Le Grand Conseil du canton de Fribourg

Transcription

1 7. Loi du 5 novembre 994 sur la protection des données (LPrD) Le Grand Conseil du canton de Fribourg Vu le message du Conseil d Etat du septembre 994 ; Sur la proposition de cette autorité, Décrète : CHAPITRE PREMIER Dispositions générales Art. But La présente loi vise à protéger les droits fondamentaux des personnes lorsque des organes publics traitent des données à leur sujet. Art. Champ d application La présente loi s applique aux organes publics suivants : a) les organes de l Etat, des communes et des autres corporations de droit public ainsi que des établissements de droit public ; b) les particuliers et les organes d institutions privées, lorsqu ils accomplissent des tâches de droit public. Elle ne s applique toutefois pas : a) aux délibérations du Grand Conseil, des assemblées communales ou des conseils généraux, des assemblées bourgeoisiales ainsi que de leurs commissions ; b) aux procédures civiles, pénales et de juridiction administrative en cours ; c) aux activités exercées par les entreprises publiques en situation de concurrence économique, lorsque celles-ci n agissent pas en tant qu organes investis de la puissance publique.

2 Protection des données L 7. Elle ne s applique aux Eglises reconnues que si celles-ci n ont pas adopté des dispositions en la matière. Art. On entend par : Définitions a) données personnelles (données), toutes les informations qui se rapportent à une personne identifiée ou identifiable ; b) personne concernée, la personne physique ou morale au sujet de laquelle des données sont traitées ; c) données sensibles, les données personnelles sur : ) les opinions ou activités religieuses, philosophiques, politiques ou syndicales, ) la santé, la sphère intime ou l appartenance à une race, ) des mesures d aide sociale, 4) des sanctions pénales ou administratives et les procédures y relatives ; d) traitement, toute opération relative à des données personnelles quels que soient les moyens et procédés utilisés notamment la collecte, la conservation, l exploitation, la modification, la communication, l archivage ou la destruction de données ; e) communication, le fait de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant ; f) fichier, tout ensemble de données personnelles dont la structure permet de rechercher les données par personne concernée ; g) responsable du fichier, l organe public qui décide du but et du contenu du fichier ; h) participant au fichier, l organe public qui, sans être responsable du fichier, est en droit d introduire des données dans le fichier ou d y procéder à des mutations.

3 Protection des données L 7. CHAPITRE Principes régissant le traitement de données personnelles. Conditions générales de licéité du traitement Art. 4 Base légale L organe public n est en droit de traiter des données personnelles que si une disposition légale le prévoit, ou, à défaut, si les dispositions réglant l accomplissement de sa tâche l impliquent. Art. 5 Finalité Les données personnelles ne peuvent être traitées que dans le but pour lequel elles ont été collectées ou dans un but qui, selon les règles de la bonne foi, est compatible avec lui. Sont réservés les cas dans lesquels la personne concernée a consenti à un changement de finalité. Art. 6 Proportionnalité Les données et les modes de traitement doivent être nécessaires et appropriés par rapport au but du traitement. Art. 7 Exactitude Dans la mesure où le but du traitement l exige, les données doivent être exactes et mises à jour. Art. 8 Devoir de diligence accru L organe public qui traite des données sensibles doit prendre toutes les dispositions nécessaires pour prévenir le risque accru d atteinte que comporte le traitement de telles données.. Conditions supplémentaires applicables à certaines formes de traitement Art. 9 Collecte Les données personnelles doivent être recueillies en principe auprès de la personne concernée. Elles ne peuvent l être auprès d un organe public ou d un tiers que si une disposition légale le prévoit, si la nature de la tâche l exige ou si des circonstances particulières le justifient. La collecte de données doit être reconnaissable comme telle pour la personne auprès de laquelle elle est effectuée.

