposé à la transparence établie par les motionnaires est cependant très large. La compétence pour «toutes les questions relatives au principe de transparence» est notamment très ouverte. En ce qui concerne la tâche demandée de traiter les dénonciations et les requêtes, il faut en outre mentionner que chaque organe public est tenu de traiter les dénonciations et les requêtes des personnes concernées. Cela découle déjà de la doctrine et de la jurisprudence relatives aux plaintes en matière de surveillance (cf. Martin Bertschi, in : Kommentar VRG, Vorbemerkungen zu §§ 19 – 28a, N. 61 ss). Compte tenu de cette situation juridique, il a été renoncé, lors de la révision de la LDI du 25 novembre 2019, à une réglementation correspondante pour les tâches du préposé à la protection des données. Il convient donc de renoncer également à une définition des tâches dans le domaine du principe de transparence.
En outre, il est prévu de renoncer à l’introduction d’une procédure de conciliation formelle. Certes, la Confédération et plusieurs cantons (comme le canton de Soleure) connaissent, outre l’information et le soutien des particuliers, une procédure de conciliation formelle. L’introduction d’une telle procédure a d’ailleurs été examinée dans le cadre de l’élaboration du projet mis en consultation. Mais finalement, les dispositions correspondantes ont été rejetées. Les procédures formelles de conciliation retardent régulièrement l’accès à l’information et le canton d’Argovie a supprimé une réglementation correspondante. Comme le droit d’accès à l’information peut être mis en œuvre par voie de recours, une autre procédure formelle ne semble pas nécessaire. Il faut en outre tenir compte du fait que les parties qui craignent d’être déboutées peuvent utiliser une procédure de médiation pour retarder la réponse à une demande d’accès à l’information. Il convient donc de renoncer à une telle disposition. Il convient toutefois de retenir que le préposé peut et doit jouer un rôle de médiateur informel entre les parties en cas de demande d’accès à l’information litigieuse (cf. § 48, let. d). Il dispose à cet égard d’un large pouvoir d’appréciation.
L’introduction d’une préposée ou d’un préposé au principe de transparence – même si les tâches dans le domaine du principe de transparence et dans le domaine de la protection des données doivent être exercées par la même préposée ou le même préposé (voir ci-après § 41 al. 1) – entraînera certains coûts supplémentaires. Il faut s’attendre à ce qu’au moins deux postes à plein temps doivent être créés auprès du préposé pour l’accomplissement de cette tâche.
Afin de clarifier la structure, le droit organisationnel (titre A.) et les dispositions relatives aux tâches (titres B. et C.) doivent être séparés.
Alinéa 1Cette disposition est reprise du droit en vigueur (§ 30 IDG) et complétée par la nouvelle fonction de préposé(e) à la transparence. Il est ainsi établi que le ou la préposé‑e à la protection des données doit désormais également remplir la fonction de préposé‑e à la transparence. Le regroupement des deux tâches au sein d’un même service crée des synergies, car les questions d’accès à l’information sont souvent liées aux questions de protection des données. En outre, le préposé à la protection des données dispose déjà d’une grande compétence en matière d’accès à l’information, puisqu’il a déjà répondu à des demandes dans ce domaine.
al. 2 : La formulation correspond à la version adoptée par le Grand Conseil le 12 décembre 2022 (JO 2022-12-16) et doit être reprise telle quelle dans le nouveau droit.
alinéa 3 : Le statut administratif est repris tel quel du § 30, al. 3, 2e phrase de la LDI. Sur la base du nouvel alinéa 2, une adaptation grammaticale est toutefois nécessaire. L’indépendance est réglée dans un § 42 séparé.
Alinéa 1 correspond au § 30 alinéa 3 phrase 1 IDG. En raison de son importance, cette disposition est déplacée dans un paragraphe séparé. L’indépendance du préposé doit être comprise au sens large et être comparable à l’indépendance des tribunaux. Elle a pour conséquence que d’autres institutions de l’Etat ne peuvent pas influencer l’exercice de l’activité du préposé, qu’il n’est pas soumis à des instructions et qu’il doit être doté de moyens suffisants.
al. 2 : Cette disposition est reprise du droit en vigueur avec une légère adaptation linguistique (§ 38 IDG).
Alinéa 1Cette disposition est reprise en grande partie du droit en vigueur (§ 33 LDI). Une adaptation est effectuée, car la LDI prévoit désormais un préposé également pour le domaine du principe de transparence.
Les communes et les organisations selon le § 5 alinéa 1 lettre c peuvent désigner leurs propres préposés, mais n’y sont pas obligées (exception selon l’alinéa 3). Elles sont également libres de désigner un(e) préposé(e) dans un seul domaine (protection des données ou principe de transparence). En vertu de l’autonomie communale, les communes sont en outre libres de désigner des personnes différentes pour les tâches relevant du principe de transparence et celles relevant de la protection des données.
al. 2 : Le contenu de cette disposition correspond au droit en vigueur. Le terme de «haute surveillance» est toutefois remplacé par celui de «surveillance supérieure», car «haute surveillance» est réservé à la haute surveillance parlementaire du Grand Conseil. Dans d’autres lois, on utilise «surveillance» et «surveillance supérieure» (cf. par ex. par exemple le § 27 de la loi sur l’autodétermination du 28 février 2022 [SLBG ; OS 78, 81], en vigueur à partir du 1er janvier 2024).
alinéa 3 : A l’avenir, toutes les communes dépassant le seuil de 50000 habitants seront tenues par la loi de désigner un ou une préposé(e) à la protection des données. Une décision correspondante du Conseil d’Etat ne sera plus nécessaire. Cette disposition permet d’une part de décharger le préposé cantonal et d’autre part de partir du principe qu’à partir de ce nombre d’habitants, un service de protection des données peut être occupé – au moins à temps partiel. Dans les villes de Zurich et Winterthur, les seules villes du canton de Zurich qui comptent plus de 50000 habitants, les commissaires à la protection des données sont établis. La plus grande commune suivante, Uster, comptait 35723 habitants en 2022.
