1La présente convention a pour but d'instaurer une législation
et des institutions communes aux cantons du Jura et de Neuchâtel (ci-après :
"les cantons") dans les domaines de la protection des données et de la
transparence.
2Elle vise à protéger la personnalité et les droits fondamentaux des personnes
qui font l'objet d'un traitement de données personnelles.
3Elle a également pour buts de permettre la formation autonome des opinions,
de favoriser la participation des citoyens à la vie publique et de veiller à la
transparence des activités des autorités.
Art. 2
1La présente convention s'applique aux entités suivantes (ci-après: les
entités):
a) aux autorités législatives, exécutives, administratives et judiciaires
cantonales, et aux organes qui en dépendent;
b) aux communes et aux organes qui en dépendent;
c) aux collectivités et établissements de droit public cantonaux et communaux;
1) Adhésion du canton de Neuchâtel par Décret du 4 septembre 2012 (FO 2012 N° 37) avec effet
au 1er janvier 2013, promulgué par le Conseil d'Etat le 17 octobre 2012
2) RSN 101
3) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Buts
Champ
d'application
d) aux personnes physiques et morales et aux groupements de personnes de
droit privé qui accomplissent des tâches d'intérêt public ou déléguées par une
entité au sens des lettres a à c;
e) aux institutions, établissements ou sociétés de droit privé ou de droit public
cantonal dans lesquels une ou plusieurs entités au sens des lettres a à c
disposent ensemble au moins d'une participation majoritaire, dans la mesure
où ils accomplissent des tâches d'intérêt public.
Art. 3
1La présente convention règle les traitements de données concernant
les personnes physiques et morales effectués par les entités.
2Si cela est nécessaire et dans le cadre des principes de la présente convention,
les cantons peuvent adopter des lois spéciales y dérogeant, celle-ci s'appliquant
alors à titre de droit supplétif.
3En matière de transparence, la présente convention fixe les principes communs
applicables. La politique d'information et ses modalités sont laissées au soin des
cantons.
CHAPITRE II
Organisation et structure
Art. 4 SECTION 1: Organes compétents
1Sont chargés de veiller à l'application de la présente convention:
a) le préposé à la protection des données et à la transparence (ci-après : "le
préposé");
b) la commission de la protection des données et de la transparence (ci-après:
"la commission").
2Ces organes s'acquittent de leurs tâches de manière autonome et disposent à
cette fin des moyens nécessaires et, en particulier, de leur propre budget.
3Le préposé et les membres de la commission sont soumis au secret de fonction.
Ils peuvent en être déliés par l'exécutif cantonal concerné, lorsqu'un intérêt privé
ou public prépondérant l'exige; lorsque les deux cantons sont touchés, le
préposé et la commission peuvent être déliés conjointement du secret par le
Gouvernement jurassien et le Conseil d'Etat neuchâtelois (ci-après: "les
exécutifs cantonaux").
Art. 5
1Le préposé, ainsi que le président et les membres de la commission,
sont nommés conjointement par les exécutifs cantonaux.
1bisIls doivent posséder les qualifications ou l’expérience, en particulier dans le
domaine de la protection des données à caractère personnel, nécessaires à
l’exercice de leur fonction et de leurs pouvoirs.
2Ils exercent leur fonction en toute indépendance.
3Ils ne peuvent exercer une autre activité que si elle est compatible avec leur
fonction.
4) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
5) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Portée
Généralités
Nomination et
Art. 6 indépendance
1Le siège du préposé est déterminé conjointement par les exécutifs
cantonaux.
2Il est nommé pour une durée de cinq ans.
3Il dispose d'un secrétariat permanent dont les exécutifs cantonaux définissent
la dotation, le fonctionnement et le statut. Il engage son personnel.
4Les rapports de fonction du préposé sont reconduits tacitement pour une
nouvelle période de cinq ans, à moins que les exécutifs cantonaux, au plus tard
six mois auparavant, décident conjointement de ne pas les renouveler pour des
motifs objectifs suffisants.
5En cours de période, les exécutifs peuvent conjointement révoquer le préposé,
s’il a violé gravement ses devoirs de fonction ou s’il a perdu durablement la
capacité d’exercer celle-ci.