4 Protection des données L 7. Lorsque des données sont recueillies de manière systématique, notamment au moyen d un questionnaire, le but et la base légale du traitement ainsi que les destinataires des données doivent être indiqués. Dans les autres cas, ces indications sont fournies sur demande. Art. 0 Communication ordinaire a) Conditions Des données personnelles ne peuvent être communiquées que si une disposition légale le prévoit ou si, dans un cas d espèce, a) l organe public qui demande les données en a besoin pour l accomplissement de sa tâche ; b) la personne privée qui demande les données justifie d un intérêt à la communication primant celui de la personne concernée à ce que les données ne soient pas communiquées, ou que c) la personne concernée a consenti à la communication, ou les circonstances permettent de présumer un tel consentement. L accès à des données personnelles au moyen d une procédure d appel, notamment un accès en ligne, ne peut être accordé à un ou une destinataire que si une disposition légale le prévoit. Art. b) Restrictions La communication est refusée, restreinte ou assortie de charges : a) si un intérêt public important ou un intérêt digne de protection de la personne concernée ou d un tiers le commande, ou b) si une obligation de garder le secret l exige. Art. c) Réserve La communication des données personnelles qui sont inscrites au contrôle des habitants est régie par la loi y relative. La communication de données personnelles au public est en outre régie par la législation sur l information et l accès aux documents. Art. a Communication transfrontière Des données personnelles ne peuvent être communiquées à l étranger que dans les Etats qui garantissent un niveau de protection adéquat. Des données personnelles peuvent toutefois être communiquées dans les Etats n offrant pas une telle garantie, lorsque l une des conditions suivantes est réalisée : 4

5 Protection des données L 7. a) des garanties suffisantes, notamment contractuelles, permettent d assurer un niveau de protection adéquat à l étranger ; b) la personne concernée a, en l espèce, donné son consentement explicite ; c) le traitement est en relation directe avec la conclusion ou l exécution d un contrat, et les données traitées concernent le cocontractant ou la cocontractante ; d) la communication est, en l espèce, indispensable soit à la sauvegarde d un intérêt public prépondérant, soit à la constatation, l exercice ou la défense d un droit en justice ; e) la communication est, en l espèce, nécessaire à la protection de la vie ou de l intégrité corporelle de la personne concernée. L organe public informe le ou la préposé-e cantonal-e à la protection des données des garanties prises en vertu de l alinéa let. a avant la communication des données à l étranger. Art. Destruction Les données personnelles doivent être détruites dès que l organe public n en a plus besoin. Sont réservées les dispositions cantonales et communales sur l archivage des documents administratifs. Art. a Vidéosurveillance Les dispositions spéciales de la législation sur la vidéosurveillance sont réservées.. Traitement de données à des fins ne se rapportant pas à des personnes Art. 4 Collecte auprès d un organe public Lorsque des données personnelles doivent être recueillies en vue d un traitement à des fins ne se rapportant pas à des personnes, notamment d un traitement à des fins de statistique, de recherche ou de planification, elles peuvent être obtenues auprès de l organe public qui les détient. Art. 5 Licéité du traitement Tout organe public est en droit, dans l accomplissement de sa tâche, de traiter à des fins ne se rapportant pas à des personnes les données personnelles qu il détient. Il est en droit de communiquer ces données à un autre organe public en vue d un traitement à des fins ne se rapportant pas à des personnes si : 5

6 Protection des données L 7. a) ce traitement entre dans les attributions de l organe qui demande les données, et que b) ces fins ne sont pas manifestement incompatibles avec les fins pour lesquelles les données ont été initialement recueillies. Sont réservées les restrictions à la communication prévues à l article. Art. 6 Conditions particulières Dès que le but du traitement le permet, les données personnelles traitées à des fins ne se rapportant pas à des personnes doivent être rendues anonymes, ou à tout le moins être utilisées sans référence directe aux personnes concernées. Les résultats du traitement doivent être publiés sous une forme ne permettant pas d identifier les personnes concernées. CHAPITRE Mise en œuvre de la protection des données Art. 7 Responsabilité a) En général Tout organe public qui traite des données personnelles est responsable de la protection des données. Lorsque plusieurs organes publics traitent conjointement des données, la répartition de leurs obligations relatives à la protection des données est réglée dans la déclaration prévue à l article 9. Art. 8 b) Traitement sur mandat L organe public qui fait traiter des données personnelles par un tiers demeure responsable de la protection des données. Il doit notamment donner au ou à la mandataire les instructions nécessaires et veiller à ce que celui-ci ou celle-ci n utilise les données ou ne les communique que pour l exécution du mandat. Lorsque le ou la mandataire n est pas soumis-e à la présente loi, l organe public assure la protection des données par un contrat, à moins que d autres dispositions légales n offrent une protection suffisante. Art. 9 Déclaration des fichiers a) Principe Avant d ouvrir un fichier, son responsable doit le déclarer à l autorité de surveillance. La déclaration contient les informations suivantes : 6