Etant donné que les tâches dans le domaine de la protection des données sont nettement plus étendues que celles dans le domaine du principe de transparence, il ne faut pas non plus s’attendre à ce que l’exercice de ces tâches conduise à une surcharge de travail dans ce dernier domaine. Il n’est donc pas nécessaire d’obliger les grandes communes à désigner également un préposé à la transparence.
Alinéa 1: Cette disposition est reprise du § 30 al. 2 IDG, compte tenu de la modification du 12 décembre 2022 (JO 2022-12-16). Il appartient au Grand Conseil de décider si le classement dans cette classe de salaire semble également approprié compte tenu de la nouvelle tâche dans le domaine du principe de transparence.
La disposition transitoire de la modification du 12 décembre 2022, qui prévoit que la modification n’entre en vigueur qu’à l’expiration du mandat en cours du Préposé à la protection des données, ne doit pas être reprise, car la réélection du Préposé aura lieu fin avril 2024. Il ne faut pas s’attendre à ce que la présente loi entre en vigueur d’ici là.
Alinéa 2 et 3 : ces dispositions sont reprises telles quelles du droit en vigueur (§ 31 IDG).
Le § 39a IDG est repris. Conformément à la terminologie utilisée dans la loi sur le Grand Conseil, on ne parle plus que de la «délégation administrative du Grand Conseil» (§ 16 al. 1 let. c et § 24 LCR). La même adaptation terminologique est effectuée dans la LCR et dans la loi sur le contrôle des finances du 30 octobre 2000 (LS 614).
Cette disposition est reprise du droit en vigueur avec une légère adaptation de la formulation (§ 32 IDG). La reformulation «et les décrets d’application y afférents» permet de préciser qu’il s’agit des décrets d’application de la loi sur le contrôle de gestion et la comptabilité du 9 janvier 2006 (LS 611).
Alinéa 1L’obligation d’établir un rapport ainsi que son étendue et son contenu sont repris du droit en vigueur (§ 39 IDG).
al. 2 : Désormais, l’organe public concerné par les recommandations ou les évaluations du préposé doit être invité par ce dernier à prendre position avant la publication du rapport. Dans sa prise de position, l’organe public peut notamment préciser quelles mesures ont été prévues, engagées ou déjà prises. La prise de position de l’organe public doit être annexée au rapport du préposé.
alinéa 3 : Aujourd’hui déjà, le Grand Conseil approuve le rapport du préposé. Désormais, la loi le stipule expressément. La publication du rapport correspond également au droit en vigueur. Comme la disposition ne s’applique pas aux communes, l’organe de nomination est remplacé par le «conseil cantonal». Les communes qui désignent un(e) délégué(e) règlent de manière autonome son élection et son statut (§ 43). Le rapport en fait également partie. Les communes sont libres de déclarer les dispositions de la présente loi applicables par analogie. Le rapport est désormais exigé chaque année (au lieu de «périodiquement»). Cela correspond à l’usage en vigueur.
Remarques préliminaires
L’activité du Préposé au principe de la transparence et celle du Préposé à la protection des données seront à l’avenir réglées chacune dans un titre séparé (B. Tâches dans le domaine du principe de la transparence, § 48 ; et C. Tâches dans le domaine de la protection des données, §§ 49 ss ; jusqu’ici §§ 34 ss. IDG). Les tâches de surveillance qui existaient déjà sous le droit en vigueur doivent en outre être désignées plus clairement comme telles. Les pouvoirs de contrôle étendus du préposé à la protection des données l’autorisent à demander aux organes publics et aux tiers mandatés selon le § 9 des renseignements sur le traitement des données, à consulter les données et à se faire présenter les traitements, dans la mesure où cela est nécessaire à son activité (§ 50), indépendamment d’une éventuelle obligation de garder le secret. Une obligation de surveillance aussi étendue ne s’avère pas nécessaire dans le domaine du principe de transparence (cf. ensuite § 48).
Les tâches du préposé dans le domaine du principe de transparence s’orientent sur celles du préposé dans le domaine de la protection des données. Dans le domaine du principe de transparence, ce sont toutefois les tâches de conseil à bas seuil qui sont au premier plan. Les instruments de surveillance ou les pouvoirs d’intervention prévus dans le domaine de la protection des données ne se prêtent pas à une application dans le domaine du principe de transparence. Cela s’explique en premier lieu par le fait que dans le domaine du principe de transparence, l’accès à des informations concrètes dans des cas particuliers est au premier plan et que la procédure administrative est disponible pour l’imposer. Les principes généraux dont le respect doit être vérifié (comme par exemple la sécurité de l’information) ne sont pas au premier plan. Dans le domaine du principe de transparence, le préposé n’a donc que (mais tout de même) le droit de surveiller le traitement général de l’accès à l’information (let. c). Il n’est notamment pas nécessaire que le préposé puisse rendre des décisions, puisque les personnes qui demandent des informations aux organes publics disposent d’un droit de recours contre les décisions de refus. Le cas échéant, le préposé peut agir en vertu du droit de la surveillance, c’est-à-dire qu’il peut déposer une plainte auprès de l’autorité supérieure.
