Loi cantonale sur la protection des données

152.04LCPDLaw1 sept. 2026

Ouvrir la source

(LCPD) Du 03.12.2025 (état au 01.09.2026)

1 Dispositions générales

Art. 1 But

  1. La présente loi vise à protéger le droit fondamental à la protection des données des personnes dont les données personnelles sont traitées par les autorités.

Art. 2 Définitions

  1. Au sens de la présente loi, il est entendu par a données personnelles: les informations relatives à une personne identifiée ou identifiable; b personne concernée: la personne dont les données personnelles sont traitées; c données personnelles sensibles (données sensibles) concernant des personnes physiques: les données sur les opinions et les activités religieuses, philosophiques, politiques ou syndicales, les données sur l’origine ethnique, les données sur la santé et la sphère intime, les données génétiques, les données biométriques identifiant une personne physique de manière univoque, les données sur des mesures d’aide sociale ou des mesures de protection de l’enfant et de l’adulte, les données relatives à des poursuites ou des sanctions administratives ou pénales; d données personnelles sensibles (données sensibles) concernant des personnes morales: les données relatives à des poursuites ou des sanctions administratives ou pénales, les secrets professionnels, d’affaires ou de fabrication; e fichier: tout recueil de données personnelles constitué de façon à permettre de rechercher des données par personne concernée; f traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, en particulier le fait de les collecter, de les enregistrer, de les conserver, de les utiliser, de les modifier, de les communiquer, de les archiver, de les effacer ou de les détruire; g communication: le fait de transmettre des données personnelles ou de les rendre accessibles, notamment par l’autorisation de leur consultation, la fourniture de renseignements, leur transfert ou leur publication; h profilage à risque élevé: toute forme d’évaluation automatisée de données personnelles utilisée pour analyser ou pour prédire des caractéristiques essentielles relatives à une personne physique, en particulier le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements; i autorités: les organes et les unités administratives du canton et des communes, ainsi que de leurs établissements et de leurs collectivités, à l’exception du corps électoral, les personnes privées dans la mesure où elles accomplissent des tâches de droit public à elles confiées, les organes des Églises nationales et de leurs entités régionales, à l’exception du corps électoral; k autorités de protection des données: l’autorité cantonale de protection des données (art. 35 ss), les autorités de protection des données de droit communal et des Églises nationales (art. 42).

Art. 3 Champ d’application

  1. La présente loi s’applique a au traitement de données personnelles entrepris par une autorité concernant des personnes physiques, b au traitement de données personnelles entrepris par une autorité concernant des personnes morales, sauf les sections 3 et 5.
  2. La présente loi ne s’applique pas au cas où une collaboratrice ou un collaborateur d’une autorité traite des données personnelles pour son usage propre exclusivement, notamment dans le but de disposer d’un instrument de travail personnel.
  3. Lorsqu’une autorité participe à la concurrence économique et n’agit pas en tant qu’organe investi de la puissance publique, a la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) est applicable par analogie; b la surveillance des autorités de protection des données continue d’être régie par la présente loi.
  4. Les traitements de données personnelles obéissent au droit de procédure applicable dans le cadre des procédures devant a les autorités judiciaires, b le Ministère public, c les autorités de justice internes à l’administration.

2 Traitement de données personnelles

2.1 Principes

Art. 4 Base juridique

  1. L’autorité peut traiter des données personnelles dans la mesure où a la législation l’y autorise ou b cela lui sert à accomplir une tâche légale.
  2. Elle peut traiter des données sensibles ou procéder à un profilage à risque élevé à la condition supplémentaire a qu’une loi l’y autorise; b que l’accomplissement d’une tâche définie par la loi le rende indispensable ou c que la personne concernée ait expressément consenti à un ou plusieurs traitements déterminés ou ait rendu ses données personnelles accessibles à tout un chacun et ne se soit pas opposée expressément à un traitement.

Art. 5 Traitement en cas de situation de danger particulière

  1. L’autorité peut traiter des données personnelles, y compris des données sensibles, lorsque le traitement est nécessaire pour protéger la vie ou l’intégrité physique ou psychique de la personne concernée ou d’un tiers et qu’il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable.

Art. 6 Finalité

  1. Le but du traitement doit être défini.
  2. Les données personnelles peuvent être traitées a uniquement dans le but qui, en vertu du principe de la bonne foi, est compatible avec la finalité en vue de laquelle elles avaient été recueillies; b dans un autre but lorsque la présente loi le permet ou que la personne concernée a consenti à un ou plusieurs traitements déterminés.

Art. 7 Proportionnalité

  1. Le traitement des données personnelles doit être approprié et nécessaire à l’accomplissement de la tâche légale tout en étant acceptable pour la personne concernée.

