name: Révision de la Convention modifiant CPDT290621

category_fr: Message

text: \nRÉPUBLIQUE ET CANTON DE NEUCHÂTEL\n\nParlement de la République et Canton\ndu Jura\n\nGrand Conseil de la République et\nCanton de Neuchâtel\n\nProjet de révision partielle de la convention intercantonale relative à la protection des données\net à la transparence dans les cantons du Jura et de Neuchâtel (CPDT-JUNE)\n\nConsultation des Parlements en application de la convention sur la participation des\nparlements (CoParl)\n\nMadame la Présidente,\nMonsieur le Président,\n\nMesdames et Messieurs les députées et députés,\n\nConformément à la convention sur la participation des parlements (CoParl ; art. 8 al. 1), nous\nvous transmettons le projet de révision partielle de la convention mentionnée en rubrique.\n\nLa révision partielle vise à adapter le droit cantonal aux nouvelles règles européennes en\nmatière de protection des données personnelles. Les nouvelles dispositions ont pour objectifs\nd'améliorer la transparence des traitements envers les personnes concernées, d'améliorer le\ncontrôle que ces dernières peuvent exercer sur leurs données personnelles ainsi que de\npréciser et d'étendre les obligations des responsables de traitement.\n\nLa CoParl prévoit en principe l'institution d'une commission interparlementaire, appelée à\nprendre position sur le projet de convention, ainsi que l'intervention du Bureau\ninterparlementaire de coordination (art. 9 et suivants). Il est cependant possible de renoncer à\nla constitution d'une telle commission. Dans un tel cas, la commission des affaires extérieures\n\nde chaque canton peut prendre position sur le projet (art. 12 CoParl).\n\nCompte tenu des engagements pris par la Suisse dans le cadre de l'accord de Schengen,\nrespectivement des attentes de la Confédération sur le plan de l'adaptation des législations\ncantonales au nouveau cadre européen, ainsi que de la portée limitée de la présente révision\nsur le plan matériel, laquelle apporte principalement des précisions par rapport à des pratiques\ndéjà en place sans toutefois comporter de véritables nouveautés, nous nous permettons de\nvous suggérer d'examiner l'opportunité de recourir à un mode de participation plus rapide que\nla constitution d'une commission interparlementaire.\n\n\n\nNous prendrons connaissance avec intérêt de votre détermination sur cette question, ainsi\nque, plus généralement, sur le projet de révision. Nous vous remercions de bien vouloir nous\nfaire part de votre réponse d'ici au 31 octobre 2021 .\n\nDes représentants des exécutifs soussignés et le préposé à la protection des données et à la\ntransparence commun à nos deux cantons, Monsieur Christian Fluckiger, sont volontiers à\ndisposition pour tout complément d'information.\n\nEn vous souhaitant bonne réception de la présente et de ses annexes, nous vous prions\nd'agréer, Madame la Présidente, Monsieur le Président, Mesdames et Messieurs les députées\net députés, l'expression de nos sentiments distingués.\n\nDelémont et Neuchâtel, les 17 et 18 août 2021\n\nAu nom du G _ , ent jurassk\n-;:^NT^<'\n\nLa près' ^-- ancelière\nn\n\nN. Bart t '---. in lerDocou\n^oïïo^\n\nAu nom du C , çKwf , euchâtelois\n/^ "' ' ^\n\nLèpres/ ^^. ^-^^ ^ance// e\ng l ii S )M\n\ni -II / /\nL. avre . Despl nd\n\nAnnexes : - projet de convention révisant la CPDT-JUNE ;\n- rapport explicatif ;\n- tableau comparatif des dispositions avec commentaires.\n\n\n\nRÉPUBUQUE ET CIUITOW DU JURA\nRÉPUBLIQUE ET CANTON DE NEUCHÂTEL\n\nRAPPORT EXPLICATIF A L'APPUI DU PROJET DE REVISION PARTIELLE DE LA\nCONVENTION INTERCANTONALE RELATIVE A LA PROTECTION DES DONNEES ET A LA\nTRANSPARENCE DANS LES CANTONS DU JURA ET DE NEUCHATEL (CPDT-JUNE)\n\nl. Contexte\n\nDepuis le 1er janvier 2013, les cantons de Neuchâtel et du Jura ont choisi d'unir leurs efforts pour\nmettre sur pied une autorité et une convention intercantonale relative à la protection des données\net à la transparence dans les cantons du Jura et de Neuchâtel (CPDT-JUNE). Une commission\nformée de cinq miliciens et un préposé intercantonal à la protection des données et à la\ntransparence ont été nommés pour remplir, dans les deux cantons, les missions que leur attribue\nla loi.\n\nLes risques d'atteinte à la personnalité générés par le traitement de données personnelles prenant\nde ('ampleur au vu de révolution technologique, qui facilite en particulier considérablement la\nrécolte, le stockage et la transmission de données personnelles, la protection de la personnalité se\ndevait d'évoluer. C'est pourquoi le Conseil de l'Europe et l'Union européenne ont adopté de\nnouvelles règles en matière de protection des données. La Suisse étant membre de la Convention\neuropéenne des droits de l'Homme et ayant adhéré à l'espace Schengen, les cantons sont\namenés à adapter leurs règles à celles prévues dans ces engagements internationaux. Une\nrévision de la CPDT-JUNE est donc nécessaire pour s'adapter aux nouvelles exigences\neuropéennes.\n\nPlus précisément, l'article 8 de la Convention européenne des droits de l'Homme (CEDH :\nRS 0. 101) garantit le droit au respect de la vie privée. Pour asseoir cette garantie en matière de\nprotection des données, le Conseil de l'Europe a adopté la Convention pour la protection des\npersonnes à l'égard du traitement automatisé des données à caractère personnel, entrée en\nvigueur en Suisse le 1er février 1998 (Convention STE 108 . RS 0. 235. 1). Afin de répondre aux\névolutions, un rotocole d'amendement de la Convention STE 108 a été adopté par le Comité des\nMinistres du Conseil de l'Europe le 18 mai 2018. Le Conseil fédéral l'a signé le 30 octobre 2019 et\na adopté le 6 décembre 2019 un messa e relatif à la nouvelle convention du Conseil de l'Euro e\nsur la rotection des données afin d'obtenir sa ratification par le Parlement.\n\nEnsuite, au niveau de l'Union européenne, une réforme de la législation sur la protection des\ndonnées a été adoptée le 27 avril 2016 qui comprend deux actes législatifs. Il s'agit, d'une part, du\nré lement UE 2016/679 relatif à la protection des personnes physiques à l'égard du traitement\ndes données à caractère personnel (RGPD) et, d'autre part, de la directive UE 2016/680 relative\nà la protection des personnes physiques à l'égard du traitement des données à caractère\npersonnel à des fins pénales. Seule celle-ci est considérée comme un développement de l'acquis\nde Schengen que la Suisse s'est engagée à introduire dans son droit national.\n\n\n\nLe délai d'adaptation à la directive (UE) est arrivé à échéance le 1er août 2018. Les travaux de\nrévision cantonaux ont pris du retard, tout comme ceux de la Confédération. Le projet de révision\nde la loi fédérale sur la rotection des données LPD . RS 235. 1 n'a été adopté que le 25\nseptembre 2020, après de longs débats aux Chambres fédérales. Il entrera en vigueur, en\nprincipe, fin 2022.\n\nPour toutes ces raisons, un groupe de travail intercantonal, présidé par le préposé à la protection\ndes données et à la transparence des cantons du Jura et de Neuchâtel (PPDT) et composé de\ncinq juristes issus desdits cantons, a été mis en place, en 2017, afin d'élaborer un projet de\nrévision de la CPDT-JUNE. Etant donné que cette dernière est relativement récente (en vigueur\ndepuis le 1er janvier 2013), le choix a été fait de ne modifier que ce qui est nécessaire pour qu'elle\nsoit compatible avec les exigences européennes, sous réserve de deux exceptions détaillées au\nchapitre suivant. Les modifications proposées tendent à améliorer la protection de la personnalité\ndes citoyens par un renforcement des droits de ceux-ci, ainsi que des obligations des entités\ntraitant des données personnelles.