Lit. a : Le préposé doit sensibiliser les organes publics aux questions d’accès à l’information et les soutenir par des conseils lors du traitement de cas particuliers. Dans le cadre de ses conseils, le préposé émet également des recommandations sur l’accès à l’information. Dans ce contexte, des formations continues peuvent également être proposées. Cela correspond au § 34 let. a IDG et, dans le nouveau droit, au § 49 let. a pour le domaine de la protection des données.
Si le préposé constate des irrégularités ou même un simple potentiel d’amélioration dans ce domaine, il peut en faire part à l’organe public et suggérer d’autres façons de procéder.
Lit. b : Outre le soutien et le conseil aux organes publics (let. a), les particuliers doivent également pouvoir se faire conseiller par le préposé sur une demande concrète d’accès à l’information. Dans le cas de demandes d’accès à l’information litigieuses, ils doivent également pouvoir demander une prise de position au préposé. Selon la LDI en vigueur, aucun service n’est prévu pour conseiller les particuliers et les communes : Ni le service de coordination LDI (cf. § 28 ODI) ni le ou la préposé(e) à la protection des données ne se voient confier cette tâche. Cette tâche correspond au conseil actuel dans le domaine de la protection des données (§ 34 let. b LDI) et est déjà assumée par la préposée à la protection des données.
Lit. c : La surveillance selon la lettre c est une surveillance à bas seuil de l’attitude générale des organes publics vis-à-vis du droit d’accès à l’information. Le principe de transparence se compose d’une part de l’information active par les organes publics et d’autre part du droit individuel d’accès à l’information. La surveillance doit ici se limiter à l’utilisation du droit d’accès à l’information, qui se fonde sur l’art. 17 Cst. En revanche, l’information active des organes publics ne se prête pas à une surveillance par le préposé. Une évaluation de l’activité d’information des organes publics supposerait une surveillance de l’activité des organes publics, qui ne pourrait guère être effectuée par le préposé compte tenu de son ampleur et qui ne peut pas non plus être l’affaire du préposé compte tenu de la composante politique.
Le préposé au principe de transparence peut émettre des recommandations sur la manière dont les organes publics gèrent l’accès à l’information en général. Dans le cadre de la surveillance, il ou elle n’interviendra toutefois pas dans des cas individuels et ne prendra pas position sur le fond. Les cas individuels sont traités dans le cadre de la procédure administrative concrète. La médiation selon la let. d demeure réservée.
Lit. d : La médiation ne correspond pas à une procédure de conciliation formelle (cf. supra, remarques préliminaires). La procédure de médiation doit être – comme c’est déjà le cas aujourd’hui dans le domaine de la protection des données – une procédure informelle (§ 34 let. d IDG, § 49 let. d). Une réglementation formelle de la procédure ne semble pas nécessaire. En principe, une personne ou un organe public peut demander une médiation sur toute question relevant de la compétence du Préposé fédéral à la transparence. A cet égard, la personne ou l’organe peut également s’adresser au préposé de manière informelle. Il n’est donc pas nécessaire d’énumérer les cas dans lesquels une demande de médiation peut être formulée. Il faut retenir qu’une médiation en cours suffit à justifier le non-respect du délai d’ordre selon le § 21.
En revanche, si une procédure de médiation formelle était introduite, il faudrait d’abord décider à quel moment elle devrait avoir lieu. Une procédure de conciliation ne semble judicieuse que si l’organe public ne veut pas donner suite à la demande d’accès à l’information ou seulement en partie. Pour pouvoir procéder à une telle évaluation, l’organe public doit toutefois procéder à toutes les clarifications nécessaires. Il doit en outre communiquer à la personne concernée les motifs de sa décision (ce n’est qu’alors que cette personne peut décider d’accepter ou non le refus d’accès). Au cours de l’exercice 2021, le Préposé fédéral à la protection des données et à la transparence a mené 149 procédures (edoeb.admin.ch/dam/edoeb/fr/ Dokumente/deredoeb/29_Taetigkeitsbericht_2021-2022_FR.pdf). Parmi ceux-ci, 44% ont pu être réglés à l’amiable. Il ressort toutefois aussi du rapport que l’objectif de règlement en 30 jours n’a pas pu être atteint et que la procédure a nécessité des moyens considérables. Dans l’administration cantonale, 212 demandes formelles d’accès à l’information ont été déposées en 2022 sur la base de la LDI (2021 : 237 ; 2020 : 231). Dans 109 cas (2021 : 140 ; 2020 : 126), l’accès a été entièrement accordé et dans 27 cas (2021 : 27 ; 2020 : 15), il a été partiellement accordé. 48 demandes ont été rejetées (2021 : 59 ; 2020 : 75). 26 cas ont été réglés d’une autre manière (2021 : 23 ; 2020 : 12 ; voir la statistique des demandes LDI concernant l’administration cantonale : zh.ch/fr/politik-staat/kanton/kantonale-verwaltung/oeffentlichkeitsprinzip.html). Le Tribunal administratif a reçu 14 plaintes en 2021 et 15 en 2020 dans le domaine de l’accès à l’information (voir les comptes rendus 2021 et 2020 du Tribunal administratif). L’administration cantonale ne rejette donc complètement qu’environ 20% des demandes. Environ 10% de ces décisions sont portées devant le tribunal administratif. Une procédure de conciliation ne permettrait donc guère de décharger considérablement le tribunal administratif, comme cela a été avancé comme objectif lors de la consultation. D’autre part, la procédure de médiation entraînerait un surcroît de travail considérable pour le préposé et l’administration cantonale : Le préposé devrait mener les procédures et l’administration devrait d’abord motiver sommairement les demandes (partiellement) rejetées ou les demandes qui doivent être accordées contrairement à la demande des tiers concernés, puis rendre en plus une décision (motivée). Des procédures de médiation auraient été envisageables dans environ 75 cas en 2022 dans le canton de Zurich (2021 : 85 ; 2020 : 90), auxquelles s’ajouteraient les procédures des autres organes publics. Le ou la préposé‑e aurait besoin de moyens supplémentaires considérables pour mener à bien les procédures de conciliation, qui nécessitent parfois des négociations orales. Il n’est guère possible d’estimer aujourd’hui le montant des frais nécessaires. On peut toutefois partir du principe qu’il s’agit d’environ deux postes à plein temps (350 000 francs par an).