Art. 8 Exactitude et exhaustivité

  1. Les données personnelles doivent être exactes et, dans la mesure où le but du traitement l’exige, complètes.

Art. 9 Protection des données dès la conception et par défaut

  1. Le traitement doit être développé sur les plans technique et organisationnel de telle façon qu’il respecte les dispositions sur la protection des données dès sa conception.
  2. Les mesures techniques et organisationnelles doivent être appropriées au regard en particulier de l’état de la technique, du type de traitement et de son étendue, ainsi que du risque que le traitement présente pour les personnes concernées.
  3. Il est de rigueur de garantir, par des préréglages appropriés, que le traitement soit limité au minimum requis par la finalité poursuivie, pour autant que la personne concernée n’en dispose pas autrement.

Art. 10 Sécurité des données

  1. Toute personne qui traite des données personnelles est responsable de leur assurer, par des mesures organisationnelles et techniques, une sécurité adéquate par rapport au risque encouru par la personne concernée.
  2. Les principes de la législation sur la sécurité de l’information et la cybersécurité s’appliquent par analogie.

Art. 11 Responsabilité

  1. La responsabilité de la protection et de la sécurité des données incombe à l’autorité qui, pour accomplir ses tâches légales, traite ou fait traiter des données personnelles.
  2. Si plusieurs autorités prennent part au traitement, a chacune s’assure qu’un acte législatif, une instruction ou un accord écrits désigne les autorités responsables des différentes parties du traitement; b elles sont toutes responsables de l’ensemble du traitement en l’absence d’une telle réglementation.
  3. Les autorités publient la réglementation visée à l’alinéa 2, lettre a ou la communiquent à la personne concernée qui en fait la demande.

Art. 12 Traitement par des tiers mandatés

  1. L’autorité peut mandater des tiers pour traiter des données personnelles à condition a que les données soient traitées de la même manière que l’autorité est habilitée à le faire et b qu’aucune obligation légale ou contractuelle de garder le secret ne s’y oppose.
  2. Elle s’assure en particulier que les tiers mandatés garantissent la sécurité des données.
  3. Les tiers mandatés ne peuvent pas déléguer le traitement à d’autres personnes sans l’accord préalable de l’autorité.

2.2 Formes particulières de traitement

Art. 13 Acquisition

  1. L’autorité collecte en règle générale les données personnelles auprès de la personne concernée et non auprès d’une autre personne privée.
  2. La collecte à l’intérieur même de l’administration est admise dans la mesure où la présente loi ne s’y oppose pas.
  3. Lorsqu’il n’y a pas d’obligation légale de renseigner, l’autorité souligne le caractère facultatif de la réponse.

Art. 14 Communication

  1. L’autorité peut communiquer des données personnelles à d’autres autorités ou à des personnes privées a si une base juridique conformément à l’article 4 l’autorise; b si la personne concernée a expressément consenti à un ou plusieurs traitements déterminés ou a rendu ses données personnelles accessibles à tout un chacun et ne s’est pas opposée expressément à un traitement ou c si le traitement est nécessaire pour protéger la vie ou l’intégrité physique ou psychique de la personne concernée ou d’un tiers et qu’il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable.
  2. Elle peut en outre communiquer des données personnelles à d’autres autorités si ces dernières font valoir de manière fondée qu’elles sont habilitées à traiter les données personnelles demandées.
  3. Elle refuse, restreint ou diffère la communication a si des obligations légales particulières de garder le secret l’exigent ou b si des intérêts publics ou privés prépondérants s’opposent à la communication.

Art. 15 Communication à l’étranger

  1. L’autorité peut communiquer des données personnelles à l’étranger si un niveau de protection approprié peut être garanti par a un traité international, b une décision de constatation du Conseil fédéral au sens de la législation fédérale sur la protection des données ou c d’autres garanties suffisantes.
  2. En dérogation à l’alinéa 1, l’autorité peut communiquer des données personnelles à l’étranger a si la communication est nécessaire en l’espèce à la sauvegarde d’un intérêt public prépondérant; b si la personne concernée a expressément consenti à une ou plusieurs communications déterminées ou a rendu ses données personnelles accessibles à tout un chacun et ne s’est pas opposée expressément au traitement; c si la communication est nécessaire pour protéger la vie ou l’intégrité physique ou psychique de la personne concernée ou d’un tiers et qu’il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable.