\n\nLe projet, tel qu'il vous est aujourd'hui proposé, a été avalisé par la commission de la protection\ndes données et de la transparence et tient compte des remarques de cette dernière.\n\nII. Exposé du projet\n\nLes nouvelles dispositions européennes ont fait l'objet d'un examen par la Conférence suisse des\npréposés (Privatim) qui a établi un guide destiné à tous les cantons proposant les modifications\nminimales à effectuer pour améliorer la protection de la personnalité des administrés et harmoniser\nnotre législation au droit international. A ce jour, 15 cantons ont déjà terminé cet exercice.\n\nLe présent projet se fonde essentiellement sur ledit guide. Bien que les cantons ne soient pas\ndirectement soumis à la nouvelle LPD et que les choix fédéraux ne s'imposent pas au projet qui\nvous est soumis, les nouvelles dispositions proposées tiennent néanmoins compte, comme cela a\nété le cas lors des précédentes révisions, des formulations de celle-ci, par souci d'harmonisation et\nafin de profiter de la future jurisprudence fédérale. Au surplus, il est important d'harmoniser les\nrègles pour éviter que les entités cantonales ayant accès à des données personnelles détenues\npar la Confédération soient confrontées à deux régimes de protection des données distincts.\nL'adoption de complications supplémentaires n'irait pas dans le sens d'une meilleure protection de\nla personnalité des citoyens.\n\nLes nouvelles dispositions ont pour objectifs d'améliorer la transparence des traitements envers\nles personnes concernées, d'améliorer le contrôle que les personnes peuvent exercer sur leurs\ndonnées personnelles ainsi que de préciser et d'étendre les obligations des responsables de\ntraitement. Elles sont conformes aux exigences imposées par le droit européen.\n\n\n\nLa Confédération a choisi de sortir la protection des données personnelles des personnes morales\nde la LPD pour introduire une dizaine de nouveaux articles dans la loi sur l'organisation du\ngouvernement et de l'administration (LOGA ; RS 172. 010). Elle a renoncé à cette protection\npuisque la majorité des législations étrangères ne la connaissent pas. Ce choix doit notamment\nfaciliter les échanges de données avec l'étranger. Cependant, cette renonciation ne concerne en\nfait que les traitements de données soumis au droit privé (c'est-à-dire entre entités privées). Ceux\neffectués par les organes fédéraux restent soumis à des règles relativement similaires figurant\ndésormais dans une autre loi. Notamment parce que l'administration est régie par le principe de la\nlégalité (art. 5 Cst. fédérale), le traitement des données des personnes morales nécessite des\nbases légales. La suppression pure et simple des personnes morales du champ d'application de la\nCPDT-JUNE (qui sont actuellement incluses dans son champ d'application) conduirait à un vide\njuridique. Les autorités ne pourraient plus enregistrer ni traiter leurs données dans un système\nd'information. Par conséquent, la situation actuelle ayant jusqu'à présent donné satisfaction,\nl adoption d'une /ex specialis intercantonale régissant exclusivement les personnes morales parait\ninadéquate. Etant donné que les règles européennes n'imposent rien à ce sujet, il est proposé de\nmaintenir le statu quo (comme le canton de Zurich). Dans le cas contraire, il faudrait adopter de\nnombreuses règles parallèles à la CPDT-JUNE, à l'image de celles de la Confédération (voir\nFF 2017 6803, pp. 6850ss; FF 2017 6565, pp. 6595 et 6728ss), spécifiques aux données\npersonnelles des personnes morales.\n\nA relever que les traitements de données des personnes morales n'étant d'ordinaire pas à risques\nélevés, les analyses d'impacts préalables ne seront en principe pas nécessaires.\n\nLes nouveautés apportées dans la révision prévoient principalement :\n\nla transmission aux législatifs des propositions budgétaires du préposé (art. 10, al. 1 bis) ;\nla soumission au PPDT des projets et traitements comportant des risques élevés pour la\npersonnalité (art. 23a) ;\nl'analyse d'impact préalable par le PPDT s'il y a des risques élevés pour la personnalité\n(art. 23b) ;\nune obligation d'annonce au PPDT des violations de sécurité des données(art. 23c);\nl'harmonisation à la nouvelle terminologie (le « maître de fichier » actuel est désormais\nqualifié de « responsable de traitement ») ;\nle devoir d'informer les personnes concernées lors de la collecte de leurs données\n(art. 24s. ) ;\nl'introduction de l'exigence d'un intérêt digne de protection pour la communication par\nl'administration du nom, du prénom, de l'adresse et de la date de naissance d'un\nadministré (art. 25, al. 2).\n\nAu niveau des définitions (art. 14), la notion de profil de la personnalité est remplacée par celles de\nprofilage et de profilage à risque élevé. En ce qui concerne les données sensibles, il est précisé\nqu'il faut une loi formelle pour légitimer leur traitement (exigence découlant actuellement de la\njurisprudence) et que les données biométriques et génétiques en font désormais partie.\n\n\n\nA noter qu'il est renoncé à intégrer dans ce projet un registre des activités de traitement pour\nremplacer l'actuel registre des fichiers, bien que cette dernière notion tende à disparaître. Dans la\nmesure où le droit européen n'impose la notion plus large de « registre des traitements » que dans\nles domaines Schengen, seuls la police et le service en charge des migrations s'adapteront à cette\nnouvelle obligation. Tant dans le canton de Neuchâtel que dans celui du Jura, ce point est intégré\ndans le cadre des révisions respectives de la loi sur la police actuellement en cours.\n\nPar ailleurs, les traitements effectués conjointement par plusieurs entités devront faire l'objet d'un\naccord de répartition des responsabilités entre elles (art. 24b).\n\nDans le but de conserver une maîtrise aussi effective que possible des données, il est\nexpressément mentionné que les données sont traitées uniquement en Suisse, excepté si le\ntraitement n'y est possible qu'à un coût disproportionné ou s'il ne peut être effectué qu'à l'étranger\n(art. 54, al. 1, let. d). L'application actuelle de la CPDT-JUNE atteint indirectement le même\nrésultat, puisqu'il est prévu que le mandataire est assujetti aux mêmes contrôles que le mandant.\nAutrement dit, le PPDT doit pouvoir effectuer les contrôles prévus par la loi. Or, il est inconcevable\nque celui-ci puisse agir efficacement à l'étranger.\n\nEnfin, cette révision de la CPDT-JUNE est l'occasion d'améliorer deux dispositions,\nindépendamment de toute exigence européenne. Premièrement, il a été constaté en pratique que\nla possibilité offerte à ['ensemble de l'administration de pouvoir communiquer les données\nprécitées sur demande de tiers posait des problèmes de sécurité. Par exemple, une personne\ndésirant bloquer l'accès à son adresse Quges, douaniers, etc. ) devait le faire auprès de tous les\nservices détenant ses données. Les applications informatiques utilisées ne permettent\nactuellement pas de faire un blocage général. Par conséquent, l'article 25, alinéa 2, exige\ndésormais un intérêt digne de protection pour la communication par l'administration du nom, du\nprénom, de l'adresse et de la date de naissance d'un administré.\n\nDeuxièmement, il s'agit de corriger une imprécision. L'exclusion de la transparence dans toutes les\nprocédures (y compris les procédures administratives non contentieuses au sein de\nl'administration) provient d'une erreur lors de l'élaboration du texte original. Le contenu de l'article\n69, alinéa 2, aurait dû être identique à celui de l'article 15, lettre b, CPDT-JUNE, c'est-à-dire que\nles règles spéciales de procédure ne sont applicables qu'aux procédures juridictionnelles et aux\narbitrages pendants, faute de quoi peu de documents seraient accessibles puisqu'une grande\npartie de l'activité de l'administration entre dans le champ des procédures non contentieuses. Une\ntelle restriction serait sans doute contraire au droit fondamental à l'information prévu dans la\nConstitution neuchâteloise, plus récente que celle jurassienne et qui consacre expressément le\nprincipe de la transparence (cf. avis du PPDT 2016. 