Lit. e : Outre le conseil aux organes publics, l’information générale du public sur les questions relatives au principe de transparence, en particulier l’accès à l’information, fait également partie des tâches du préposé. Il peut s’agir d’informations sur le site Internet, de fiches d’information ou, le cas échéant, de la mise à disposition de formulaires pour l’accès à l’information. Cette tâche correspond au § 34 let. e IDG ou, selon le nouveau droit, au § 49 let. e pour le domaine de la protection des données.
Lit. f : Contrairement au domaine de la protection des données, le préposé ne doit prendre position, dans le domaine du principe de transparence, que sur des bases légales, c’est-à-dire des lois et des ordonnances. Les «projets» ne sont pas mentionnés, car ils concernent principalement la protection des données – en particulier dans le domaine de la numérisation – et guère l’accès aux informations dans des cas particuliers. La lettre f se limite donc essentiellement aux nouvelles lois et ordonnances à édicter. Dans certains cas, il est toutefois également envisageable d’évaluer des bases légales existantes, par exemple lorsque celles-ci présentent une lacune.
Cette disposition est reprise telle quelle du § 34 IDG. Lit. c : la surveillance de l’application des dispositions légales comprend également les ordonnances administratives et est donc formulée de manière plus large que la let. f.
Lit. f : Dans le cadre de l’évaluation, le souhait a été exprimé que le ou la délégué‑e soit informé‑e de tous les projets législatifs et de toutes les procédures de consultation concernant des projets fédéraux. Cette exigence va trop loin. Il ne peut pas incomber à l’administration cantonale d’informer le ou la préposé‑e sur tous les projets de la Confédération. Cela est d’autant plus vrai que les informations correspondantes sont facilement disponibles (par exemple en s’abonnant aux newsletters de la Confédération). En vertu de la lettre f, il est cependant toujours nécessaire d’associer le préposé aux projets fédéraux lorsque ceux-ci ont un lien avec la protection des données. Le § 48, lettre f, doit en outre créer une norme correspondante pour le domaine du principe de transparence. Le préposé doit donc continuer à être impliqué dans les consultations fédérales correspondantes. La direction chargée de l’élaboration de la consultation doit inviter le préposé – comme les directions et la Chancellerie d’État (cf. § 39 de l’ordonnance sur l’organisation du Conseil d’État et l’administration cantonale du 18 juillet 2007 [LS 172.11]) – à présenter un co-rapport. L’implication du préposé ou de la préposée dans les procédures de consultation relatives à des projets cantonaux ayant un lien avec la protection des données est également obligatoire en vertu du § 49, let. f, et est également réglée de manière plus générale au § 15 de l’ordonnance sur les dispositions législatives du 29 novembre 2000 (LS 172.16). L’implication du ou de la préposé(e) est ainsi garantie. Par souci d’exhaustivité, il convient de noter que le projet contient, comme le droit en vigueur, une obligation d’analyse d’impact sur la protection des données et de contrôle préalable (§ 32 ; § 10 IDG). Le fait que les projets législatifs cantonaux soient menés selon la méthode de gestion de projet «Hermes» et qu’une analyse d’impact sur la protection des données doive être effectuée très tôt dans le processus garantit en outre que l’on procède effectivement de la sorte. Pour les projets dans lesquels des questions pertinentes en matière de protection des données doivent être évaluées et qui ne doivent pas déjà être soumises au préposé dans le cadre d’un contrôle préalable, ce dernier est impliqué dans la procédure de consultation. L’implication du préposé est ainsi déjà suffisamment garantie par le droit en vigueur et une modification de la disposition ne semble pas nécessaire.
Alinéa 1Le ou la délégué(e) doit être expressément établi(e) comme autorité de surveillance. Cette fonction lui est déjà attribuée par le droit en vigueur, notamment à la suite des modifications juridiques découlant de l’adaptation aux bases juridiques européennes du 25 novembre 2019. Il convient de préciser expressément que le préposé exerce également la surveillance conformément au § 2 al. 2, c’est-à-dire dans la mesure où des organes publics participent à la concurrence économique et agissent dans ce cadre selon le droit privé. Dans ces cas, il ou elle applique toutefois la loi fédérale sur la protection des données. Cela a déjà été établi ainsi lors de la révision du 25 novembre 2019.
Le préposé ne doit pas non plus disposer à l’avenir de compétences de surveillance à l’égard du Grand Conseil et des tribunaux. Le contenu de cette réglementation correspond au droit en vigueur, qui exclut des compétences réglées dans différentes dispositions de la surveillance vis-à-vis du Grand Conseil et des tribunaux (§§ 2a al. 2 et 2b al. 3 en relation avec §§ 10 al. 2, 12a al. 1 et 2, 34 let. c, d et f ainsi que 35 – 36a LDI).
Il résulte de la systématique que l’exception s’applique à toute activité de surveillance, donc également aux pouvoirs de contrôle (§ 51), aux recommandations (§ 52) et aux mesures administratives (§ 53).
Le contenu de cette disposition est repris tel quel du droit en vigueur (§ 35 IDG). Pour une meilleure compréhension, la réserve de l’obligation de garder le secret est toutefois déplacée dans un alinéa séparé (al. 3).