7 Protection des données L 7. a) le nom et l adresse du responsable du fichier ; b) la dénomination, la base légale et le but du fichier ; c) le cercle et le nombre approximatif des personnes concernées ; d) la liste des données qui seront enregistrées ; e) les participants au fichier et la répartition des responsabilités ; f) les destinataires réguliers de données. En outre, lorsque des données sensibles sont traitées, la déclaration doit contenir une justification de la nécessité de leur traitement, à moins que celle-ci ne résulte manifestement de la tâche à accomplir. Le responsable du fichier adresse une copie de la déclaration aux collectivités dont des organes participent au fichier. Art. 0 b) Exceptions N ont pas à être déclarés, s ils ne contiennent pas de données sensibles : a) les fichiers renfermant uniquement des informations accessibles au public ; b) les fichiers d enregistrement de la correspondance ; c) les fichiers d adresses ; d) les fichiers de fournisseurs et de clients ; e) les fichiers qui sont exclusivement des instruments de travail personnels. En outre, le Conseil d Etat peut, après avoir pris l avis de la Commission cantonale de la transparence et de la protection des données, prévoir des exceptions à l obligation de déclarer pour d autres catégories de fichiers qui ne présentent manifestement pas de risques pour les droits des personnes concernées. Art. Registre des fichiers L autorité de surveillance tient un registre qui contient l ensemble des déclarations de fichier. Les communes qui n ont pas leur propre autorité de surveillance conservent, également sous la forme d un registre, une copie des déclarations effectuées au sujet de leurs fichiers et des fichiers auxquels elles participent. Les registres sont publics et peuvent être consultés gratuitement. 7

8 Protection des données L 7. Art. Mesures organisationnelles et techniques L organe public qui traite des données personnelles doit prendre les mesures d organisation et les mesures techniques appropriées contre tout traitement non autorisé des données. Le Conseil d Etat détermine, après avoir pris l avis de la Commission cantonale de la transparence et de la protection des données, les exigences minimales en la matière. Art. a Procédure en cas de non-respect des prescriptions En cas de violation ou de risque de violation des prescriptions sur la protection des données, l autorité de surveillance invite l organe public concerné à prendre, dans un délai déterminé, les mesures nécessaires pour remédier à la situation. Toutefois, lorsque l organe concerné est une unité subordonnée, l invitation est directement adressée à l organe hiérarchiquement supérieur. Le destinataire de la recommandation adopte, dans le délai imparti par l autorité de surveillance, une décision sur la suite qu il entend donner à la recommandation. La décision est communiquée à l autorité de surveillance. L absence de décision est considérée comme une décision de rejet. 4 La décision de rejet, total ou partiel, de la recommandation est sujette à recours. Les dispositions du code de procédure et de juridiction administrative sont applicables par analogie. Toutefois, seule l autorité de surveillance a qualité pour recourir. 5 Lorsque la décision émane d un organe pour lequel le code de procédure et de juridiction administrative ne prévoit pas de voie de droit, le recours est adressé au Tribunal cantonal. CHAPITRE 4 Droits des personnes concernées Art. Droit d accès a) Principes Toute personne peut demander au responsable d un fichier si des données la concernant y sont traitées. Le responsable du fichier communique au requérant ou à la requérante toutes les données le ou la concernant qui sont contenues dans le fichier. Sur demande, il lui communique en outre les informations sur le fichier énumérées à l article 9 al.. 8