Art. 16 Destruction, conservation et archivage

  1. L’autorité détruit toute donnée personnelle qui n’est plus utilisée.
  2. Elle fixe pour chaque fichier s’il convient de conserver les données personnelles et pour combien de temps. Les dispositions de conservation spéciales sont réservées.
  3. Passé le délai fixé, elle peut conserver des données personnelles uniquement a si elles restent nécessaires comme moyen de preuve ou de sûreté ou b si elles présentent un intérêt pour la recherche scientifique.
  4. L’archivage et l’accès aux données personnelles archivées sont régis par la législation sur l’archivage.

2.3 Traitement à des fins ne se rapportant pas à des personnes

Art. 17

  1. L’autorité est en droit de traiter des données personnelles à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la jurisprudence, de la statistique ou de la planification dans la mesure où a dès que le but du traitement le permet, elle anonymise ou pseudonymise les données personnelles et b les personnes concernées ne sont pas identifiables en cas de communication des résultats.
  2. Elle peut communiquer des données personnelles en vue d’un traitement à des fins ne se rapportant pas à des personnes à condition qu’elle ait la garantie que la ou le destinataire a satisfait aux exigences énumérées à l’alinéa 1; b ne transmettra pas les données personnelles à des tiers sans l’accord préalable de l’autorité qui les lui a communiquées et c veille à la sécurité des données.

3 Obligations des autorités et des tiers mandatés

3.1 Obligations avant la mise en service

Art. 18 Analyse des risques en cas de traitements répétés envisagés

  1. L’autorité vérifie par une analyse des risques si les traitements de données personnelles répétés qui sont envisagés entraînent un risque élevé pour les personnes concernées.
  2. Un risque élevé, en particulier lors du recours à de nouvelles technologies, dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement et existe notamment a lorsque des données sensibles sont traitées ou b que le domaine public fait l’objet d’une surveillance systématique et étendue.
  3. S’il existe un risque élevé, une analyse d’impact relative à la protection des données personnelles doit être effectuée.

Art. 19 Analyse d’impact relative à la protection des données personnelles

  1. L’analyse d’impact relative à la protection des données personnelles contient au moins a la description du traitement envisagé, b l’évaluation des risques pour les personnes concernées, c les mesures de protection prévues.

Art. 20 Contrôle préalable

  1. L’autorité soumet les traitements de données personnelles répétés qui sont envisagés à l’autorité de protection des données compétente en vue de sa prise de position a si l’analyse des risques révèle qu’un risque élevé pour les personnes concernées existe et b que les données personnelles d’un nombre important de personnes seront traitées électroniquement.
  2. Elle soumet aussi à l’autorité de protection des données les modifications importantes concernant de tels traitements.
  3. L’autorité de protection des données procède au contrôle préalable dans un délai raisonnable.

3.2 Obligation d’inscrire au registre des fichiers et au registre des activités de traitement

Art. 21 Obligation d’inscrire au registre

  1. L’autorité cantonale de protection des données tient et publie un registre cantonal des fichiers.
  2. Les autorités cantonales lui annoncent en vue de leur inscription dans ce registre a leurs fichiers contenant des données personnelles et le but qu’ils poursuivent; b les profilages à risque élevé; c les systèmes algorithmiques de prise de décision présentant un risque élevé pour les personnes concernées.
  3. Les autorités de droit communal et les autorités des Églises nationales tiennent leur propre registre.
  4. Le Conseil-exécutif règle par voie d’ordonnance les indications des fichiers, ainsi que les exceptions à l’obligation d’annoncer et à celle de tenir un registre pour les fichiers présentant un risque limité pour les personnes concernées.

Art. 22 Obligation des autorités de poursuite pénale et des tribunaux pénaux de tenir un registre

  1. Les autorités de poursuite pénale et les tribunaux pénaux tiennent un registre de toutes les catégories d’activités impliquant le traitement de données personnelles et de leur but.
  2. Le Conseil-exécutif règle par voie d’ordonnance les exceptions à l’obligation de tenir un registre pour les traitements sans risque pour les personnes concernées.

3.3 Obligation d’informer

Art. 23 Obligation d’informer lors de la collecte de données personnelles

  1. L’autorité informe la personne concernée de la collecte de données personnelles, même si celle-ci est effectuée auprès d’un tiers.
  2. L’information porte au moins sur a l’autorité et ses coordonnées; b la base juridique et le but du traitement; c l’utilisation de systèmes algorithmiques de prise de décision présentant un risque élevé pour la personne concernée; d les données personnelles ou catégories de données personnelles traitées; e les destinataires des données personnelles ou les catégories de destinataires lorsque les données sont communiquées à des tiers; f les droits de la personne concernée.