1661, publié le 31 décembre 2017). La\njurisprudence neuchâteloise a déjà eu l'occasion d'appliquer cette disposition à deux reprises dans\nle sens proposé, puisqu'elle n'a pas exclu expressément l'application de la CPDT-JUNE, alors que\nsi tel avait dû être le cas, elle aurait dû le faire d'office.\n\nPour le surplus, les différentes modifications font l'objet de commentaires détaillés dans le tableau\ncomparatif annexé, auquel il est expressément renvoyé.\n\n\n\nEffets du projet\n\nA. Effets organisationnels\n\nA première vue, la présente révision apporte de nombreuses nouveautés. En réalité,\nsouvent de précisions ajoutées au texte légal que de contraintes supplémentaires.\n\ns'agit plus\n\nDu point de vue des particuliers, la protection de leur personnalité sera améliorée, notamment\ngrâce au renforcement du devoir d'informer lors de la collecte des données (art. 24). Ils ne\nbénéficieront toutefois pas de davantage de droits qu'actuellement et n'auront pas non plus à\nréaliser plus de démarches pour la protection de leur personnalité.\n\nS'agissant des administrations publiques, les obligations qui leur incombent restent, dans\nl'ensemble, similaires à celles qu'elles assument actuellement. A titre d'exemple, on peut citer la\nconsultation préalable du PPDT (art. 23a). En effet, les entités qui souhaitent adopter une nouvelle\ndisposition légale traitant de rechange de données consultent d'ores et déjà le PPDT à ce sujet ; il\nen ira de même lorsqu'elles entendent procéder à un traitement qui pourrait présenter un risque\npar la personnalité des administrés. En soi, la présente révision porte principalement sur une\nprécision des modalités du traitement de données, de sorte que les entités administratives devront\nsurtout veiller à l'adaptation de processus déjà en place, compte tenu des précisions apportées par\nle texte de la convention. Dès lors, elles ne devraient, en tant que responsables de traitement, pas\nvoir leur charge de travail augmenter.\n\nUne réserve est toutefois émise au sujet du nouveau devoir d'information lors de la collecte des\ndonnées (art. 24), cité plus haut, lequel pourrait momentanément causer un surplus de travail, le\ntemps qu'une pratique soit mise en place. Cependant, cela ne devrait vraisemblablement pas\nnécessiter d'augmenter les ressources en termes de personnel.\n\nQuant au PPDT, la présente révision aura indéniablement pour conséquence une augmentation\ndes sollicitations à son égard, tant s'agissant de la mise en ouvre des nouvelles dispositions que\nde leur application propre (lors de rentrée en vigueur d'une nouvelle base légale par exemple).\nToutefois, cette mise à contribution accrue ne devrait être que temporaire, le temps que des\nprocessus clairs soient mis à disposition, notamment sur le site Internet du PPDT. En outre,\ncomme précisé ci-avant, les projets présentant des risques pour la personnalité des particuliers\nétant actuellement déjà soumis au PPDT, l'élaboration des analyses d'impact ne devrait pas\nmettre à contribution plus de ressources que celles qui sont attribuées actuellement à ce dernier.\n\nPar ailleurs, les services informatiques des cantons partenaires devront mettre en place, en\ncollaboration avec le PPDT, une procédure adéquate afin de procéder aux annonces de violation\nde la sécurité des données (art. 23c). Cette charge de travail supplémentaire devrait toutefois\npouvoir être absorbée parmi les tâches actuellement effectuées par les collaborateurs concernés.\n\nEn définitive, il apparaît ainsi que le présent projet n'induira pas de changement fondamental, tant\nen termes de ressources qu'en termes d'organisation, par rapport au texte actuel de la CPDT-\nJUNE.\n\n\n\nB. Effets financiers\n\nComme indiqué ci-avant, la charge additionnelle provisoire de travail découlant de rentrée en\nvigueur des nouvelles dispositions ne devrait pas impliquer l'allocation de ressources\nsupplémentaires, de sorte que la situation ne devrait pas se modifier sur le plan financier.\n\nC. Effets sur les communes\n\nLe projet qui vous est soumis n'implique a priori pas de changements pour les communes, que ce\nsoit sous l'angle organisationnel ou sous l'angle financier.\n\nEn revanche, en tant qu'entités soumises à la CPDT-JUNE, elles devront également s'adapter au\nrenforcement du devoir d'informer les personnes concernées, ce qui pourrait temporairement les\ncontraindre à consacrer davantage de temps à ce volet de la protection des données.\n\nD. Effets sur l'économie\n\nLa présente révision n'induit pas de modifications sur le plan économique.\n\nE. Autres effets\n\nLe présent projet renforce les relations entre les cantons de Neuchâtel et du Jura dans le domaine\nde la protection des données, en confirmant l'importance du travail du PPDT et de la commission.\n\nD'un point de vue social, comme relevé ci-avant (cf. chapitre 3, lettre a, supra), les modifications\nproposées améliorent la protection des données des administrés, en renforçant leur protection et\nleurs droits vis-à-vis des entités. Cependant, au vu de la rapidité de révolution technologique, une\nrévision de la législation à intervalles réguliers sera vraisemblablement nécessaire afin que la\nprotection de la personnalité des générations futures soit assurée, même si les modifications se\nveulent aussi neutres que possible du point de vue technique, afin de ne pas être désuètes trop\nrapidement.\n\nPar ailleurs, ledit projet n'a pas de conséquence directe en matière environnementale.\n\nIV. Procédure de consultation\n\nDans la mesure où les modifications apportées au texte de la convention découlent toutes - à\ndeux exceptions près, détaillées ci-avant - d'exigences imposées par le droit européen, la marge\nde manouvre cantonale est très restreinte. En outre, le caractère desdites dispositions est très\ntechnique et ne débouche pas sur des nouveautés pratiques. Pour finir, la pression européenne\nquant à la mise en conformité des Etats parties aux actes communautaires est ressentie de\nmanière toujours plus forte.\n\nDès lors, pour toutes ces raisons, dans cette situation de relative urgence, il a été décidé de ne\npas procéder à une consultation publique du présent projet de révision.\n\n\n\nV. Divers\n\nLa Suisse fait en principe l'objet de contrôles de la part des autorités européennes tous les quatre\nans. Le dernier a eu lieu en 2018 et les cantons de Neuchâtel et du Jura ont été contrôlés en 2014.\n\nSi le rapport d'évaluation relève des recommandations qui ne sont pas suivies, les coûts d'accès\naux systèmes d'information européens, tels que le Système d'Information Schengen (SIS II)\npourraient être augmentés. A l'extrême, l'accès pourrait même être supprimé.\n\nAu surplus, pour que les entreprises suisses puissent échanger des données personnelles avec\ndes partenaires de l'UE sans formalité supplémentaire, la Suisse doit bénéficier d'une décision\nd'adéquation aux exigences européennes, renouvelée tous les cinq ans. Celle-ci aurait dû l'être en\nmai 2020. Pour l'heure, la Confédération est dans l'attente de cette décision. L'évolution des\nprojets de révision cantonaux pourrait influencer cette dernière.\n\nIl en résulte une certaine urgence à adopter la modification aujourd'hui présentée.