9 Protection des données L 7. L organe public qui fait traiter des données par un tiers demeure tenu de communiquer les données et de fournir les informations demandées. Art. 4 b) Modalités La personne qui fait valoir son droit d accès doit justifier de son identité. Les renseignements sont, en règle générale, fournis par écrit. En accord avec le responsable du fichier, la personne concernée peut également consulter ses données sur place. Lorsqu il s agit de données sur la santé, la communication peut être faite par un ou une médecin désigné-e par la personne concernée. Les dispositions de la loi du 6 novembre 999 sur la santé sont réservées. 4 La procédure est gratuite. Le Conseil d Etat peut prévoir des exceptions. Art. 5 c) Restrictions Le responsable du fichier peut refuser, restreindre ou différer la communication des renseignements si et dans la mesure où : a) un intérêt public le commande, notamment si la communication des renseignements risque de compromettre une procédure d enquête en cours ; b) l intérêt digne de protection d un tiers l exige. La communication peut également être refusée lorsqu elle concerne des documents déposés aux archives cantonales ou communales, à moins que la personne concernée ne fasse valoir un intérêt digne de protection. Le responsable du fichier doit indiquer pour quel motif il refuse, restreint ou diffère la communication des renseignements. Art. 6 Droits en cas d atteinte La personne qui y a un intérêt légitime peut exiger de l organe public qu il : a) s abstienne de procéder à un traitement illicite ; b) supprime les effets d un traitement illicite ; c) constate le caractère illicite du traitement. Elle peut en particulier demander que l organe public : a) rectifie les données la concernant, les détruise ou s abstienne de les communiquer à des tiers ; b) fasse figurer une mention appropriée en regard des données dont ni l exactitude ni l inexactitude ne peuvent être prouvées ; c) publie sa décision ou la communique à des tiers. 9

10 Protection des données L 7. Les documents déposés aux archives cantonales ou communales ne peuvent être ni rectifiés ni détruits. La personne concernée peut cependant demander l inscription d une mention appropriée. Art. 7 Procédure et voies de droit Les décisions prises en application des articles à 6 le sont selon les prescriptions du code de procédure et de juridiction administrative. Elles sont sujettes à recours conformément à ce code. En outre, les dispositions suivantes sont applicables : a) les organes publics communiquent également les décisions précitées à l autorité de surveillance ; b) l autorité de surveillance a qualité pour recourir contre ces décisions. Art. 8 Réparation du dommage et du tort moral La personne qui subit un préjudice en raison d une violation des dispositions de la présente loi peut faire valoir des prétentions en dommages-intérêts et en réparation du tort moral conformément à la loi sur la responsabilité civile des collectivités publiques et de leurs agents. Elle peut demander que le ou la juge ordonne la publication ou la communication à des tiers de tout ou partie de son jugement. CHAPITRE 5 Surveillance Art. 9 En général La surveillance de la protection des données est assurée par l Autorité cantonale de la transparence et de la protection des données. Les communes peuvent instituer leur propre autorité de surveillance qui assume, sur le plan communal, les mêmes tâches que l autorité cantonale. L autorité communale est indépendante dans l exercice de ses attributions et dispose des moyens nécessaires à l accomplissement de ses tâches. A défaut, la surveillance est exercée par l autorité cantonale. Art. 9a Autorité cantonale L Autorité cantonale de la transparence et de la protection des données comprend une commission, un ou une préposé-e à la transparence et un ou une préposé-e à la protection des données. 0

11 Protection des données L 7. Elle exerce les tâches qui lui incombent en vertu de la présente loi par l intermédiaire de la Commission cantonale et du ou de la préposé-e à la protection des données. Les tâches qu elle exerce dans le domaine du droit d accès aux documents sont régies par la législation y relative. Art. 0 Commission cantonale a) Composition, organisation et fonctionnement La Commission cantonale de la transparence et de la protection des données est formée d un président ou d une présidente et de six membres, élus pour une durée de quatre ans par le Grand Conseil à la suite d une proposition du Conseil d Etat. Son secrétariat est assuré conjointement par le ou la préposé-e à la protection des données et le ou la préposé-e à la transparence. Le président ou la présidente et les membres doivent posséder, dans leur ensemble, les connaissances nécessaires à l accomplissement des tâches de la Commission ; celle-ci comprend en particulier un ou une professionnel-le de la santé, un ou une spécialiste en informatique et au moins un ou une professionnel-le des médias. En cas de besoin, la Commission peut consulter des experts ou des expertes et inviter des tierces personnes à assister à tout ou partie de ses séances et, le cas échéant, à s y exprimer avec voix consultative. 4 Pour le surplus, la Commission règle son organisation et son fonctionnement. Art. 0a b) Attributions La Commission exerce une surveillance générale dans le domaine de la protection des données. Elle a notamment pour tâches : a) d assurer la coordination entre les exigences de la protection des données et l exercice du droit d accès aux documents officiels ; a bis )de diriger l activité du ou de la préposé-e à la protection des données ; b) de donner son avis sur les projets d actes législatifs touchant à la protection des données ainsi que dans les cas prévus par la loi ; c) de mettre en œuvre la procédure prévue à l article a en cas de violation ou de risque de violation des prescriptions sur la protection des données ; d) d interjeter les recours prévus à l article 7 al. ; e) d exercer la haute surveillance sur les autorités communales de surveillance, dont elle reçoit le rapport d activité.