Art. 24 Exceptions à l’obligation d’informer

  1. L’autorité renonce à l’information, la restreint ou la diffère a lorsque des obligations légales particulières de garder le secret l’exigent ou b que des intérêts publics ou privés prépondérants s’opposent à l’information.
  2. Elle peut renoncer à l’information a lorsque la personne concernée dispose déjà des renseignements ou b que ces renseignements découlent d’une base juridique.

Art. 25 Devoir d’informer en cas de décision individuelle automatisée

  1. L’autorité informe la personne concernée de toute décision qui est prise exclusivement sur la base d’un traitement de données personnelles automatisé et qui a des effets juridiques pour elle ou l’affecte de manière significative en la qualifiant comme telle (décision individuelle automatisée).
  2. Si la personne concernée le demande, l’autorité lui donne la possibilité de faire valoir son point de vue.
  3. La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique.
  4. Les alinéas 2 et 3 ne s’appliquent pas lorsque la personne concernée ne doit pas être entendue avant la décision conformément à l’article 21, alinéa 2 de la loi du 23 mai 1989 sur la procédure et la juridiction administratives (LPJA) ou en vertu d’une autre loi.

3.4 Obligations d’annoncer en cas de violations de la sécurité des données

Art. 26 Annonce des violations de la sécurité des données aux autorités de protection des données

  1. L’autorité annonce à l’autorité de protection des données compétente les cas de violation de la sécurité des données pouvant entraîner un risque élevé pour les personnes concernées si possible dans un délai de 72 heures à partir du moment où elle en a connaissance.
  2. Une violation de la sécurité des données au sens de la présente disposition se produit lorsque des données personnelles a sont perdues; b sont effacées, détruites ou modifiées de manière accidentelle ou sans autorisation; c sont divulguées ou rendues accessibles à des personnes non autorisées.
  3. Les tiers mandatés annoncent sans tarder à l’autorité tout cas de violation de la sécurité des données.

Art. 27 Annonce des violations de la sécurité des données à la personne concernée

  1. L’autorité informe la personne concernée de la violation de la sécurité des données lorsque les circonstances l’exigent ou que l’autorité de protection des données compétente l’impose.
  2. Il convient d’informer les personnes concernées en particulier lorsqu’elles peuvent prendre les dispositions nécessaires pour prévenir un dommage.

Art. 28 Exceptions à l’obligation d’annoncer à la personne concernée

  1. L’autorité renonce à l’annonce, la restreint ou la diffère a lorsque des obligations légales particulières de garder le secret l’exigent ou b que des intérêts publics ou privés prépondérants s’opposent à l’annonce.
  2. Elle peut renoncer à l’annonce a lorsqu’elle a adopté les mesures de protection techniques et organisationnelles appropriées qui ont évité que l’événement ne cause un dommage à la personne concernée; b que les mesures prises garantissent qu’il n’existe plus de risque élevé pour les personnes concernées ou c que l’annonce occasionnerait une charge disproportionnée et qu’une publication a lieu.

4 Droits de la personne concernée

Art. 29 Droit d’accès

  1. Toute personne peut demander à l’autorité quelles données personnelles la concernant sont traitées.
  2. Elle ne peut renoncer par avance au droit d’accès.
  3. L’autorité qui fait traiter des données personnelles par des tiers mandatés reste tenue de fournir les renseignements demandés.

Art. 30 Contenu et modalités de la communication des renseignements

  1. La personne concernée reçoit les renseignements nécessaires pour qu’elle puisse faire valoir ses droits, en particulier a les données personnelles traitées en tant que telles; b les informations que l’autorité doit communiquer lors de la collecte de données personnelles; c la durée de conservation des données personnelles ou, si cela n’est pas possible, les critères pour la fixer; d les informations disponibles sur l’origine des données personnelles, dans la mesure où ces données n’ont pas été collectées auprès de la personne concernée.
  2. Le Conseil-exécutif règle les modalités de la communication des renseignements par voie d’ordonnance.

Art. 31 Restriction au droit d’accès

  1. L’autorité refuse, restreint ou diffère la communication des renseignements a lorsque des obligations légales particulières de garder le secret l’exigent ou b que des intérêts publics ou privés prépondérants s’opposent à la communication des renseignements.

Art. 32 Droits en cas de traitement illicite

  1. La personne concernée peut notamment exiger de l’autorité a qu’elle rectifie les données personnelles inexactes; b qu’elle détruise les données personnelles ayant été traitées de façon illicite; c qu’elle élimine d’une autre manière les effets du traitement illicite ou d qu’elle constate le caractère illicite du traitement.
  2. Si l’autorité conteste l’inexactitude des données personnelles, elle doit en prouver l’exactitude.
  3. Si ni l’exactitude, ni l’inexactitude de données personnelles ne peut être prouvée, en particulier s’il s’agit de données comportant une appréciation d’un comportement humain, la personne concernée peut exiger que soit enregistrée une mention du caractère litigieux.