\n\nVI. Conclusion\n\nLe Conseil d'Etat neuchâtelois et le Gouvernement jurassien se félicitent de l'excellente\ncollaboration qui a marqué les travaux d'élaboration du présent projet et vous remercient de lui\nfaire bon accueil.\n\nAnnexe : tableau comparatif avec commentaires.\n\n\n\nProjet de révision de la CPDT-JU E\nPROJET, ÉTAT AU 29 JUIN 2021\n\n\n\nConvention intercantonale relative à la protection des données et à la transparence dans les\ncantons du Jura et de euchâtel CPDT-JUNE ;RSJU 170.41 ET RSN 150.30\n\nCPDT-JUNE actuelle Propositions de modifications Commentaires\n\nChamp\nd'application\n\nPortée\n\nNomination et\nindépendance\n\nArt. 2\n\nLa présente convention s'applique:\n\nArt. 3\n\n1 La présente convention règle les\ntraitements de données concernant les\n\npersonnes physiques et morales\neffectués par les entités mentionnées à\nl'article 2 (ci-après: « les entités »).\n\nArt. 5\n\n1bis nouvel alinéa\n\nArt. 2\n\nLa présente convention s'applique aux\nentités suivantes ("ci-après: les\nentités"):\n\nArt. 3\n\n1 La présente convention règle les\ntraitements de données concernant les\npersonnes physiques et morales\neffectués par les entités, mentionnôoo à\nl'article 2 (ci-après: « les entités »).\n\nArt. 5\n\n1bis Ils doivent posséder les qualifications\nou l'expérience, en particulier dans le\ndomaine de la protection des données à\ncaractère personnel, nécessaires à\nl'exercice de leur fonction et de leurs\n\npouvoirs.\n\nLa notion « d'entité » est utilisée dans l'ensemble de\nla CPDT-JUNE.\n\nCette notion n'est actuellement définie que dans\nl'article 3 avec un renvoi à l'article 2.\n\nIl est dès lors proposé de simplifier cette définition\npar ricochet en l'introduisant exclusivement dans\nl'article 2 et non plus dans deux articles.\n\nCf. commentaire article 2.\n\nLa Directive UE 2016/680 art. 44 demande que la loi\ndes Etats membres contienne les règles relatives aux\nqualifications et les conditions d'éligibilité requises\npour être nommé au sein d'une autorité chargée de\nsurveiller la bonne application des règles de protection\ndes données (ci-après : « autorité de contrôle »).\n\nLes conditions doivent être interprétées de manière\nsuffisamment large pour qu'il soit possible de trouver\ndes candidats.\n\n\n\nPréposé\n\nCommission\n\nPréposé\n\nArt. 6\n\n1 Le préposé a son siège aux Breuleux.\n\n3 II dispose d'un secrétariat permanent\ndont les exécutifs cantonaux\ndéfinissent la dotation,\nfonctionnement et le statut.\n\nle\n\nArt. 7\n\n3 Elle a son siège à La Chaux-de-Fonds.\nDans la mesure nécessaire, elle\nbénéficie de l'appui du greffe de l'autorité\njudiciaire neuchâteloise de première\ninstance.\n\nArt. 8\n\n5 et 6 nouveaux alinéas\n\nArt. 6\n\n1 Le siège du\nconjointement\ncantonaux.\n\npréposé est\npar les\n\ndéterminé\nexécutifs\n\n3 II dispose d'un secrétariat permanent\ndont les exécutifs cantonaux définissent\nla dotation, le fonctionnement et le statut.\nIl engage son personnel.\n\nArt. 7\n\n3 Son siège est déterminé conjointement\npar les exécutifs cantonaux. Dans la\nmesure nécessaire, elle bénéficie de\nl'appui du greffe de l'autorité judiciaire de\npremière instance dont relève son siège.\n\nArt. 8\n\n5 II suit les évolutions pertinentes,\nnotamment dans le domaine des\ntechnologies de l'information et de la\ncommunication, dans la mesure où elles\nont une incidence sur la protection des\ndonnées à caractère personnel.\n\n6 II collabore avec les organes d'autres\ncantons, de la Confédération et d'États\nétrangers qui accomplissent les mêmes\ntâches que lui.\n\nal. 1 : si en raison de problème de locaux, les bureaux\ndu préposé devaient être situés dans une autre localité,\nil faudrait passer par une modification de la CPDT-\nJUNE, dont la procédure est relativement lourde. C'est\npourquoi il est proposé de déléguer la détermination du\nsiège conjointement aux deux exécutifs.\n\nal. 3: la Directive UE 2016/680 ari:. 42 impose que\nchaque pays adhérant à l'accord Schengen veille à ce\nque chaque autorité de contrôle choisisse et dispose de\nses propres agents, qui sont placés sous les ordres\nexclusifs du membre ou des membres de l'autorité de\ncontrôle concernée.\n\nCf. commentaire art. 6.\n\nal. 5 : la Directive UE 2016/680 art. 46 let. requiert\nque les autorités de contrôle suivent les évolutions\npertinentes, dans la mesure où elles ont une incidence\nsur la protection des données à caractère personnel,\nnotamment dans le domaine des technologies de\nl'information et de la communication.\n\nal. 6 : les autorités de contrôle doivent coopérer avec\nd'autres autorités de contrôle, y compris en partageant\ndes informations, et leur fournir une assistance mutuelle\ndans ce cadre en vue d'assurer une application\ncohérente de la directive DE et des mesures prises pour\nen assurer le respect (Directive UE 2106/680 art. 50\nch_L).\n\n\n\nArt. 10\n\n1bis nouvel alinéa\n\nBudgets et comptes\n\nDéfinitions\n\nArt. 14\n\nb) données sensibles, les données sur:\n\n1. les opinions ou les activités\nreligieuses, philosophiques,\npolitiques ou syndicales;\n\n2. la santé, la sphère intime, l'origine ou\nl'ethnie;\n\n3. les mesures d'aide sociale ou\nd'assistance;\n\n4. les poursuites ou sanctions pénales\net administratives;\n\n5. et 6. nouveaux chiffres\n\nArt. 10\n\n1bisÀ la demande du préposé ou de la\ncommission, leurs propositions de\nbudget sont transmises aux législatifs\ncantonaux.\n\nArt. 14\n\nb) données sensibles, les données sur:\n\n1 les données sur les opinions ou les\nactivités religieuses, philosophiques,\npolitiques ou syndicales;\n\n2. les données sur la santé, sur la\nsphère intime ou sur l'origine raciale\nou ethnique;\n\n3. les données génétiques;\n\n4. les données biométriques identifiant\nune personne physique de façon\nunique;\n\n5. les données sur des poursuites ou\nsanctions pénales et administratives;\n\nLors de l'évaluation des autorités cantonales de\n\nprotection des données en 2014 par une délégation de\nla Commission de l'UE, le ra ort a relevé que les\ncantons NE et JU devaient envisager une révision de\nl'ensemble de la procédure budgétaire concernant\nl'accès des autorités de protection des données aux\nautorités d'adoption du budget : « Le comité\nd'évaluation considère que la procédure budgétaire est\ncomplexe; le fait que le budget doive être approuvé par\ndeux exécutifs avec la possibilité d'apporter des\nmodifications ne garantit pas le respect de l'exigence\nd'indépendance. ».\n\nAu vu de ces remarques et de la réalité des procédures\nbudgétaires cantonales, il est fait une proposition\nparaissant répondre aux exigences de l'UE et\npermettant de continuer une pratique satisfaisante mise\nen place lors des six premières élaborations du budget.\n\nTant la Directive UE 2016/680 art. 3 que la Convention\nmodernisée our la rotection des ersonnes à l'é ard\ndu traitement automatisé des données à caractère\nersonnel art. 6 (ci-après : « Convention 108\n\nmodernisée ») demandent de modifier certaines\ndéfinitions :\n\nal. 1, let. b : il est nécessaire d'intégrer la définition de\n« données génétiques et biométriques » ce qui\nprovoque une reformulation complète de la lettre.