6Le préposé peut mettre fin aux rapports de fonction moyennant un préavis de
six mois.
7Le taux d'occupation du préposé et son traitement sont fixés conjointement par
les exécutifs cantonaux. Pour le surplus, son statut est régi par la législation sur
le personnel de la fonction publique du canton siège.
8En cas de litige, le préposé peut interjeter recours au Tribunal cantonal du
canton siège.
Art. 7
1La commission est composée de cinq membres.
2Elle comprend au moins un juriste et un spécialiste en informatique. Les
cantons sont équitablement représentés en son sein.
3Son siège est déterminé conjointement par les exécutifs cantonaux. Dans la
mesure nécessaire, elle bénéficie de l'appui du greffe de l'autorité judiciaire de
première instance dont relève son siège.
4Les membres de la commission sont nommés pour une durée de cinq ans. Ils
peuvent être reconduits dans leur fonction, sous réserve des prescriptions
relatives à l'âge de la retraite. Ils sont rémunérés selon les modalités fixées par
les exécutifs cantonaux.
5La commission se réunit au moins une fois par année et, pour le surplus, selon
les affaires à traiter.
6Elle peut délibérer valablement en présence d'au moins trois de ses membres.
Art. 8 SECTION 2: Attributions
1Le préposé est chargé de promouvoir la protection des données et la
transparence, en informant et sensibilisant le public et les entités au sujet des
principes inscrits dans la présente convention.
6) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
7) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
8) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Préposé
Commission
Préposé
2Il se prononce sur les projets d’actes législatifs ayant un impact sur la protection
des données et la transparence, assiste et conseille les particuliers et les entités
dans ces deux domaines.
3Il donne les avis et les conseils prévus par la présente convention, concilie les
parties et adresse les rapports mentionnés à l'article 13.
4En matière de protection des données, il tient en particulier le registre public
des fichiers, surveille l'application de la présente convention, peut émettre des
recommandations, saisir la commission et interjeter des recours.
5Il suit les évolutions pertinentes, notamment dans le domaine des technologies
de l’information et de la communication, dans la mesure où elles ont une
incidence sur la protection des données à caractère personnel.
6Il collabore avec les organes d’autres cantons, de la Confédération et d’Etats
étrangers qui accomplissent les mêmes tâches que lui.
Art. 9
1La commission rend les décisions prévues par la présente convention.
2Elle adresse le rapport mentionné à l'article 13.
3Elle s'organise librement et peut se doter d'un règlement interne.
Art. 10 SECTION 3: Financement
1Sur propositions du préposé et de la commission, les budgets qui leur
sont alloués annuellement sont préparés conjointement par les exécutifs
cantonaux.
1bisA la demande du préposé ou de la commission, leurs propositions de budget
sont transmises aux législatifs cantonaux.
2Dans le cadre de leur rapport annuel, le préposé et la commission présentent
les comptes de l'exercice précédent.
3Les procédures relatives au budget et aux comptes propres à chaque canton
sont réservées pour le surplus.
Art. 11
1Les charges et les revenus sont répartis entre les cantons au prorata
de leurs populations résidantes respectives au 31 décembre de l'année
précédente.
2Les exécutifs cantonaux peuvent, selon les circonstances, convenir d'une clef
de répartition différente.
Art. 12
Au surplus, les modalités financières sont réglées par les chefs de
Département des finances des cantons.
Art. 13 SECTION 4: Rapports
1Pour chaque exercice, le préposé et la commission adressent aux
autorités législatives et exécutives cantonales, jusqu'au 31 mars de l'année
suivante, un rapport de leur activité.
9) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Commission
Budgets et
comptes
Clé de répartition
Modalités
2Ils en assurent la publicité.
3Le préposé peut en outre adresser en tout temps un rapport spécial à ces
autorités.