Art. 33 Droit à la communication de la décision

  1. Si la personne concernée prouve un intérêt digne de protection, la décision concernant notamment la rectification ou la destruction des données personnelles ou encore la mention du caractère litigieux doit être communiquée aux autorités et aux tiers qu’elle a désignés.

Art. 34 Droit de blocage de la communication à des personnes privées

  1. Si la personne concernée prouve un intérêt digne de protection, elle peut demander le blocage de la communication de ses données personnelles à des personnes privées.
  2. La communication est admissible malgré le blocage a si l’autorité y est tenue par une base légale ou b si la personne privée établit de manière plausible que ce blocage l’empêche d’exercer ses droits contre la personne concernée.
  3. Si une personne privée demande une communication selon l’alinéa 2, lettre b, l’autorité entend la personne concernée avant de communiquer les données.

5 Autorités de protection des données

5.1 Autorité cantonale de protection des données

Art. 35 Statut

  1. L’autorité cantonale de protection des données est une unité administrative indépendante.
  2. Elle est autonome dans l’accomplissement de ses fonctions, n’est liée à aucune directive et est soumise uniquement à la Constitution et à la loi.
  3. Elle est administrativement rattachée à la Direction de l’intérieur et de la justice.

Art. 36 Direction

  1. La déléguée ou le délégué à la protection des données dirige l’autorité cantonale de protection des données.
  2. Elle ou il est une spécialiste reconnue ou un spécialiste reconnu dans le domaine de la protection des données et dispose de bonnes connaissances des deux langues officielles.
  3. En droit du personnel, elle ou il a le statut d’une directrice ou d’un directeur. Au surplus, les dispositions de la législation sur le personnel relatives aux rapports de travail des membres d’autorité à titre principal sont applicables par analogie.

Art. 37 Élection et réélection de la déléguée ou du délégué à la protection des données

  1. Le Grand Conseil élit une déléguée ou un délégué à la protection des données pour une période de fonction de quatre ans.
  2. La commission électorale propose une candidature à la Commission de justice en vue de son préavis.
  3. La déléguée ou le délégué à la protection des données peut être reconduit dans ses fonctions.

Art. 38 Commission électorale

  1. La commission électorale se compose a d’une personne représentant la présidence de la Commission de justice, b d’une personne représentant la présidence de la Commission de gestion, c de la directrice ou du directeur de l’intérieur et de la justice, d d’un autre membre du Conseil-exécutif.
  2. La commission électorale peut recourir aux conseils de tiers.
  3. La personne représentant la présidence de la Commission de justice assure la présidence de la commission électorale et tranche en cas d’égalité des voix.
  4. La ou le secrétaire de la Commission de justice assure le secrétariat de la commission électorale.

Art. 39 Autorité de surveillance de la déléguée ou du délégué à la protection des données

  1. La Commission de gestion exerce la haute surveillance sur la déléguée ou le délégué à la protection des données.
  2. Elle tient particulièrement compte de l’indépendance de la déléguée ou du délégué à la protection des données.

Art. 40 Budget et plan intégré mission-financement

  1. L’autorité cantonale de protection des données établit son budget annuel et son plan intégré mission-financement.
  2. Le Conseil-exécutif les reprend sans modification respectivement dans le budget et dans le plan intégré mission-financement du canton.

Art. 41 Gestion financière

  1. La gestion financière de l’autorité cantonale de protection des données est régie par la législation sur les finances, sauf disposition contraire de la présente loi.
  2. L’autorité cantonale de protection des données a décide de l’engagement de personnel dans le cadre des moyens qui lui sont alloués par le budget; b arrête seule les dépenses courantes dans le cadre du budget, les compétences ordinaires en matière d’autorisation de dépenses s’appliquant aux investissements; c gère un compte spécial.
  3. En dérogation à l’article 55, alinéa 2 de la loi du 15 juin 2022 sur les finances (LFin), le Grand Conseil règle les structures comptables ainsi que la tenue des comptes par voie de décret.

5.2 Autorités de protection des données de droit communal et des Églises nationales

Art. 42

  1. Les communes et les autres collectivités de droit communal comptant au moins 25’000 habitantes et habitants ou membres, ainsi que les Églises nationales et leurs entités régionales désignent pour leur domaine leur propre autorité de protection des données.
  2. Elles fixent l’élection et l’organisation de leur autorité de protection des données par voie de règlement.
  3. L’autorité de protection des données a est autonome dans l’accomplissement de ses fonctions, n’est liée à aucune directive et est soumise uniquement à la Constitution et à la loi; b dispose des connaissances nécessaires et de compétences en matière d’autorisation de dépenses suffisantes.

