Règlement d'exécution de la loi sur les informations traitées automatiquement par ordinateur

Art. 1 Définitions Aux fins du présent règlement : a) données personnelles signifie : toutes les informations se rapportant à une personne physique, à une personne morale ou à un groupe de personnes (personne concernée), pour autant que celle-ci soit ou puisse être déterminée; b) banque (base) de données signifie : ensemble exhaustif et structuré de données fiables et cohérentes, organisées indépendamment de leurs applications, accessibles en temps utile et satisfaisant à des normes de confidentialité; c) fichier signifie : toute collection de données classées par personne concernée; d) traitement signifie : toute manipulation de données telle que le fait de se les procurer, de les conserver, de les utiliser, de les modifier, de les communiquer ou de les détruire; e) système d'information signifie : ensemble de données, d'organisation et de moyens mis en oeuvre pour assurer l'information d'un organisme. Un tel système peut être pris en charge par un ou plusieurs systèmes informatiques; f) système informatique signifie : combinaison de tous les moyens de saisie, de traitement et de transport de l'information d'applications utilisant un ou plusieurs ordinateurs ou équipements informatiques connectés ou non; g) sous-système signifie : éléments d'information regroupés en un ensemble cohérent logique, pouvant constituer une partie d'un système d'information; h) descripteur générique signifie : sous-ensemble d'informations se rapportant à une notion générale; i) accès signifie : toute action qui permet d'introduire des données, d'en avoir connaissance ou de les modifier; j) responsable du fichier désigne, au sein d'un office ou d'un service, qui dans l'accomplissement de ses tâches légales est compétent pour traiter des données personnelles, la personne dont l'autorité hiérarchique est suffisante pour assumer une fonction de contrôle et de gestion.

Art. 2 Création de fichiers Toute demande de création et de traitement de banques de données, de systèmes d'informations et de fichiers doit être soumise au Conseil d'Etat en indiquant notamment : a) le nom du service, de l'office, ou de l'institution et du département concernés; b) le nom du répondant du service, de l'office ou de l'institution; c) le système d'information et son découpage en sous-systèmes; d) le nom de chacun des sous-systèmes, en donnant pour chacun, les rubriques suivantes : 1° le nom du responsable des fichiers, 2° les buts du sous-système considéré et la finalité des traitements prévus, 3° les catégories de personnes enregistrées dans le sous-système, 4° la liste des descripteurs génériques décrivant aussi complètement que possible les informations du sous-système en adéquation avec les buts visés, 5° dans les cas où des données historiques sont conservées, une mention spéciale leur est faite; e) les services auxquels tout ou partie des informations peuvent être transmises.

Art. 3 Modification des fichiers des traitements

1 Toute adjonction de nouvelles données dans une banque de données, un système d'information ou un fichier, de même que toute modification apportée à la finalité des traitements prévus ou toute élaboration de nouveaux traitements intervenant après la demande de création prévue à l'article 2, doit faire l'objet d'une demande d'autorisation auprès du Conseil d'Etat, selon la même forme qu'une demande de création.

2 Cette demande mentionne, le cas échéant, quelles sont les nouvelles données, les finalités nouvelles, ou les finalités modifiées par les traitements envisagés.

Art. 4 Catalogue des fichiers

1 Le Conseil d'Etat fait établir et mettre à jour régulièrement le catalogue des fichiers auxquels s'appliquent les dispositions légales et réglementaires relatives à la protection de la sphère privée et des informations.

2 Ce catalogue indique pour chaque fichier : a) le nom du service, l'office, ou de l'institution et du département concernés; b) le nom du répondant du service, de l'office, ou de l'institution; c) le système d'information et son découpage en sous-systèmes; d) le nom de chaque sous-système, en donnant pour chacun les rubriques suivantes : 1° le nom du responsable des fichiers, 2° les buts du sous-système considéré et la finalité des traitements prévus, 3° les catégories de personnes enregistrées dans ce sous-système d'information, 4° la liste des descripteurs génériques décrivant aussi complètement que possible les informations du sous-système en adéquation avec les buts visés, 5° dans les cas où des données historiques sont conservées, une mention spéciale leur est faite; e) les services auxquels tout ou partie des informations peuvent être transmises.

3 Il contient également le glossaire des descripteurs utilisés pour décrire les fichiers.

4 Le catalogue peut être consulté au département des institutions. (2)

Art. 5 Retrait Les données qui ont cessé d'être pertinentes par rapport au but du fichier depuis plus de 5 ans doivent être épurées, sauf décision expresse du Conseil d'Etat.

Art. 6 Demande de consultation

1 La demande de consultation (art. 9 de la loi) doit être adressée par écrit au responsable du fichier contenant l'information requise.

2 Un émolument de 10 F est perçu à cette occasion.

Art. 7 Divulgation des informations

1 Chaque responsable d'un fichier prend les mesures nécessaires aux fins d'empêcher la divulgation accidentelle des informations. A cet effet, il prend toutes dispositions notamment dans le domaine du personnel, du matériel ou du logiciel.

2 En cas de divulgation d'information à des personnes auxquelles elles ne sont pas destinées, celles-ci ont l'obligation de garder le secret et d'avertir immédiatement le responsable du fichier.

3 Toute communication d'information émanant de l'Etat, des communes et des établissements de droit public, faite à des personnes privées doit porter une mention spécifiant qu'en cas d'erreur de destinataire, celui-ci est tenu à l'obligation de garder le secret.

Art. 8 Directives des centres informatiques

1 Les directions des centres informatiques soumis à la loi édictent des directives visant à assurer la sécurité et la protection des données traitées sur les équipements installés dans leur centre. Sous-traitance

2 Dans le cas où le responsable d'un fichier confie le traitement de ses données à un organisme qui n'est pas soumis à la loi sur les informations traitées automatiquement par ordinateur, du 17 décembre 1981, il fait respecter les dispositions de celle-ci et du présent règlement, au besoin par un contrat de droit privé.

Art. 9 Accès au système Chaque responsable d'un fichier prend les mesures appropriées pour que les personnes non autorisées n'aient pas accès au système.

Art. 10 Sauvegarde des fichiers Chaque responsable de fichiers prend les mesures nécessaires quant à la sauvegarde de ceux-ci, notamment en constituant des copies de sécurité et en les stockant en des lieux physiquement distincts de l'équipement qui les traite.

Art. 11 Commission de contrôle La commission de contrôle de l'informatique de l'Etat organise elle-même son activité, qu'elle agisse d'office ou sur plainte. A cet effet, elle établit des directives qu'elle soumet à l'approbation du Conseil d'Etat.

Art. 13 Entrée en vigueur Le présent règlement entre en vigueur le 1 er

février 1983.

Art. 14 Dispositions transitoires

1 Les banques de données, systèmes d'information et fichiers, de même que les traitements qui leur sont appliqués existant déjà au moment de l'entrée en vigueur du présent règlement sont soumis aux dispositions prévues à l'article 2.

2 Ces démarches doivent être terminées le 31 janvier 1984.

B 4 35.01 R d’exécution de la loi sur les informations traitées automatiquement par ordinateur 22.12.1982 01.02.1983 Modifications : 1. n.t. : dénomination du département (4/4) 22.12.1993 01.01.1994 2. n.t. : rectification selon 7C/1, B 2 05 (4) 28.02.2006 28.02.2006