\n\n\n\ne) profil de la personnalité, un\nassemblage de données qui permet\nd'apprécier les caractéristiques\nessentielles de la personnalité d'une\npersonne physique, par exemple son\nmode de comportement et ses\nhabitudes de consommation;\n\nd) fichier, tout ensemble de données\ndont la structure permet de\nrechercher les données par\npersonne concernée;\n\n6. les données sur des mesures d'aide\nsociale;\n\ne) profilage, toute forme de traitement\nautomatisé de données consistant à\n\nutiliser ces données pour évaluer\ncertains aspects personnels relatifs à\nune personne physique, notamment\npour analyser ou prédire des\néléments concernant le rendement au\ntravail, la situation économique, la\nsanté, les préférences personnelles,\nles intérêts, la fiabilité, le\ncomportement, la localisation ou les\ndéplacements de cette personne\nphysique;\n\ncbïs) profilage à risque élevé, tout\nprofilage entraînant un risque élevé\npour la personnalité ou les droits\nfondamentaux de la personne\nconcernée, parce qu'il conduit à un\nappariement de données qui permet\nd'apprécier les caractéristiques\nessentielles de la personnalité d'une\npersonne physique;\n\nd) fichier, tout ensemble structuré de\ndonnées à caractère personnel\naccessibles selon des critères\ndéterminés, que cet ensemble soit\ncentralisé, décentralisé ou réparti de\nmanière fonctionnelle ou\n\ngéographique;\nf) responsable du traitement, l'entité\n\nqui, seule ou conjointement avec\nd'autres, détermine les finalités et les\nmoyens du traitement de données ;\n\nal. 1, let. e : la notion de « profil de la personnalité » doit\nêtre remplacée par celle de « profilage » qui est plus\nlarge, afin de répondre à révolution de la technologie.\n\nal. 1, let. d : la notion de « fichier » doit également être\nadaptée à révolution technologique. Bien que cette\nnotion tende à disparaître, elle est conservée ici parce\nqu'il est proposé de conserver un registre des fichiers\nau lieu d'intégrer un registre des traitements (notion plus\nlarge imposée uniquement par le droit DE dans les\ndomaines Schengen, à savoir police et migrations). Ce\ndernier engendrerait un travail conséquent pour\nl'administration. Seuls la police et le service chargé des\nmigrations s'adapteront à cette nouvelle obligation.\nal. 1, let. f: la notion de «maître de fichier» est\nremplacée au profit de celle de « responsable du\ntraitement », car révolution de la technologie tend à\nfaire disparaître la notion de « fichier ».\n\n\n\nf)\n\ng)\n\nmaître du fichier, l'entité qui décide\ndu but et du contenu du fichier;\n\ntraitement, toute opération relative à\ndes données - quels que soient les\nmoyens et les procédés utilisés -\nnotamment la collecte, la\nconservation, l'exploitation, la\nmodification, la communication,\nl'archivage ou la destruction de\ndonnées;\n\ni) communication en ligne, procédure\nautomatisée permettant à un tiers de\ndisposer de données sans\nl'intervention de celui qui les\ncommunique;\n\nk à n) nouvelles lettres\n\ng) traitement, toute opération relative à\ndes données - quels que soient les\nmoyens et les procédés utilisés -\nnotamment la collecte, la\nconservation, l'exploitation, la\nmodification, la communication,\nl'archivage, l'effacement ou la\ndestruction de données;\n\ni) communication en ligne, procédure\nautomatisée permettant à une entité\nde disposer de données sans\nl'intervention de celle qui les\ncommuniqué;\n\nk) sous-traitant, la personne privée ou\nl'entité qui traite des données pour le\ncompte du responsable du traitement;\n\nl) destinataire, la personne physique ou\nmorale, l'autorité publique, le service,\nl'agence ou tout autre organisme qui\nreçoit communication de données ou\nà qui des données sont rendues\naccessibles;\n\nm)décision individuelle automatisée,\ntoute décision prise exclusivement\nsur la base d'un traitement de\ndonnées automatisé, y compris le\nprofilage, et qui a des effets juridiques\nsur la personne concernée ou qui\nl'affecte de manière significative;\n\nal. 1, let. g : la définition de « traitement » est adaptée\nà la nouvelle terminologie européenne et il est ajouté\n« l'effacement » dans la liste des traitements concernés.\nLa notion « d'effacement » correspond à la suppression\ndéfinitive des données numériques. La « destruction »\nse rapporte à la suppression physique des données en\nformat papier.\n\nal. 1, let. i : cette révision de la CPDT-JUNE est\nl'occasion de corriger une imprécision en remplaçant\n« tiers » par « entité ». Il n'est pas imaginable qu'une\nentité soumise à la CPDT-JUNE donne un accès en\nligne à un tiers qui n'est pas soumis à la CPDT-JUNE.\nPar conséquent, il ne peut s'agirque d'une autre entité.\n\nal. 1, let. k: la notion de « sous-traitant » doit être\ndéfinie puisqu'il est ajouté des dispositions dans la\nCPDT-JUNE améliorant la protection de la personnalité\nlorsque des sous-traitants interviennent dans les\ntraitements de données. L'évolution technologique\nconduit à une augmentation du recours aux sous-\ntraitants.\n\nal. 1, let. l : la notion de « destinataire » doit être ajoutée\npuisqu'elle figure dans le texte de la CPDT-JUNE.\n\n\n\nn) violation de la sécurité des données,\ntoute violation de la sécurité\nentraînant de manière accidentelle ou\nillicite la perte de données, leur\nmodification, leur effacement ou leur\ndestruction, leur divulgation ou un\naccès non autorisé à ces données.\n\nal. 1, let. m: la notion de «décision individuelle\nautomatisée » doit être ajoutée pour s'adapter à\nrévolution technologique. Il y a décision individuelle\nautomatisée lorsqu'une exploitation de données a lieu\nsans intervention humaine et qu'il en résulte une\ndécision ou un jugement, à l'égard de la personne\nconcernée, par exemple une taxation fiscale\nautomatique.\n\nRestrictions du\nchamp d'application\n\nArt. 15\n\nb) aux procédures juridictionnelles et\naux arbitrages pendants, à condition\nque les dispositions de procédure\napplicables assurent une protection\nau moins équivalente à celle\ndécoulant du présent chapitre;\n\nArt. 15\n\nb) au traitement de données dans le\ncadre de procédures juridictionnelles\net d'arbitrages pendants, à condition\nque les dispositions de procédure\napplicables assurent une protection\nau moins équivalente à celle\ndécoulant du présent chapitre;\n\ne) aux données que les entités traitent\ndans le cadre d'une activité soumise\n\nà la concurrence économique régie\npar le droit privé.\n\nal. 1, let. n : la notion de « violation de la sécurité des\ndonnées » doit être définie dans la mesure où de\nnouvelles dispositions relatives à la sécurité des\ndonnées y font référence.\n\nLes formulations utilisées sont principalement reprises\nde l'article 5 LPD afin de faciliter les futures\ninterprétations par les autorités d'application.\n\nlet. b : cette révision de la CPDT-JUNE est l'occasion\nde corriger une imprécision. La CPDT-JUNE régit les\ntraitements de données intervenant dans le cadre de\nprocédures plutôt que les procédures elles-mêmes.\n\nlet. e : une autre imprécision a été constatée. La\ncondition figurant dans le dernier paragraphe est\nsupprimée parce qu'elle élargit trop le champ\nd'application de la CPDT-JUNE. Par exemple, en l'état\ncela signifie que la BCN serait soumise à la CPDT-\nJUNE et aux contrôles du préposé cantonal pour une\ncommunication de données personnelles de clients à\ndes tiers (office des poursuites, auditeurs, sous-\ntraitants) et serait soumise à la LPD et aux contrôles du\npréposé fédéral pour les modalités de stockage des\ndonnées clients.\n\n\n\nLégalité\n\ne) aux entités lorsque celles-ci traitent\ndes données à caractère personnel\nen situation de concurrence\n\néconomique, pour autant que les\ndonnées à caractère personnel dont\nelles se servent soient destinées à un\n\nusage exclusivement interne et à une\nconcurrence loyale.\n\nArt. 16\n\nDes données peuvent être traitées si\nune base légale le prévoit, si le\ntraitement sert à l'accomplissement\nd'une tâche légale ou si la personne\nconcernée y a consenti.\n\n2 nouvel alinéa\n\nArt. 16\n\n1 Des données peuvent être traitées si\nune base légale le prévoit ou si leur\ntraitement est nécessaire à\n\nl'accomplissement d'une tâche légale.