5.3 Tâches

Art. 43 Tâches

  1. Les autorités de protection des données a surveillent l’application des dispositions sur la protection des données, y compris la sécurité des données; b se chargent du contrôle préalable; c traitent sous la forme de dénonciations à l’autorité de surveillance les requêtes des personnes concernées invoquant la violation des dispositions sur la protection des données; d conseillent les autorités s’agissant de l’application des dispositions sur la protection des données de même que les personnes concernées pour tout ce qui touche à leurs droits et servent d’intermédiaire entre elles; e défendent les intérêts des personnes qui ne peuvent pas être renseignées ou ne peuvent l’être que de manière restreinte sur leurs données personnelles; f prennent position sur les projets d’acte législatif et les mesures qui concernent la protection des données; g prennent position sur des questions touchant à la protection des données lorsque des autorités de décision ou de recours l’y invitent; h collaborent avec les autres autorités de surveillance dans le canton ainsi qu’avec celles des autres cantons, de la Confédération et de l’étranger; i informent le public de leurs activités régulièrement et en cas de nécessité.
  2. L’autorité cantonale de protection des données tient et publie le registre cantonal des fichiers.
  3. Elle s’exprime sur les projets d’acte législatif et les mesures des communes et des autres collectivités de droit communal ne disposant pas de leur propre autorité de protection des données seulement s’ils touchent de manière importante à la protection des données, notamment parce qu’il en découle des traitements présentant un risque élevé au sens de l’article 18, alinéa 2.

Art. 44 Surveillance en général

  1. Chaque autorité de protection des données de droit communal et chaque autorité de protection des données des Églises nationales surveille le traitement des données personnelles par les autorités relevant de sa compétence.
  2. L’autorité cantonale de protection des données surveille le traitement des données personnelles par les autres autorités et exerce la haute surveillance.
  3. Les communes municipales et les communes mixtes soumises à la surveillance de l’autorité cantonale de protection des données participent aux frais de cette autorité en versant un montant par habitante et habitant.
  4. Le Conseil-exécutif fixe le montant par voie d’ordonnance.

Art. 45 Secret de fonction

  1. Les autorités de protection des données sont tenues au secret lorsque la nature de l’affaire ou des obligations légales particulières de garder le secret l’exigent.
  2. Elles sont soumises à la même obligation de garder secrètes les données personnelles que l’autorité les traitant.

Art. 46 Contrôle du respect des dispositions en matière de protection des données

  1. Les autorités de protection des données contrôlent, de leur propre initiative ou à la suite d’une dénonciation, si les autorités et les tiers mandatés respectent les dispositions de protection des données, y compris de sécurité des données.
  2. Elles peuvent à cet effet a recueillir des informations écrites ou orales ainsi que des preuves; b accéder à tous les documents utilisés pour des traitements déterminés, effectuer des visites et entreprendre d’autres démarches de contrôle ainsi que se faire présenter des traitements.
  3. L’autorité et les tiers mandatés a assistent les autorités de protection des données dans l’accomplissement de leurs tâches légales; b ne peuvent pas invoquer d’obligations légales particulières de garder le secret.
  4. Si le contrôle découle d’une dénonciation, la personne qui l’a déposée doit être informée du résultat ou de l’avancée de l’examen qui s’y rapporte dans un délai maximal de trois mois.

Art. 47 Recommandations

  1. Si les autorités de protection des données constatent une violation ou un risque de violation des dispositions de protection des données, y compris de sécurité des données, elles émettent des recommandations concernant les mesures à prendre.
  2. Si une autorité ne suit pas les recommandations émises, elle le signale à l’autorité de protection des données compétente, motifs à l’appui, dans le délai qui lui est imparti.

Art. 48 Mesures administratives

  1. Lorsque des dispositions de protection des données, y compris de sécurité des données, sont gravement violées ou risquent de l’être et que l’autorité ne suit pas une recommandation, l’autorité de protection des données compétente peut ordonner la mise en conformité, la suspension ou la cessation de tout ou partie du traitement ainsi que la destruction de tout ou partie des données personnelles.
  2. L’autorité cantonale de protection des données ne peut pas rendre de décision relevant du champ d’application de l’article 3, alinéa 4.

Art. 49 Compétence en matière de recours

  1. Les décisions de l’autorité de protection des données de droit communal peuvent être attaquées auprès de la préfète ou du préfet.
  2. Les décisions et les décisions sur recours rendues par les autorités suivantes peuvent faire l’objet d’un recours auprès du Tribunal administratif: a préfètes ou préfets, b autorité cantonale de protection des données, c autorité de protection des données des Églises nationales.
  3. Les décisions rendues par l’autorité cantonale de protection des données à l’encontre du Tribunal administratif peuvent être attaquées devant la Cour suprême.