Cette disposition est reprise en grande partie telle quelle du droit en vigueur (§ 36 IDG). Par rapport au droit en vigueur, il est précisé qu’il s’agit de dispositions «juridiques».
Alinéa 1 et 2 de cette disposition sont repris tels quels du droit en vigueur (§ 36a IDG). Pour des raisons d’uniformisation, le terme «juridique» est ajouté avant les dispositions.
Cette disposition est reprise du droit en vigueur (§ 37 IDG), mais la collaboration du préposé ne doit plus être limitée à la tâche de contrôle. En outre, il est expressément mentionné que la collaboration doit également avoir lieu avec les organes des communes.
Alinéa 1Cette disposition est reprise telle quelle du droit en vigueur (§ 40 IDG). Il convient de noter que la modification de l’art. 320 CP, adoptée en tant que modification accessoire de la loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (RS 128), permet désormais de punir également les auxiliaires conformément à l’art. 320 CP. Par conséquent, cette disposition ne couvre pas entièrement les faits régis jusqu’ici par le § 40 IDG : le § 55 sanctionne également l’utilisation des données personnelles pour soi-même ou pour autrui, alors que l’art. 320 StGB ne sanctionne que la «révélation». En outre, comme cette disposition n’est pas encore en vigueur, le § 40 IDG doit être maintenu dans sa portée actuelle. Si la version modifiée de l’art. 320 StGB entre en vigueur avant la présente loi, le passage «ou fait connaître à d’autres» pourrait toutefois être supprimé du texte de loi.
Alinéa 2 stipule que l’instruction et le jugement des infractions relèvent de la compétence des préfectures. Il est ainsi exclu de transférer cette compétence aux autorités communales (cf. § 89, al. 2 GOG).
Comme il y a une révision totale, la loi actuelle doit être abrogée.
La modification du droit en vigueur figure en annexe.
- 1. loi sur les communes du 20 avril 2015 (LS 131.1)
Les renvois à la LDI doivent être adaptés.
Le § 8 doit être formulé différemment en raison de la description différente de la pesée des intérêts au § 11.
- 2. la loi sur l’enregistrement et les registres des habitants du 11 mai 2015 (LS 142.1)
La modification ne contient que des adaptations de renvois. Comme il ne peut s’agir au § 25 al. 1 que de données personnelles particulières, le renvoi doit être plus précis (§ 23 al. 4 let. a).
- 3. loi sur la responsabilité du 14 septembre 1969 (LS 170.1)
La modification ne contient que des adaptations de renvois.
- 4. loi sur les publications officielles du 30 novembre 2015 (LS 170.5)
La modification ne contient que des adaptations de renvois.
- 5. loi sur les archives du 24 septembre 1995 (LS 170.6)
1Remarque préliminaire
Il a été dit à plusieurs reprises que le § 11a alinéa 1 lettre e de la loi sur l’archivage ne mentionnait pas qu’une pesée des intérêts était nécessaire. Il n’est pas nécessaire d’ajouter cette précision, car l’obligation de peser les intérêts est déjà contenue dans le texte en vigueur, même si le choix des mots est légèrement différent de celui de la LDI : les intérêts doivent être «particulièrement» dignes de protection. Cela signifie tout simplement qu’ils doivent être «plus dignes de protection» que ceux de la personne concernée. Pour pouvoir en décider, il est impératif de procéder à une pesée des intérêts, raison pour laquelle il n’est pas nécessaire de la compléter.
§ 8. prise en charge des dossiers par les archives
L’obligation de proposer des services est désormais réglée de manière exhaustive au § 8 E‑IDG.
§ 10. Accès au dossier
Outre l’adaptation du renvoi (abandon de la date pour le renvoi à la LDI), le renvoi aux autres dispositions (il s’agit de celles de la loi sur les archives) est plus clair.
- 6. loi sur le Grand Conseil du 25 mars 2019 (LS 171.1)
Les modifications ne contiennent que des adaptations de références et de termes. Ces modifications peuvent être effectuées au moyen d’une instruction générale.
- 7. loi sur l’organisation du Conseil d’Etat et de l’administration cantonale du 6 juin 2005 (LS 172.1)
§ 44a. Catalogue de données Remarques préliminaires
Un catalogue de données commun contient des métadonnées (p. ex. titre, description, thème, but du traitement, base légale ou autorisation d’accès). Il permet entre autres de voir quels sont les stocks d’informations gérés au sein de l’administration cantonale, qui en est responsable, sur quelles bases légales se fondent les différents stocks d’informations et qui est autorisé à y accéder. Le catalogue de données comprend des données ouvertes (OGD), des données partagées (données auxquelles d’autres services sont autorisés à accéder sur la base d’une base juridique) et des données fermées (données qui ne sont disponibles que pour le service qui les traite). Le catalogue de données offre ainsi la base d’une utilisation multiple des données et d’une harmonisation des données de référence. Le catalogue de données est d’une grande importance pour la numérisation, car il permet de déterminer la source de données adéquate et actuelle en termes de contenu. En outre, une utilisation correcte et minutieuse des données par les différents organes publics n’est envisageable que si ces derniers disposent d’une vue d’ensemble des données qu’ils traitent. La tenue d’un catalogue commun de données sert également cet objectif (cf. également ACE n° 1362/2021 et 1331/2022).