CHAPITRE III
Protection des données
Art. 14 SECTION 1: Dispositions générales
On entend par:
a) données personnelles (ci-après: "les données"), toutes les informations qui
se rapportent à une personne identifiée ou identifiable;
b) données sensibles :
1. les données sur les opinions ou les activités religieuses, philosophiques,
politiques ou syndicales;
2. les données sur la santé, sur la sphère intime ou sur l’origine raciale ou
ethnique;
3. les données génétiques;
4. les données biométriques identifiant une personne physique de façon
unique;
5. les données sur des poursuites ou sanctions pénales et administratives;
6. les données sur des mesures d’aide sociale.
c) profilage, toute forme de traitement automatisé de données consistant à
utiliser ces données pour évaluer certains aspects personnels relatifs à une
personne physique, notamment pour analyser ou prédire des éléments
concernant le rendement au travail, la situation économique, la santé, les
préférences personnelles, les intérêts, la fiabilité, le comportement, la
localisation ou les déplacements de cette personne physique;
cbis) profilage à risque élevé, tout profilage entraînant un risque élevé pour la
personnalité ou les droits fondamentaux de la personne concernée, parce
qu’il conduit à un appariement de données qui permet d’apprécier les
caractéristiques essentielles de la personnalité d’une personne physique;
d) fichier, tout ensemble structuré de données à caractère personnel
accessibles selon des critères déterminés, que cet ensemble soit centralisé,
décentralisé ou réparti de manière fonctionnelle ou géographique;
e) personne concernée, la personne physique ou morale au sujet de laquelle
des données sont traitées;
f) responsable du traitement, l’entité qui, seule ou conjointement avec d’autres,
détermine les finalités et les moyens du traitement de données;
g) traitement, toute opération relative à des données – quels que soient les
moyens et les procédés utilisés – notamment la collecte, la conservation,
l'exploitation, la modification, la communication, l'archivage, l’effacement ou
la destruction de données;
10) Teneur selon Convention modifiante du 15 et 16 février 2022 et par D approuvant ces
Définitions
h) communication, le fait de rendre des données accessibles, par exemple en
autorisant leur consultation, en les transmettant ou en les diffusant;
i) communication en ligne, procédure automatisée permettant à une entité de
disposer de données sans l’intervention de celle qui les communique;
j) loi au sens formel, les textes législatifs soumis au référendum obligatoire ou
facultatif, ainsi que les règlements adoptés en assemblée communale;
k) sous-traitant, la personne privée ou l'entité qui traite des données pour le
compte du responsable du traitement;
l) destinataire, la personne physique ou morale, l’autorité publique, le service,
l’agence ou tout autre organisme qui reçoit communication de données ou à
qui des données sont rendues accessibles;
m) décision individuelle automatisée, toute décision prise exclusivement sur la
base d’un traitement de données automatisé, y compris le profilage, et qui a
des effets juridiques sur la personne concernée ou qui l’affecte de manière
significative;
n) violation de la sécurité des données, toute violation de la sécurité entraînant
de manière accidentelle ou illicite la perte de données, leur modification, leur
effacement ou leur destruction, leur divulgation ou un accès non autorisé à
ces données.
Art. 15
Le présent chapitre ne s'applique pas:
a) aux délibérations des autorités législatives cantonales et communales, ainsi
qu'à celles de leurs commissions;
b) au traitement de données dans le cadre de procédures juridictionnelles et
d’arbitrages pendants, à condition que les dispositions de procédure
applicables assurent une protection au moins équivalente à celle découlant
du présent chapitre;
c) aux données que les entités traitent dans le cadre d'une activité soumise à la
concurrence économique régie par le droit privé.
Art. 16 SECTION 2: Principes régissant le traitement de données personnelles
1Des données peuvent être traitées si une base légale le prévoit ou
si leur traitement est nécessaire à l'accomplissement d'une tâche légale.
2Les données sensibles et les profilages à risques élevés ne peuvent être traités
que si une base légale formelle l’autorise expressément. Une base légale
matérielle suffit si les conditions suivantes sont remplies:
a) le traitement est indispensable à l’accomplissement d’une tâche clairement
spécifiée dans une loi au sens formel;
b) le traitement n'est pas susceptible d'entraîner des risques particuliers pour la
personnalité et les droits fondamentaux des personnes concernées.
11) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
12) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Restrictions au
champ
d'application
Légalité
Art. 17 Proportionnalité
1Seules peuvent être traitées les données nécessaires et propres à
atteindre le but visé.
2Les données doivent être conservées sous une forme permettant l’identification
des personnes concernées pendant une durée n’excédant pas celle nécessaire
au regard des finalités pour lesquelles elles sont traitées.