Art. 50 Coopération

  1. Les autorités de protection des données a collaborent entre elles et avec d’autres autorités de surveillance si cela s’avère utile; b peuvent en particulier tenir compte des prises de position ou des contrôles opérés par les autres autorités de surveillance et communiquer les leurs.
  2. Les services de surveillance de la protection des données d’autres collectivités de droit public peuvent assumer des tâches relevant de la surveillance de la protection des données dans le canton, si un accord écrit en ce sens a été conclu avec l’autorité cantonale de protection des données.
  3. L’autorité cantonale de protection des données a peut assumer des tâches relevant de la surveillance de la protection des données dans d’autres collectivités de droit public contre des honoraires conformes aux tarifs du marché si un accord en ce sens a été conclu par écrit avec elle; b est compétente pour la surveillance des prestations numériques cantonales auxquelles les communes recourent.

Art. 51 Rapport et information du public

  1. L’autorité cantonale de protection des données remet chaque année au Grand Conseil et, au besoin, aux communes et autres collectivités de droit communal soumises à sa surveillance un rapport sur son activité.
  2. Les communes et les autres collectivités de droit communal disposant de leur propre autorité de protection des données ainsi que les Églises nationales et leurs entités régionales règlent elles-mêmes les modalités de rapport de leur autorité de protection des données.
  3. Les autorités de protection des données informent le public au besoin.

6 Procédure et protection juridique

Art. 52 Dispositions applicables

  1. Sauf dispositions contraires de la présente loi, la procédure et la protection juridique sont régies par les prescriptions procédurales applicables au domaine en question.

Art. 53 Représentation en justice

  1. Ont qualité pour représenter en justice dans le cadre du champ d’application de la directive (UE) 2016/680, outre les avocates et les avocats, les organisations d’utilité publique sises en Suisse qui, en vertu de leurs statuts, s’occupent des impératifs de la protection des données et sont habilitées à représenter des personnes en matière de protection des données.

Art. 54 Actes attaquables

  1. Sont susceptibles d’être attaquées les décisions des autorités, en particulier celles qui traitent de demandes de renseignements, de rectification, de destruction et de communication de données personnelles.
  2. Est aussi susceptible d’être attaqué le fait de différer ou de refuser le prononcé de ces décisions.

Art. 55 Recours d’autorités

  1. Les autorités dont une demande a été rejetée ont elles aussi un droit de recours.

Art. 56 Émolument

  1. La personne concernée exerçant ses droits selon les articles 29 à 34 ne paie pas d’émolument.
  2. L’autorité peut percevoir un émolument lorsque la personne concernée exerce ses droits en faisant preuve de mauvaise foi ou en agissant à la légère.

7 Dispositions d’exécution

Art. 57

  1. Le Conseil-exécutif édicte les dispositions nécessaires à l’exécution de la présente loi.

8 Dispositions transitoires et dispositions finales

8.1 Dispositions transitoires

Art. 58 Traitements en cours

  1. Les articles sur la protection des données dès la conception et par défaut (art. 9), sur l’analyse des risques en cas de traitements répétés envisagés (art. 18), sur l’analyse d’impact relative à la protection des données personnelles (art. 19) et sur le contrôle préalable (art. 20) ne sont pas applicables aux traitements qui ont déjà été soumis à l’autorité de protection des données compétente pour prise de position ou qui ont débuté avant l’entrée en vigueur de la présente loi, si l’autorité a rempli ses obligations au sens de la loi du 19 février 1986 sur la protection des données (LCPD) et de ses dispositions d’exécution et que ces traitements restent pour l’essentiel inchangés.

Art. 59 Procédures en cours

  1. La présente loi ne s’applique pas a aux enquêtes des autorités de protection des données qui sont pendantes au moment de son entrée en vigueur; b aux recours pendants formés contre des décisions rendues avant son entrée en vigueur.

Art. 60 Période de fonction de la déléguée ou du délégué à la protection des données

  1. La période de fonction de la personne élue au poste de déléguée ou de délégué à la protection des données au moment de l’entrée en vigueur de la présente loi prend fin à son terme ordinaire.
  2. Lors de l’élection ou de la réélection qui suit l’entrée en vigueur de la présente loi, le Grand Conseil élit la déléguée ou le délégué à la protection des données pour une période allant jusqu’à la fin de la législature en cours.