\n\n2 Les données sensibles et les profilages\nà risques élevés ne peuvent être traités\nque si une base légale formelle l'autorise\nexpressément. Une base légale\nmatérielle suffit si les conditions\nsuivantes sont remplies:\n\na) le traitement est indispensable à\nl'accomplissement d'une tâche\nclairement spécifiée dans une loi au\nsens formel;\n\nb) le traitement n'est pas susceptible\nd'entraîner des risques particuliers\npour la personnalité et les droits\nfondamentaux des personnes\nconcernées.\n\nal. 1 : il est supprimé la possibilité de justifier un\ntraitement de données uniquement par le consentement\nde la personne concernée. Une récolte de données doit\nêtre prévue dans une base légale, comme toutes les\nactivités de l'État, conformément à l'article 5 de la\nConstitution fédérale RS 101 . En revanche, une\ncommunication reste possible avec le consentement\nselon l'article 25 CPDT-JUNE.\n\nal. 2 : cet alinéa n'est qu'un ancrage formel de la\npratique actuelle, puisque la jurisprudence impose de\nlongue date qu'un traitement de données sensibles soit\nprévu par une base légale. De plus, tant la Directive DE\n2016/680 art. 10 que la Convention 108 modernisée\nfart. 6) demandent aussi d'ajouter expressément cette\nexigence.\n\n\n\nArt. 17\n\n2 nouvel alinéa\n\nProportionnalité\n\nBonne foi et finalité\n\nArt. 18\n\n2 Les données ne doivent être traitées\nque dans le but qui est indiqué lors de\nleur collecte, qui est prévu par une base\nlégale ou qui ressort des circonstances.\n\nExactitude\n\nArt. 19\n\n1 Les données traitées\nexactes, conformes à\ncomplètes.\n\ndoivent être\nla réalité et\n\nArt. 17\n\n2 Les données doivent être conservées\nsous une forme permettant\nl'identification des personnes\nconcernées pendant une durée\nn'excédant pas celle nécessaire au\nregard des finalités pour lesquelles elles\nsont traitées.\n\nArt. 18\n\n2 Les données ne peuvent être collectées\nque pour des finalités déterminées et\nreconnaissables pour la personne\nconcernée et doivent être traitées\n\nultérieurement de manière compatible\navec ces finalités.\n\nArt. 19\n\n1 Celui qui traite des données doit\ns'assurer que les données sont exactes\net complètes.\n\nTant la Directive UE 2016/680 art. 4 ar 1 let. e que\nla Convention 108 modernisée art. 5 ar. 4 let. e\ndemandent que soit mentionnée expressément la durée\nde conservation des données. Cette exigence figure\ndéjà dans le principe général de l'alinéa 1 de cette\ndisposition. Toutefois, compte tenu des évolutions\ntechnologiques et des capacités presque illimitées de\nstockage, les autorités européennes estiment important\nde la mentionner expressément. Le respect de ce\nprincipe implique que le responsable du traitement fixe\ndes délais de conservation. Des dispositions spéciales\nprévoyant des délais de conservation particuliers sont\nréservées.\n\nLa formulation proposée est reprise des articles précités\nde la Directive UE 2016/680 et de la Convention 108\nmodernisée, car elle est plus appropriée pour le droit\npublic.\n\nTant la Directive DE 2016/680 art. 4, que la\nConvention 108 modernisée art. 5 demandent une\nformulation plus complète du principe de la finalité.\n\nLa formulation proposée est reprise de l'article 6,\nalinéa 3, LPD afin de faciliter les futures interprétations\npar les autorités d'application.\n\nTant la Directive UE 2016/680 art. 4 et la Convention\n108 modernisée art. 5 demandent une formulation plus\ncomplète du principe de l'exactitude.\n\nLa formulation proposée est reprise de l'article 6,\nalinéa 5, LPD afin de faciliter les futures interprétations\npar les autorités d'application.\n\n\n\nSécurité des\ndonnées et de\n\nl'information\n\nRépertoire\n\n2 Elles doivent être régulièrement mises\nà jour\n\nArt. 20\n\n2 II prend toute mesure appropriée\npermettant de rectifier, d'effacer ou de\ndétruire les données inexactes ou\n\nincomplètes au regard des finalités pour\nlesquelles elles sont collectées ou\ntraitées. Le caractère approprié de la\nmesure dépend notamment du type de\ntraitement et de son étendue, ainsi que\ndu risque que le traitement des données\nen question présente pour la\npersonnalité ou les droits fondamentaux\ndes personnes concernées.\n\nArt. 20\n\n1 Les entités doivent s'assurer que les 1 Les entités doivent assurer, par des\ndonnées sont protégées contre un mesures organisationnelles et\nemploi abusif en prenant des mesures techniques appropriées, une sécurité\norganisationnelles\nappropriées.\n\net techniques adéquate des données par rapport au\nrisque encouru. Les mesures doivent\n\nCette disposition est reformulée pour répondre aux\ndemandes de la Directive UE 2016/680 art. 4 et de la\nConvention 108 modernisée art. 5 La notion de\n« risque encouru » est introduite pour déterminer les\nmesures nécessaires.\n\nLa formulation proposée est reprise de l'article 8 LPD\npermettre d'éviter toute violation de la afin de faciliter les futures interprétations par les\nsécurité des données. autorités d'application.\n\nSECTION 3: répertoire et registre SECTION 3: répertoire et registre Adaptation du titre de la section suite à la restructuration\npublic des fichiers, collecte de public des fichiers, collocto do partielle de sections.\ndonnées données\n\nArt. 21\n\nLes maîtres de fichiers tiennent\nrépertoire de leurs fichiers.\n\nArt. 21\n\nun Les responsables du traitement de\ndonnées tiennent un répertoire de leurs\nfichiers.\n\nAdaptation à la nouvelle terminologie (voir commentaire\nde l'article 14, al. 1, let. f).\n\n\n\nRegistre public\n\nArt. 22\n\n1 Le préposé tient un registre public\ninventoriant les fichiers contenant des\n\ndonnées sensibles ou des profils de la\npersonnalité.\n\n2 Ces fichiers lui sont annoncés par les\nmaîtres de fichiers avant d'être\n\nopérationnels.\n\nSECTION 4: collecte de données\n\nArt. 23a nouveau\n\nConsultation\npréalable\n\nArt. 22\n\n1 Le préposé tient un registre public\ninventoriant les fichiers de données\nsensibles et de profilage à risques\nélevés.\n\n2 Ces fichiers lui sont annoncés par les\nresponsables du traitement avant d'être\nopérationnels.\n\nSECTION 4: obligations en matière\nde traitement de données\n\nAdaptation à la nouvelle terminologie (voir commentaire\nde l'article 14, al. 1, let. cetf).\n\nArt. 23a\n\n1 L'entité responsable\npréavis au préposé:\n\nsoumet pour\n\nà laa) tout projet législatif touchant\nprotection des données;\n\nb) tout projet lorsque l'analyse d'impact\nrelative à la protection des données\nrévèle que, malgré les mesures\nprévues par le responsable du\ntraitement, le traitement envisagé\nprésente encore un risque élevé pour\nla personnalité ou les droits\nfondamentaux de la personne\nconcernée;\n\ne) tout projet de sous-traitance à\nl'étranger.\n\n2 Le préposé peut établir une liste des\nopérations de traitement présentant des\nrisques élevés au sens de l'alinéa 1,\nlettre b.\n\nAdaptation du titre de la section suite à la restructuration\npartielle de sections.\n\nLa Directive UE 2016/680 art. 28 demande que le\npréposé soit préalablement consulté pour tout projet\nlégislatif (comme c'est déjà le cas maintenant), mais\négalement pour tout projet de traitement de données\npersonnelles présentant un risque élevé d'atteinte à la\npersonnalité.\n\nVu les risques pour la protection des données en cas de\nsous-traitance à l'étranger, il est proposé d'introduire\nune nouvelle condition préalable, à savoir la\nconsultation du préposé. Celui-ci pourra recourir à\nl'instrument de la recommandation pour empêcher un\ntraitement contraire au droit à l'étranger (cf. pour le\nsurplus le commentaire de l'article 54).\n\nL'alinéa 2 est ajouté pour permettre au préposé de\nsoutenir les entités dans leurs démarches.\n\nLa formulation proposée pour l'alinéa 1, lettre b, et\nl'alinéa 3 est reprise de l'article 23 LPD afin de faciliter\nles futures interprétations par les autorités d'application.