Art. 18
1Le traitement des données doit être effectué conformément au
principe de la bonne foi.
2Les données ne peuvent être collectées que pour des finalités déterminées et
reconnaissables pour la personne concernée et doivent être traitées
ultérieurement de manière compatible avec ces finalités.
Art. 19
1Celui qui traite des données doit s'assurer que les données sont
exactes et complètes.
2Il prend toute mesure appropriée permettant de rectifier, d’effacer ou de détruire
les données inexactes ou incomplètes au regard des finalités pour lesquelles
elles sont collectées ou traitées. Le caractère approprié de la mesure dépend
notamment du type de traitement et de son étendue, ainsi que du risque que le
traitement des données en question présente pour la personnalité ou les droits
fondamentaux des personnes concernées.
Art. 20
1Les entités doivent assurer, par des mesures organisationnelles et
techniques appropriées, une sécurité adéquate des données par rapport au
risque encouru. Les mesures doivent permettre d’éviter toute violation de la
sécurité des données.
2Les entités veillent à l'intégrité, à la disponibilité et à la confidentialité des
données.
Art. 21 SECTION 3: Répertoire et registre public des fichiers17)
Les responsables du traitement de données tiennent un répertoire de
leurs fichiers.
Art. 22
1Le préposé tient un registre public inventoriant les fichiers de
données sensibles et de profilage à risques élevés.
2Ces fichiers lui sont annoncés par les responsables du traitement avant d'être
opérationnels.
13) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
14) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
15) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
16) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
17) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
18) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
19) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Bonne foi et
finalité
Exactitude
Sécurité des
données et de
l’information
Répertoire
Art. 23 Registre public
Toute personne peut consulter gratuitement les répertoires et le
registre public.
SECTION 4: Obligations en matière de traitement de données20)
Art. 23a21) 1L’entité responsable soumet pour préavis au préposé:
a) tout projet législatif touchant à la protection des données;
b) tout projet lorsque l’analyse d’impact relative à la protection des données
révèle que, malgré les mesures prévues par le responsable du traitement, le
traitement envisagé présente encore un risque élevé pour la personnalité ou
les droits fondamentaux de la personne concernée;
c) tout projet de sous-traitance à l’étranger.
2Le préposé peut établir une liste des opérations de traitement présentant des
risques élevés au sens de l'alinéa 1, lettre b.
3Si le préposé a des objections concernant le traitement envisagé, il propose au
responsable du traitement des mesures appropriées.
Art. 23b22) 1Lorsque le traitement envisagé est susceptible d’entraîner un
risque élevé pour la personnalité ou les droits fondamentaux de la personne
concernée, le responsable du traitement procède au préalable à une analyse
d’impact relative à la protection des données. S’il envisage d’effectuer plusieurs
opérations de traitement semblables, il peut établir une analyse d’impact
commune.
2L’existence d’un risque élevé dépend de la nature, de l’étendue, des
circonstances et de la finalité du traitement. Un tel risque existe notamment dans
les cas suivants:
a) le traitement de données sensibles à grande échelle;
b) le profilage;
c) la surveillance systématique de grandes parties du domaine public.
3L’analyse d’impact contient une description du traitement envisagé, une
évaluation des risques pour la personnalité ou les droits fondamentaux de la
personne concernée, ainsi que les mesures prévues pour protéger la
personnalité et les droits fondamentaux de la personne concernée.
4Le préposé se prononce sur l’analyse d’impact et les mesures de sécurité
envisagées.
5Le responsable du traitement est délié de son obligation d’établir une analyse
d’impact si une base légale prévoit le traitement et que son adoption a été
précédée d’une analyse répondant aux exigences des alinéas 1 à 4.
20) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
21) Introduit par la Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
22) Introduit par la Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Consultation
Consultation
préalable
Analyse d'impact
Obligation
d'annonce
Art. 23c23) 1Le responsable du traitement annonce dans les meilleurs délais au
préposé les cas de violation de la sécurité des données entraînant
vraisemblablement un risque élevé pour la personnalité ou les droits
fondamentaux de la personne concernée.
2L’annonce doit au moins indiquer la nature de la violation de la sécurité des
données, ses conséquences et les mesures prises ou envisagées pour remédier
à la situation.