En outre, un catalogue de données commun sert la transparence : la population peut se faire une idée des informations disponibles en libre accès et des services qui traitent ses données à l’aide du catalogue de données. Le catalogue sert donc également à la population pour la réalisation de l’accès à ses propres données personnelles ainsi que pour l’accès à l’information. En outre, le catalogue de données est un avantage pour l’exercice de l’entraide administrative ou l’échange de données au sein de l’administration et facilite en outre la tenue de l’inventaire des informations conformément au § 13 al. 2 de la LDEI ainsi que l’évaluation des risques éventuels lors du traitement des données.
L’utilisation de la notion de «stocks d’informations» doit être vérifiée et éventuellement adaptée dans le cadre de l’adaptation de l’ordonnance, comme indiqué dans les explications relatives au § 13 al. 2 P‑LDI.
L’administration cantonale est tenue de gérer un catalogue de données commun pour toutes les informations structurées disponibles. Tous les «stocks d’informations structurées» sont aujourd’hui disponibles sous forme électronique.
Le catalogue de données doit en outre permettre de voir dans quels fichiers d’informations les données personnelles sont traitées (p. ex. nom, prénom, état civil). Les données des personnes individuelles ne sont pas visibles dans le catalogue de données (p. ex. Modèle, Félix, marié). Le catalogue de données ne contient que les descriptions (métadonnées) des stocks d’informations disponibles de manière structurée.
Les exigences concrètes relatives au catalogue de données, telles que le standard minimal des métadonnées, le rythme de mise à jour, etc. doivent être définies. Il n’est pas possible de fixer ces exigences dans la loi, raison pour laquelle cette tâche doit être confiée au Conseil d’Etat.
§ 44b. Données publiques ouvertes
Alinéa 1Contrairement aux autres organes publics, l’administration cantonale doit être tenue de publier les données ouvertes des autorités. Comme le stipule le § 15 al. 1 E‑IDG, cela suppose que les informations soient enregistrées sous forme électronique. Par conséquent, il n’existe pas d’obligation de saisie électronique particulière ni de création de nouveaux enregistrements. Comme pour le droit d’accès à l’information (§ 20 al. 1 IDG ; § 17 al. 1 E‑IDG), l’administration cantonale n’est pas non plus tenue de publier certaines informations dont elle peut éventuellement prendre connaissance ou qu’elle peut déterminer, même en tant que données ouvertes des autorités. Au contraire, l’administration cantonale est «seulement» tenue de publier les informations appropriées existantes en tant que données ouvertes des autorités. Toutes les informations stockées sous forme électronique ne se prêtent pas à une publication en tant que données publiques ouvertes. Ainsi, la mise à disposition de données ouvertes des autorités ne comprend notamment pas la publication de dossiers ou de documents individuels qu’ils contiennent. Il s’agit plutôt de publier, sous une forme lisible par une machine, des listes, des tableaux ou des bases de données qui sont de toute façon établis dans le cadre du mandat d’un organe public défini par la loi, qui sont déjà stockés sous forme électronique et qui sont structurés dans des collections ordonnées (cf. § 5 al. 5 E‑IDG).
al. 2 : Le Conseil d’Etat doit régler les critères de publication afin d’assurer une application uniforme et praticable. Il convient de tenir compte du fait que les données disponibles diffèrent parfois fortement en termes de qualité, d’actualité et d’intérêt attendu. Tous les jeux de données n’ont pas le même intérêt pour le public. Selon les critères définis, la publication peut également être hiérarchisée, avec la possibilité de ne publier que sur demande les jeux de données hautement prioritaires. Conformément à la réglementation de l’art. 10 LEMO, la publication peut être omise si elle apparaît disproportionnée au vu des moyens matériels et humains nécessaires.
Le Conseil d’Etat peut ensuite déterminer dans quelle mesure les jeux de données dont le contenu est digne de protection doivent être préparés pour pouvoir être publiés en tant que OGD. On peut penser par exemple à l’anonymisation de données personnelles, au regroupement d’informations (agrégation) ou à l’omission de contenus. Lors de la définition des critères, le Conseil d’Etat doit notamment prendre en compte le rapport entre le coût de la publication et l’utilité des informations pour la société, l’environnement et l’économie. Tant la ville de Zurich (cf. art. 11 Reglement über offene Verwaltungsdaten) que la Confédération (cf. art. 10 EMBAG) connaissent des réglementations correspondantes.
Des critères doivent également être définis pour la publication d’informations déjà disponibles avant l’entrée en vigueur de cette disposition. Leur mise à disposition ultérieure en tant que données ouvertes des autorités peut être en partie tout à fait judicieuse. Compte tenu de la quantité d’informations disponibles, il n’est toutefois pas possible de mettre à disposition toutes les informations déjà disponibles avant l’entrée en vigueur, car cela entraînerait une charge administrative excessive. Étant donné que la publication pose certaines exigences aux services administratifs et qu’elle nécessite éventuellement un effort de formation, un délai transitoire de cinq ans est fixé pour la saisie des informations déjà existantes, pour autant qu’elles remplissent les critères à définir par le Conseil d’État (cf. disposition transitoire). Afin de disposer de suffisamment de temps pour la préparation, l’ordonnance doit déjà être disponible au moment de l’entrée en vigueur. Afin de ne pas retarder inutilement l’entrée en vigueur du décret, cette disposition pourrait éventuellement être mise en vigueur plus tard.
Les exigences techniques ne doivent pas être réglementées. Celles-ci sont déterminées en grande partie par l’état de la technique.
La mise à disposition de données publiques ouvertes sous une forme lisible par machine doit être effectuée par les services administratifs compétents dans le cadre de l’exécution normale de leurs tâches. Il faut également tenir compte du fait que la charge de travail nécessaire à cet effet est compensée par le fait que la mise à disposition répétée en cas de nouvelles demandes et le conseil en cas de demandes simples ne sont plus nécessaires. En outre, un effort éventuellement un peu plus important se justifie par la simplification de l’accès, qui est également un avantage pour les services administratifs. Ensuite, des formations gratuites sont d’ores et déjà proposées aux collaborateurs de l’administration par le service spécialisé et de coordination OGD.