\n\n10\n\n\n\nArt. 23b nouveau\n\nAnalyse d'impact\n\n3 Si le préposé a des objections\nconcernant le traitement envisagé, il\npropose au responsable du traitement\ndes mesures appropriées.\n\nArt. 23b\n\n1 Lorsque le traitement envisagé est\nsusceptible d'entraîner un risque élevé\npour la personnalité ou les droits\nfondamentaux de la personne\nconcernée, le responsable du traitement\nprocède au préalable à une analyse\nd'impact relative à la protection des\ndonnées. S'il envisage d'effectuer\nplusieurs opérations de traitement\nsemblables, il peut établir une analyse\nd'impact commune.\n\n2L'existence d'un risque élevé dépend\nde la nature, de retendue, des\ncirconstances et de la finalité du\n\ntraitement. Un tel risque existe\nnotamment dans les cas suivants:\n\na) le traitement de données sensibles à\ngrande échelle;\n\nb) le profilage;\ne) la surveillance systématique de\n\ngrandes parties du domaine public.\n\nLe respect du principe de la proportionnalité présent\ndans la CPDT-JUNE exige déjà qu'un nouveau\ntraitement de données fasse l'objet d'une analyse des\nconséquences sur la personnalité des personnes\nconcernées.\n\nTant la Directive UE 2016/680 art. 27 que la\nConvention 108 modernisée art. 8bis demandent\ndésormais que cette analyse soit formalisée dans un\nrapport. En principe, le contenu aura déjà fait l'objet de\ndocuments lors de l'élaboration du projet. Il s'agira\nsimplement de les mettre en forme dans un document\nparticulier.\n\nSeuls les traitements présentant un risque élevé au\nsens de l'alinéa 2 seront soumis à cette formalisation.\n\nDes modèles et un guide seront mis à disposition des\nentités sur le site du préposé.\n\nLa formulation proposée pour les alinéas 1 à 3 est\nreprise de l'article 22 LPD afin de faciliter les futures\ninterprétations par les autorités d'application.\n\n11\n\n\n\nArt. 23c nouveau\n\nObligation\nd'annonce\n\n3L'analyse d'impact contient une\ndescription du traitement envisagé, une\névaluation des risques pour la\npersonnalité ou les droits fondamentaux\nde la personne concernée, ainsi que les\nmesures prévues pour protéger la\npersonnalité et les droits fondamentaux\nde la personne concernée.\n\n4 Le préposé se prononce sur l'analyse\nd'impact et les mesures de sécurité\nenvisagées.\n\n5 Le responsable du traitement est délié\nde son obligation d'établir une analyse\nd'impact si une base légale prévoit le\ntraitement et que son adoption a été\nprécédée d'une analyse répondant aux\nexigences des alinéas 1 à 4.\n\nArt. 23c\n\n1 Le responsable du traitement annonce\ndans les meilleurs délais au préposé les\ncas de violation de la sécurité des\ndonnées entraînant vraisemblablement\nun risque élevé pour la personnalité ou\nles droits fondamentaux de la personne\nconcernée.\n\n2L'annonce doit au moins indiquer la\nnature de la violation de la sécurité des\ndonnées, ses conséquences et les\nmesures prises ou envisagées pour\nremédier à la situation.\n\nL'une des clefs de voûte de la réforme du droit européen\nest de remettre les personnes concernées « au centre »\ndes traitements. C'est pourquoi tant la Directive UE\n2016/680 art. 30 et 31 que la Convention 108\nmodernisée art. 7 ch. 2 demandent que celles-ci\nsoient expressément informées lorsqu'un des cas\nénumérés dans cette nouvelle disposition se réalise.\n\n12\n\n\n\n3 Le sous-traitant annonce dans les\nmeilleurs délais au responsable du\ntraitement tout cas de violation de la\nsécurité des données.\n\n4 Le responsable du traitement informe\npar ailleurs la personne concernée\nlorsque cela est nécessaire à sa\nprotection ou lorsque le préposé l'exige.\n\n5 II peut restreindre l'information de la\npersonne concernée, la différer ou y\nrenoncer, dans les cas suivants:\n\na) un intérêt privé ou public\nprépondérant d'un tiers s'y oppose;\n\nb) un devoir légal de garder le secret\nl'interdit;\n\ne) le devoir d'informer est impossible à\nrespecter ou nécessite des efforts\ndisproportionnés;\n\nd) l'information de la personne\nconcernée peut être garantie de\nmanière équivalente par une\ncommunication publique;\n\ne) la communication des informations\nest susceptible de compromettre une\nenquête, une instruction ou une\nprocédure judiciaire ou\nadministrative.\n\n6 Une annonce fondée sur le présent\narticle ne peut être utilisée dans le cadre\nd'une procédure pénale contre la\npersonne tenue d'annoncer qu'avec son\nconsentement.\n\nL'obligation d'annoncer les violations de la sécurité des\ndonnées personnelles peut entrer en conflit avec le droit\nde ne pas contribuer à sa propre incrimination. C'est\npourquoi l'alinéa 6 prévoit qu'une annonce effectuée en\napplication de l'article 23c ne pourra être utilisée dans\nune procédure pénale engagée contre la personne\nsoumise à l'obligation d'annoncer qu'avec le\nconsentement de celle-ci. La règle vaut aussi bien pour\nle responsable du traitement que pour le sous-traitant\nqui annonce une violation de la sécurité des données\npersonnelles.\n\nLa formulation proposée (excepté al. 5, let. a et e) est\nreprise de l'article 24 LPD afin de faciliter les futures\ninterprétations par les autorités d'application.\n\n13\n\n\n\nDevoir d'informer\n\nArt. 24\n\n1 La collecte de données et les finalités\ndu traitement doivent être\nreconnaissables pour la personne\nconcernée.\n\n2 Lorsque la collecte porte sur des\ndonnées sensibles ou des profils de la\npersonnalité et qu'elle requiert le\nconsentement de la personne\nconcernée, celui-ci doit être exprès, libre\net éclairé.\n\n3 Si la personne interrogée a l'obligation\nlégale de fournir un renseignement, les\nentités qui collectent les données attirent\nson attention sur les conséquences\nqu'entraînerait un refus de répondre ou\nune réponse inexacte.\n\nArt. 24\n\n1 Le responsable du traitement informe la\npersonne concernée de manière\nadéquate de la collecte de données, que\ncelle-ci soit effectuée auprès d'elle ou\nnon.\n\n2 Lors de la collecte, il communique à la\npersonne concernée les informations\nnécessaires pour qu'elle puisse faire\nvaloir ses droits selon la présente loi et,\npour que la transparence des traitements\nsoit garantie; il lui communique au\nmoins:\n\na) l'identité et les coordonnées du\nresponsable du traitement;\n\nb) la finalité du traitement;\ne) le cas échéant les destinataires ou\n\nles catégories de destinataires\nauxquels des données sont\ntransmises.\n\n3 Si les données ne sont pas collectées\nauprès de la personne concernée, il lui\ncommunique en outre les catégories de\ndonnées traitées.\n\nLa version actuelle de otte disposition avait déjà fait\nl'objet d'une remarque du Département fédéral de\njustice et police. Le contenu n'étant pas suffisant au\nregard des articles 18a et 18b aLPD, les traitements de\ndonnées de la Confédération devaient déjà respecter\nces exigences.\n\nTant la Directive UE 2016/680 art. 13 que la\nConvention 108 modernisée art. 8 demandent\ndorénavant aussi l'adoption de telles règles plus\ncomplètes que l'article 24 CPDT-JUNE actuel.\n\nLe renvoi prévu à l'alinéa 4 fait référence aux articles 16,\nalinéa 2, et 17 LPD. En matière de communication à\nl'étranger, l'article 27 CPDT-JUNE renvoie également\nexpressément au droit fédéral.\n\nLa formulation proposée est reprise de l'article 19 LPD\nafin de faciliter les futures interprétations par les\nautorités d'application.\n\n14\n\n\n\n4 et 5 nouveaux alinéas\n\nArt. 24a nouveau\n\nExceptions au\ndevoir d'informer\n\n4 Lorsque des données sont\ncommuniquées à l'étranger, il lui\ncommunique également le nom de l'Etat\nou de l'organisme international en\nquestion et, le cas échéant, les garanties\net les exceptions prévues par la\nlégislation fédérale sur la protection des\ndonnées.