3Le sous-traitant annonce dans les meilleurs délais au responsable du
traitement tout cas de violation de la sécurité des données.
4Le responsable du traitement informe par ailleurs la personne concernée
lorsque cela est nécessaire à sa protection ou lorsque le préposé l’exige.
5Il peut restreindre l’information de la personne concernée, la différer ou y
renoncer, dans les cas suivants:
a) un intérêt privé ou public prépondérant d’un tiers s’y oppose;
b) un devoir légal de garder le secret l’interdit;
c) le devoir d’informer est impossible à respecter ou nécessite des efforts
disproportionnés;
d) l’information de la personne concernée peut être garantie de manière
équivalente par une communication publique;
e) la communication des informations est susceptible de compromettre une
enquête, une instruction ou une procédure judiciaire ou administrative.
6Une annonce fondée sur le présent article ne peut être utilisée dans le cadre
d’une procédure pénale contre la personne tenue d’annoncer qu’avec son
consentement.
Art. 24
1Le responsable du traitement informe la personne concernée de
manière adéquate de la collecte de données, que celle-ci soit effectuée auprès
d’elle ou non.
2Lors de la collecte, il communique à la personne concernée les informations
nécessaires pour qu’elle puisse faire valoir ses droits selon la présente loi et,
pour que la transparence des traitements soit garantie; il lui communique au
moins:
a) l’identité et les coordonnées du responsable du traitement;
b) la finalité du traitement;
c) le cas échéant les destinataires ou les catégories de destinataires auxquels
des données sont transmises.
3Si les données ne sont pas collectées auprès de la personne concernée, il lui
communique en outre les catégories de données traitées.
4Lorsque des données sont communiquées à l’étranger, il lui communique
également le nom de l’Etat ou de l’organisme international en question et, le cas
échéant, les garanties et les exceptions prévues par la législation fédérale sur
la protection des données.
23) Introduit par la Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
24) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Devoir d'informer
5Si les données ne sont pas collectées auprès de la personne concernée, il lui
communique les informations mentionnées aux alinéas 2 à 4 au plus tard un
mois après qu’il a obtenu les données. S’il communique les données avant
l’échéance de ce délai, il en informe la personne concernée au plus tard lors de
la communication.
Art. 24a25) 1Le responsable du traitement est délié du devoir d’information au
sens de l’article 24 si l’une des conditions suivantes est remplie:
a) la personne concernée dispose déjà des informations correspondantes;
b) le traitement des données est prévu par la loi;
c) le responsable du traitement est une personne privée et il est lié par une
obligation légale de garder le secret.
2Lorsque les données ne sont pas collectées auprès de la personne concernée,
le devoir d’information ne s’applique pas non plus dans les cas suivants:
a) l’information est impossible à donner, ou
b) la communication de l’information nécessite des efforts disproportionnés.
3Le responsable du traitement peut restreindre ou différer la communication des
informations, ou y renoncer si l’une des conditions suivantes est remplie:
a) des intérêts privés d’un tiers ou publics prépondérants l’exigent;
b) l’information empêche le traitement d’atteindre son but;
c) la communication des informations est susceptible de compromettre une
enquête, une instruction ou une procédure judiciaire ou administrative.
Art. 24b26) 1En cas de traitement conjoint, les entités concernées s'accordent
sur la répartition des responsabilités et des obligations découlant de la présente
convention.
2L'accord passé conformément à l'alinéa 1 n'est pas opposable à la personne
concernée, qui peut faire valoir les droits découlant de la présente convention
auprès d’une des entités concernées.
Art. 24c27) Les données dont le responsable du traitement n’a plus besoin et
qui ne doivent pas être conservées à titre de preuve ou par mesure de sûreté
sont traitées conformément à la législation cantonale concernée relative aux
archives.