L’obligation de publier les données ouvertes des autorités peut en principe être imposée par une demande d’accès à l’information. Celle-ci peut – si les informations remplissent les exigences posées à l’OGD (§ 5 al. 5 E‑IDG) – être liée à la demande de publication sous une forme lisible par machine.
§ 44c. Conseil en matière de protection des données
La modification du 25 novembre 2019 (projet 5471) a permis d’adapter la LDI et d’autres lois à la directive (UE) 2016/680. A cette occasion, des conseillers à la protection des données ont été institués dans le domaine de la poursuite pénale et de l’exécution des peines. Leur tâche consiste à conseiller et à soutenir les collaborateurs des unités administratives concernées lors du traitement de données personnelles et, en particulier, à procéder à des examens préalables de protection des données pour les unités administratives. En outre, les conseillers à la protection des données doivent servir d’interface avec le préposé. Au cours de l’examen du projet 5471, une sous-commission formée par la direction et la commission de gestion du Grand Conseil a demandé que des conseillers à la protection des données soient également nommés dans les directions du Conseil d’Etat et de la Chancellerie d’Etat. Cette demande n’a pas été retenue par la commission compétente du Grand Conseil pour des raisons de temps, raison pour laquelle elle est traitée dans le cadre du présent projet.
Comme cette demande vise l’organisation de l’administration cantonale, elle ne doit pas être mise en œuvre dans la LDI, mais sera réalisée par une modification de la loi sur l’organisation du Conseil d’Etat et de l’administration cantonale. En outre, les conseillers à la protection des données doivent notamment surveiller la tenue des registres conformément au § 13 al. 2 et 3 de la P‑IDG. Les directions sont libres de confier aux personnes chargées du conseil en matière de protection des données également des tâches relevant du principe de transparence. Une obligation des directions de désigner un interlocuteur central pour le domaine du principe de transparence existe déjà aujourd’hui et doit être maintenue en conséquence (cf. § 28 al. 3 OID).
Lit. a : Les tâches sont réglées de manière analogue à celles des conseillers à la protection des données auprès des autorités de poursuite pénale et d’exécution des peines.
Lit. b : Une partie importante des tâches consiste à soutenir les unités administratives dans la réalisation d’évaluations d’impact sur la protection des données au sein des Directions et de la Chancellerie d’Etat : les évaluations d’impact sur la protection des données doivent être réalisées en premier lieu par les unités administratives compétentes, qui sont chargées des bases juridiques pertinentes ainsi que des processus de l’unité administrative concernée. La personne responsable du conseil en matière de protection des données doit toutefois les soutenir dans cette tâche.
Lit. c : Les conseillers à la protection des données doivent servir d’interface avec le ou la responsable de la protection des données et échanger avec lui ou elle sur les questions relatives à la protection des données.
Disposition transitoire
L’administration cantonale doit disposer d’un délai de cinq ans pour publier ses données publiques ouvertes. Etant donné qu’une ordonnance du Conseil d’Etat sera nécessaire pour la réglementation des OGD, il est possible de prévoir une entrée en vigueur échelonnée en plus de cette disposition. Le § 44b ne pourrait donc entrer en vigueur qu’après l’élaboration de l’ordonnance.
Le délai de transition est notamment nécessaire dans la mesure où des informations déjà existantes doivent être mises à disposition en tant qu’OGD, conformément aux critères fixés par le Conseil d’Etat dans l’ordonnance.
- 8. loi sur la procédure et la juridiction administratives du 24 mai 1959 (LS 175.2)
Une adaptation des termes doit être effectuée au § 19b.Les désignations sont adaptées à la let. g (concernant la notion de délégation administrative, cf. remarques relatives au § 45 P‑LDI) ainsi qu’aux ch. 1, 2 et 4.
Remarques préliminaires
Sur la question de la remise des dossiers au médiateur, le médiateur et le préposé à la protection des données de l’époque ont exprimé des avis juridiques divergents – en se fondant sur un cas concret. Le médiateur a défendu le point de vue selon lequel les dossiers qu’il avait demandés devaient être remis sans pesée supplémentaire des intérêts conformément au § 23 LDI, car des dispositions légales spéciales excluaient l’application des dispositions plus générales de la LDI sur la remise d’informations (même si elles contiennent des données personnelles). Ce point de vue est également défendu pour l’essentiel par Tobias Jaag/Markus Rüssli, Ombudsverfahren und Datenschutz, in : SJZ 112/2016, p. 89 ss. En revanche, le préposé à la protection des données de l’époque a défendu le point de vue selon lequel toute communication de données personnelles, même si elle a lieu sur la base des §§ 16 al. 1 let. a ou 17 al. 1 let. a LDI, est soumise à la réserve qu’en cas d’intérêt public ou privé prépondérant ou de disposition légale contraire, il n’y ait pas de communication ou que la communication soit limitée (§ 23 LDI). Un organe public doit donc procéder à une pesée des intérêts lors de chaque communication de données et vérifier s’il existe des intérêts contraires.