Art. 61 Évaluation

  1. Le Conseil-exécutif évalue l’impact de la loi dans les quatre ans suivant son entrée en vigueur, adopte à l’intention du Grand Conseil un rapport à ce sujet et propose, le cas échéant, les mesures nécessaires.

8.2 Dispositions finales

Art. 62 Modification d’actes législatifs

  1. Les actes législatifs suivants sont modifiés:
    1. loi du 2 novembre 1993 sur l’information et l’aide aux médias (LIAM),
    2. loi du 31 mars 2009 sur l’archivage (LArch),
    3. loi du 7 mars 2022 sur l’administration numérique (LAN),
    4. loi du 13 juin 2017 sur le droit de cité cantonal et le droit de cité communal (loi sur le droit de cité, LDC),
    5. loi du 12 septembre 1985 sur l’établissement et le séjour des Suissesses et des Suisses (LES),
    6. loi du 9 décembre 2019 portant introduction de la loi fédérale sur l’asile et de la loi fédérale sur les étrangers et l’intégration (Li LFAE),
    7. loi du 20 juin 1995 sur l’organisation du Conseil-exécutif et de l’administration (loi d’organisation, LOCA),
    8. loi du 10 mars 2020 sur les fichiers centralisés de données personnelles (LFDP),
    9. loi du 28 mars 2006 sur les préfets et les préfètes (LPr),
    10. loi du 16 septembre 2004 sur le personnel (LPers),
    11. loi du 18 mai 2014 sur les caisses de pension cantonales (LCPC),
    12. loi du 23 mai 1989 sur la procédure et la juridiction administratives (LPJA),
    13. loi du 22 novembre 2005 sur le notariat (LN),
    14. loi du 1er février 2012 sur la protection de l’enfant et de l’adulte (LPEA),
    15. loi du 3 décembre 2020 sur les prestations particulières d’encouragement et de protection destinées aux enfants (LPEP),
    16. loi du 11 juin 2009 portant introduction du code de procédure civile, du code de procédure pénale et de la loi sur la procédure pénale applicable aux mineurs (LiCPM),
    17. loi du 23 janvier 2018 sur l’exécution judiciaire (LEJ),
    18. loi du 21 mars 2018 sur les Églises nationales bernoises (loi sur les Églises nationales, LEgN),
    19. loi du 28 janvier 1997 concernant les communautés israélites,
    20. loi du 19 mars 1992 sur l’école obligatoire (LEO),
    21. loi du 27 mars 2007 sur les écoles moyennes (LEM),
    22. loi du 14 juin 2005 sur la formation professionnelle, la formation continue et l’orientation professionnelle (LFOP),
    23. loi cantonale du 7 décembre 2021 sur l’encouragement du sport (LCESp),
    24. loi du 10 février 2019 sur la police (LPol),
    25. loi du 13 juin 2018 sur les prestations des entreprises de sécurité privées (LPESP),
    26. loi du 15 juin 2022 sur les finances (LFin),
    27. loi cantonale du 7 mars 2022 sur le Contrôle des finances (LCCF),
    28. loi du 9 juin 1985 sur les constructions (LC),
    29. loi du 2 décembre 1984 sur la santé publique (LSP),
    30. loi du 13 juin 2013 sur les soins hospitaliers (LSH),
    31. loi du 6 septembre 2018 portant introduction de la législation fédérale sur l’enregistrement des maladies oncologiques (LiLEMO),
    32. loi du 23 juin 2003 sur le marché du travail (LMT),
    33. loi du 6 juin 2000 portant introduction des lois fédérales sur l’assurance-maladie, sur l’assurance-accidents et sur l’assurance militaire (LiLAMAM),
    34. loi du 11 juin 2001 sur l’aide sociale (LASoc),
    35. loi du 9 mars 2021 sur les programmes d’action sociale (LPASoc),
    36. loi du 13 juin 2023 sur les prestations de soutien aux personnes en situation de handicap (LPHand),
    37. loi du 3 décembre 2019 sur l’aide sociale dans le domaine de l’asile et des réfugiés (LAAR),
    38. loi cantonale du 16 juin 1997 sur l’agriculture (LCAB),
    39. loi cantonale du 10 juin 2020 sur les jeux d’argent (LCJAr),
    40. loi du 7 juin 2012 sur l’exercice de la prostitution (LEP).

Art. 63 Abrogation d’un acte législatif

  1. La loi du 19 février 1986 sur la protection des données (LCPD) est abrogée.

Art. 64 Entrée en vigueur

  1. Le Conseil-exécutif fixe la date d’entrée en vigueur de la présente loi.

Poursuivez vos recherches dans ChatGPT ou Claude

Connectez Omnilex pour rechercher dans le corpus juridique depuis votre assistant IA.