Art. 25 SECTION 5: Communication
1Les entités ne sont en droit de communiquer des données, d'office
ou sur requête, que si:
25) Introduit par la Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
26) Introduit par la Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
27) Introduit par la Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
28) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Exceptions au
devoir d'informer
Traitement
conjoint
Archivage et
destruction
Conditions
a) une base légale l’autorise ou si la communication est nécessaire à
l’accomplissement d’une tâche légale; en présence de données sensibles ou
de profilages, l’autorisation ou la tâche doit reposer sur une loi au sens formel;
b) la personne concernée y a en l'espèce consenti ou a rendu ses données
accessibles à tout un chacun et ne s'est pas opposée formellement à la
communication au sens de l'article 36;
bbis) la personne concernée n’est pas en mesure de donner son consentement, la
communication des données est dans son intérêt et son consentement peut
être présumé conformément aux règles de la bonne foi;
c) le destinataire rend vraisemblable que la personne concernée ne refuse son
accord ou ne s’oppose à la communication que dans le but de l’empêcher de
se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts
légitimes; la personne concernée sera auparavant invitée à se prononcer
selon l'article 30;
d) les données sont contenues dans un document officiel auquel l'accès est
demandé selon le chapitre IV, et que la communication est justifiée par un
intérêt public prépondérant.
2Les entités sont en droit de communiquer sur demande le nom, le prénom,
l'adresse, l'état civil, la profession, le sexe et la nationalité, la provenance et la
destination d'une personne même si les conditions de l'alinéa 1 ne sont pas
remplies, mais pour autant que cela soit dans l’intérêt de la personne concernée
ou que le destinataire justifie d’un intérêt digne de protection.
3Abrogé.
Art. 26
1La communication de données est refusée ou restreinte lorsque:
a) un intérêt prépondérant public ou privé, en particulier de la personne
concernée, l’exige;
b) une base légale interdit la communication.
2Lorsque les raisons qui justifient le refus ou la restriction ne sont que
temporaires, la communication doit être accordée dès que ces raisons cessent
d’exister.
3Lorsque la communication doit être refusée, restreinte ou différée, elle peut
néanmoins être accordée en étant assortie de charges qui sauvegardent les
intérêts à protéger.
4L’entité doit indiquer sommairement et par écrit les motifs de sa position, de
même que la possibilité de saisir le préposé au sens de l’article 40.
Art. 27
1Des données ne peuvent être communiquées à l’étranger que si les
conditions requises par la législation fédérale sur la protection des données sont
remplies.
2Les entités informent le préposé des garanties prises en vertu de cette
législation avant la communication de données.
Limites
Communication
transfrontière
Communication en
Art. 28 ligne
Si une entité en a régulièrement besoin pour l'accomplissement des
tâches légales qui lui incombent, l'exécutif concerné peut lui rendre accessibles
en ligne les données nécessaires, après consultation du préposé.
Art. 29
1La remise à des particuliers de listes de données est interdite, sauf
autorisation de l'exécutif cantonal ou communal compétent.
2Une telle autorisation ne peut être octroyée que si le requérant justifie d'un
intérêt digne de protection, s'engage à utiliser les données transmises dans le
but idéal pour lequel elles ont été requises et à ne pas les communiquer à des
tiers; la remise de listes répétitives doit de plus répondre à un intérêt public.
3La remise à des particuliers de listes de données sensibles ou de profilages à
risques élevés, de même que leur commercialisation, sont interdites, à moins
qu’une base légale ne les justifie.
Art. 30
1Lorsque la communication de données peut porter atteinte à un intérêt
prépondérant public ou privé, les entités ou les personnes concernées peuvent
exercer leur droit d’être entendu.
2Lorsque l’entité ou la personne concernée entend communiquer les données
malgré une opposition, elle doit en aviser l’opposant en indiquant sommairement
et par écrit les motifs de sa position, de même que la possibilité de saisir le
préposé au sens de l’article 40.
Art. 31 SECTION 6: Droits de la personne concernée
1Toute personne peut demander au responsable du traitement si des
données la concernant sont traitées.
2La personne concernée reçoit les informations nécessaires pour qu’elle puisse
faire valoir ses droits selon la présente convention et pour que la transparence
du traitement soit garantie. Dans tous les cas, elle reçoit les informations
suivantes:
a) l’identité et les coordonnées du responsable du traitement;
b) les données traitées en tant que telles;
c) la finalité du traitement;
d) la durée de conservation des données ou, si cela n’est pas possible, les
critères pour fixer cette dernière;
e) les informations disponibles sur l’origine des données, dans la mesure où ces
données n’ont pas été collectées auprès de la personne concernée;
f) le cas échéant, l’existence d’une décision individuelle automatisée ainsi que
la logique sur laquelle se base la décision;
g) le cas échéant, les destinataires ou les catégories de destinataires auxquels
des données ont été communiquées, ainsi que les informations prévues à
l’article 24, alinéa 4.
29) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
30) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
31) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
Communication de
listes
Droit d'être
entendu
Droit d'accès
1. Principe
3Le responsable du traitement qui fait traiter des données par un sous-traitant
demeure tenu de fournir les renseignements demandés.
4Nul ne peut renoncer par avance au droit d’accès.
Art. 32
1Sous réserve de dispositions spéciales contraires, l’accès aux
données comprend la consultation sur place et l’obtention des données par écrit.
2Le responsable du traitement peut aussi communiquer oralement les données
si la personne concernée s’en satisfait.
Art. 33
1L’accès aux données est refusé ou restreint lorsque:
a) un intérêt prépondérant public ou privé l’exige;
b) une loi au sens formel le prévoit.
2Lorsque les renseignements ne peuvent être communiqués directement à la
personne concernée parce qu’elle en serait par trop affectée ou parce que des
explications complémentaires sont nécessaires, le responsable du traitement
les transmet à un tiers mandaté à cet effet qui jouit de la confiance de celle-ci.
Art. 34
Quiconque a un intérêt légitime peut requérir du responsable du
traitement qu’il:
a) s’abstienne de procéder à un traitement illicite;
b) supprime les effets d’un traitement illicite;
c) constate le caractère illicite du traitement.
Art. 35
1Quiconque a un intérêt légitime peut demander au responsable du
traitement que les données soient dans les meilleures délais:
a) rectifiées ou complétées;
b) détruites ou effacées, si elles sont inutiles, périmées ou contraires au droit.
2Si l’exactitude ou l’inexactitude d’une donnée ne peut être prouvée, le
responsable du traitement ajoute à la donnée la mention de son caractère
litigieux.
3La personne concernée peut demander que la rectification, l’effacement, la
destruction des données, l’interdiction du traitement, l’interdiction de la
communication à des tiers ou la mention du caractère litigieux soient
communiqués à des tiers.
4Au lieu d’effacer ou de détruire les données, le responsable du traitement limite
le traitement dans les cas suivants:
a) l’exactitude des données est contestée par la personne concernée et leur
exactitude ou inexactitude ne peut pas être établie;
b) des intérêts prépondérants d’un tiers l’exigent;
32) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
33) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
34) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
35) Teneur selon Convention modifiante des 15 et 16 février 2022 et par D approuvant ces
2. Modalités
3. Restrictions
Autres droits
1. Défense en cas
de traitement
illicite
2. Rectification
c) un intérêt public prépondérant l’exige;
d) l’effacement ou la destruction des données est susceptible de compromettre
une enquête, une instruction ou une procédure administrative ou judiciaire.
Art. 36
1La personne concernée qui a un intérêt légitime peut s’opposer à ce
que le responsable du traitement communique des données déterminées.
2L’opposition peut être écartée si:
a) le responsable du traitement est juridiquement tenu de communiquer les
données, ou si
b) un intérêt public prépondérant exige la communication, notamment lorsque
le défaut de communication risque de compromettre l’accomplissement des
tâches du responsable du traitement.
3Sous réserve des cas graves et urgents, le responsable du traitement sursoit à
la communication de données jusqu’à droit connu quant à l’opposition.
Art. 37
Lorsque le responsable du traitement entend ne pas donner suite à
une requête fondée sur les articles 31 à 36, il en informe par écrit la personne
concernée avec de brefs motifs et lui indique la possibilité de saisir le préposé
pour conciliation.
Art. 38 SECTION 7: Procédure
1Les demandes fondées sur la présente convention ne sont
soumises à aucune exigence de forme.
2En cas de besoin, l’entité peut demander qu’elles soient formulées par écrit.
3Les demandes sont adressées au responsable du traitement.
Art. 39
L’entité traite les demandes avec diligence et rapidité.
Art. 40
1En cas de divergence quant à l'application du présent chapitre, le
responsable du traitement, une entité ou une personne concernée peut
demander au préposé de tenir une séance de conciliation.
2A cette fin, ils lui adressent une requête écrite sommairement motivée avec
pièces à l'appui.