12 Protection des données L 7. La Commission adresse chaque année au Grand Conseil, par l intermédiaire du Conseil d Etat, un rapport sur son activité et celle des deux préposé-e-s. Elle peut, dans la mesure où l intérêt général le justifie, informer le public de ses constatations. Art. Préposé-e cantonal-e à la protection des données Le ou la préposé-e cantonal-e à la protection des données est nommé-e par le Conseil d Etat, sur le préavis de la Commission. Il ou elle a pour tâches : a) de contrôler l application de la législation relative à la protection des données, notamment en procédant systématiquement à des vérifications auprès des organes concernés ; b) de conseiller les organes concernés, notamment lors de l étude de projets de traitement ; c) de renseigner les personnes concernées sur leurs droits ; d) d exécuter les travaux qui lui sont confiés par la Commission ; e) de faire rapport à la Commission sur son activité et ses constatations ; f) de collaborer avec le préposé fédéral à la protection des données et à la transparence ainsi qu avec les autorités de surveillance de la protection des données des autres cantons et avec celles de l étranger ; g) d examiner l adéquation du niveau de protection assuré à l étranger, au sens de l article a al.. Le ou la préposé-e recueille les informations nécessaires à l accomplissement de ses tâches. Il ou elle peut notamment demander des renseignements, exiger la production de documents, procéder à des inspections et se faire présenter des traitements de données. Le secret de fonction ne peut lui être opposé. Art. Dispositions communes L Autorité cantonale de la transparence et de la protection des données est indépendante dans l exercice de ses attributions. Elle est rattachée administrativement à la Direction dont elle relève ). Elle dispose d une enveloppe budgétaire dont le montant est déterminé chaque année à l occasion de l adoption du budget de l Etat. 4 Les membres de l Autorité cantonale sont soumis au secret de fonction et à l obligation de discrétion.

13 Protection des données L 7. 5 Ils signalent, au moment de leur entrée en fonction et lors de chaque modification, les liens particuliers qui les rattachent à des intérêts privés ou publics. 6 Les articles à 5 du code de procédure et de juridiction administrative sont applicables à la récusation des membres de l Autorité cantonale. ) Actuellement : Chancellerie d Etat. CHAPITRE 6 Dispositions transitoires et finales Art. Droit transitoire a) Déclaration des fichiers existants Les organes publics qui tiennent un fichier au moment de l entrée en vigueur de la présente loi disposent d un délai d une année pour procéder à la déclaration prévue à l article 9. Art. 4 b) Communes sans fichiers automatisés Tant qu une commune ne dispose d aucun fichier automatisé, ses organes ne sont pas soumis à l obligation de déclarer leurs fichiers à l autorité de surveillance. Art. 5 Modifications a) Loi sur le contrôle des habitants La loi du mai 986 sur le contrôle des habitants (RSF 4..) est modifiée comme il suit :... Art. 6 b) Loi sur le statut du personnel de l Etat La loi du mai 975 sur le statut du personnel de l Etat (RSF.70.) est modifiée comme il suit :... Art. 7 c) Loi sur les communes La loi du 5 septembre 980 sur les communes (RSF 40.) est modifiée comme il suit :... Art. 8 d) Loi concernant les rapports entre les Eglises et l Etat La loi du 6 septembre 990 concernant les rapports entre les Eglises et l Etat (RSF 90.) est modifiée comme il suit :

14 Protection des données L Art. 9 e) Loi sur la police cantonale La loi du 5 novembre 990 sur la police cantonale (RSF 55.) est modifiée comme il suit :... Art. 40 f) Loi sur les impôts communaux et paroissiaux La loi du 0 mai 96 sur les impôts communaux et paroissiaux (RSF 6.) est modifiée comme il suit :... Art. 4 Entrée en vigueur Le Conseil d Etat est chargé de l exécution de la présente loi, dont il fixe la date de l entrée en vigueur. ) ) Date d entrée en vigueur : er juillet 995 (ACE..995). 4