§ 92. b. Enquêtes
Le § 92 al. 2 est une base légale selon les §§ 16 al. 1 let. a et 17 al. 1 let. a IDG (ou § 35 al. 1 E‑IDG). Il en résulte que les dossiers réclamés doivent en principe être remis. Toutefois, même lorsque le médiateur demande la communication de documents, il doit toujours procéder à une pesée (limitée) des intérêts publics en jeu dans la clarification d’un cas et des éventuels intérêts publics ou privés prépondérants qui s’y opposent (cf. ci-dessus, remarques préliminaires relatives au § 35 E‑IDG). Compte tenu de la décision légale du § 92 al. 2, selon laquelle le médiateur a droit à la remise des dossiers, seuls des intérêts extrêmement graves peuvent empêcher la remise des dossiers. Si, dans un cas d’application, la remise du dossier est refusée, le médiateur dispose en outre de la voie de la plainte en matière de surveillance : il peut se défendre auprès de l’autorité supérieure contre le refus de remise du dossier. Cela permet également de s’assurer que l’autorité à qui l’on demande la communication des dossiers ne fait pas injustement obstacle à l’accomplissement de la tâche du médiateur. Une clarification ou une adaptation de la disposition légale ne s’impose donc pas. Il convient également de noter que l’on ne connaît qu’un seul cas dans lequel un conflit portant sur la remise de dossiers a donné lieu à une plainte de surveillance du médiateur. Dans ce cas, la présentation d’un grand nombre de dossiers personnels de personnes non impliquées dans la procédure de médiation a été exigée. En outre, la présentation des dossiers n’a pas été refusée de manière générale, mais des explications ont été demandées sur la mesure dans laquelle les dossiers de tiers étaient déterminants pour la procédure de médiation concrète, afin que les dossiers puissent être rendus accessibles dans une mesure limitée. Ce cas particulier ne convient pas comme base d’une adaptation de la loi. En outre, l’exclusion de l’application du § 11 P‑LDI (ou du § 23 LDI) ne changerait rien au fait que l’action du médiateur doit également être proportionnée et que le service administratif sollicité peut refuser de fournir un dossier inapproprié si tel n’était pas le cas. Il convient ensuite de retenir que le renvoi au § 92 al. 4, qui stipule que le médiateur «est tenu au secret à l’égard des tiers et du requérant dans la même mesure» que les autorités concernées, ne peut pas non plus conduire à la conclusion qu’une pesée des intérêts est exclue. Toutes les autorités auxquelles des dossiers doivent être remis dans le cadre de l’assistance administrative sont soumises au secret de fonction et, dans ces cas également, l’autorité qui remet les dossiers doit procéder à une pesée des intérêts.
Une clarification de la question juridique dans la loi ne s’impose donc pas – contrairement au mandat du concept.
al. 2 : Comme nous l’avons expliqué plus haut, le médiateur a en principe le droit, dans les procédures pendantes devant lui, de se faire remettre les dossiers, même si ceux-ci contiennent des données personnelles de tiers. L’autorité ne peut donc refuser au médiateur la consultation du dossier que dans des cas exceptionnels, en se fondant sur des intérêts publics prépondérants ou sur les droits de tiers concernés, conformément au § 11 P‑LDI (§ 23 LDI). L’applicabilité de la LDI ne doit pas être exclue, puisque le § 92 al. 2 contient justement une base légale selon le § 35 al. 1 et 2 P‑LDI (§§ 16 al. 1 let. a et 17 al. 1 let. a LDI). En ce sens, les réglementations sont harmonisées entre elles. Il est toutefois possible de compléter le § 92 al. 2 en précisant qu’une invocation du secret de fonction ne peut pas servir à refuser la remise du dossier. En outre, la deuxième phrase de la disposition peut être supprimée : Les dispositions du droit fédéral priment de toute façon toujours sur le droit cantonal. C’était déjà le cas lors de l’adoption de la disposition en 1977 (en vigueur depuis le 1er septembre 1978) et la directive du Conseil d’Etat ne contient également que cette phrase, sans autres compléments (cf. JO 1975, 980). La deuxième phrase de la version en vigueur n’a donc aucune signification et peut être abrogée.
Si – contrairement à la situation juridique actuelle – l’autorité à qui l’on demande de produire des documents devait être tenue de le faire sans procéder à une pesée des intérêts conformément au § 11 de la P‑LDI (§ 23 de la LDI), cela devrait être expressément ajouté au texte de loi. Une réglementation correspondante pourrait être formulée comme suit :
2 Les autorités auxquelles le médiateur s’adresse dans un cas précis sont tenues de lui fournir des renseignements et de lui présenter le dossier. La remise du dossier ne peut être refusée en invoquant le secret de fonction ou l’article 11 de la loi sur l’information et la protection des données.
Il convient toutefois de noter que même une telle réglementation permet, en vertu du principe de proportionnalité généralement applicable, un certain contrôle de la proportionnalité de la part de l’autorité requise, par exemple en ce qui concerne l’étendue des dossiers à présenter au médiateur.
- 9. loi sur le personnel du 27 septembre 1998 (LS 177.10)
- 11. loi sur l’exécution des peines et des mesures du 19 juin 2006 (LS 331)
- 12. loi sur les écoles secondaires du 13 juin 1999 (LS 413.21)
- 13. loi d’introduction de la loi sur la formation professionnelle du 14 janvier 2008 (LS 413.31)
- 14. loi sur les hautes écoles spécialisées du 2 avril 2007 (LS 414.10)
- 15. loi sur l’université du 15 mars 1998 (LS 415.11)
- 16e loi sur la police du 23 avril 2007 (LS 550.1)
- 17e loi sur le Contrôle des finances du 30 octobre 2000 (LS 614)
- 18. loi cantonale sur la géoinformation du 24 octobre 2011 (LS 704.1)
- 19e loi sur l’aide à l’enfance et à la jeunesse du 14 mars 2011 (LS 852.1)
- 20. loi sur les foyers pour enfants et adolescents du 27 novembre 2017 (LS 852.2)