\n\n5 Si les données ne sont pas collectées\nauprès de la personne concernée, il lui\ncommunique les informations\nmentionnées aux alinéas 2 à 4 au plus\ntard un mois après qu'il a obtenu les\ndonnées. S'il communique les données\navant l'échéance de ce délai, il en\ninforme la personne concernée au plus\ntard lors de la communication.\n\nArt. 24a\n\n1 Le responsable du traitement est délié\ndu devoir d'information au sens de\nl'article 24 si l'une des conditions\nsuivantes est remplie:\n\na) la personne concernée dispose déjà\ndes informations correspondantes;\n\nb) le traitement des données est prévu\npar la loi;\n\ne) le responsable du traitement est une\npersonne privée et il est lié par une\nobligation légale de garder le secret.\n\nVoir commentaire précédent.\n\nLa formulation proposée est reprise de l'article 20 LPD\n(excepté al. 2, let. a) afin de faciliter les futures\ninterprétations par les autorités d'application.\n\n15\n\n\n\nArt. 24b nouveau\n\nTraitement conjoint\n\n2 Lorsque les données ne sont pas\ncollectées auprès de la personne\nconcernée, le devoir d'information ne\ns'applique pas non plus dans les cas\nsuivants:\n\na) l'information est impossible à donner,\nou\n\nb) la communication de l'information\nnécessite des efforts\ndisproportionnés.\n\n3 Le responsable du traitement peut\nrestreindre ou différer la communication\ndes informations, ou y renoncer si l'une\ndes conditions suivantes est remplie:\n\na) des intérêts privés d'un tiers ou\npublics prépondérants l'exigent;\n\nb) l'information empêche le traitement\nd'atteindre son but;\n\ne) la communication des informations\nest susceptible de compromettre une\nenquête, une instruction ou une\nprocédure judiciaire ou\nadministrative.\n\nArt. 24b\n\n1 En cas de traitement conjoint, les\nentités concernées s'accordent sur la\nrépartition des responsabilités et des\nobligations découlant de la présente\nconvention.\n\nTant la Directive UE 2016/680 art. 19 et 21 que la\nConvention 108 modernisée art. 8bis ch. 1 insistent sur\nla nécessité d'attribuer clairement la responsabilité du\ntraitement des données. Ceci en particulier lorsque les\ndonnées sont traitées conjointement par plusieurs\nentités ; les responsabilités doivent être dans ce cas\nréglées de manière transparente (un point de contact\nunique, p. ex., pour les personnes concernées).\n\n16\n\n\n\nArchivage et\ndestruction\n\nConditions\n\nArt. 52\n\n2 L'accord passé conformément à l'alinéa\n1 n'est pas opposable à la personne\nconcernée, qui peut faire valoir les droits\ndécoulant de la présente convention\nauprès d'une des entités concernées.\n\nArt. 24c\n\nLes données dont le maître du fichier n'a Les données dont le responsable du\nplus besoin et qui ne doivent pas être traitement n'a plus besoin et qui ne\nconservées à titre de preuve ou par doivent pas être conservées à titre de\nmesure de sûreté sont traitées\nconformément à la législation cantonale\nconcernée relative aux archives.\n\nArt. 25\n\npreuve ou par mesure de sûreté sont\ntraitées conformément à la législation\ncantonale concernée relative aux\narchives.\n\nArt. 25\n\n1 Les entités ne sont en droit de 1 Les entités ne sont er\ncommuniquer des données, d'office ou communiquer des données,\nsur requête, que si: sur requête, que si:\n\nen droit de\nd'office ou\n\na) il existe une base légale ou si\nl'accomplissement par le\ndestinataire d'une tâche légale\nclairement définie l'exige;\n\na) une base légale l'autorise ou si la\ncommunication est nécessaire à\n\nl'accomplissement d'une tâche\nlégale; en présence de données\nsensibles ou de profilages,\nl'autorisation ou la tâche doit\nreposer sur une loi au sens formel;\n\nbbis) la personne concernée n'est pas en\nmesure de donner son\nconsentement, la communication\ndes données est dans son intérêt et\nson consentement peut être\nprésumé conformément aux règles\nde la bonne foi;\n\nLe projet ayant une nouvelle section regroupant les\ndiverses obligations à respecter par les responsables du\ntraitement, il est apparu judicieux d'y placer celle de\nl'archivage en l'adaptant à la nouvelle terminologie (voir\ncommentaire de l'article 14, al. 1, let. f).\n\nal. 1, let. a : la nouvelle formulation n'est qu'un ancrage\nformel de la jurisprudence. Cette dernière impose de\nlongue date qu'un traitement de données sensibles soit\nprévu par une base légale formelle. De plus, tant la\nDirective UE 2016/680 art. 10 que la Convention 108\nmodernisée art. 6 demandent aussi d'ajouter\nexpressément cette exigence.\n\nal. 1, let. bbis : cette modification a pour but d'éviter que\nles communications de données personnelles non\nsensibles entre les entités soumises à la CPDT-JUNE\nsoient soumises à des exigences excessivement\nformelles.\n\nSans cette disposition, une école, désirant adresser à\nl'entreprise organisant les transports scolaires la liste\ndes élèves, devrait préalablement obtenir une base\nlégale.\n\n17\n\n\n\n2 Les entités sont en droit de\ncommuniquer sur demande le nom, le\nprénom, l'adresse et la date de\nnaissance d'une personne même si les\nconditions de l'alinéa 1 ne sont pas\nremplies.\n\n3 En outre, sur demande, d'autres\ndonnées, telles l'état civil, l'origine, la\nprofession, le sexe et la nationalité, la\nprovenance et la destination d'une\npersonne peuvent être communiquées\nlorsque le destinataire justifie d'un intérêt\ndigne de protection à la communication\nprimant celui de la personne concernée\nà ce que ces données ne soient pas\ncommuniquées.\n\n2 Les entités sont en droit de\ncommuniquer sur demande le nom, le\nprénom, l'adresse, la date de naissance,\nl'état civil, la profession, le sexe et la\nnationalité, la provenance et la\ndestination d'une personne même si les\nconditions de l'alinéa 1 ne sont pas\nremplies, mais pour autant que cela soit\ndans l'intérêt de la personne concernée\nou que le destinataire justifie d'un intérêt\ndigne de protection.\n\n3 abrogé\n\nal. 2 : cette révision de la CPDT-JUNE est l'occasion de\ncorriger une disposition qui cause beaucoup de\nproblèmes en pratique. Actuellement, il est prévu que\ntoutes les entités soumises à la CPDT-JUNE peuvent\ncommuniquer le nom, le prénom, l'adresse et la date de\nnaissance d'une personne sans justifier d'un intérêt.\nC'est pourquoi une personne qui a de bonnes raisons\nde faire bloquer l'accès à son adresse à des tiers,\nnotamment pour des raisons de sécurité (comme les\npoliciers, les douaniers, les procureurs, etc. ), doit\neffectuer la démarche auprès de toutes les entités\nconnaissant son adresse (contrôle des habitants,\nservice des automobiles, écoles, caisse cantonale de\ncompensation, etc. ). Ainsi, si la personne concernée\noublie une entité, le risque est grand que son adresse\nsoit tout de même communiquée sur demande.\n\nEn exigeant que la communication soit dans l'intérêt de\nla personne concernée ou qu'elle soit justifiée par un\nintérêt digne de protection, cela diminuera fortement, à\nl'avenir, le risque d'une communication de données\nbloquées. Ce d'autant plus que l'article 30 CPDT-JUNE\nprévoit que si une communication de données peut\nporter atteinte à un intérêt prépondérant privé, les\npersonnes concernées peuvent exercer leur droit d'être\nentendu. En pratique, cela signifie que si l'entité\nsollicitée n'arrive pas à déterminer si la communication\npeut se faire, elle doit demander à la personne\nconcernée si elle l'accepte.\n\nal. 3 : cette disposition disparaît dans la mesure où les\ndonnées concernant l'état civil, l'origine, la profession,\nle sexe et la nationalité, la provenance et la destination\nsont intégrées dans le nouvel alinéa 2.\n\n18\n\n\n\nCommunication en\nligne\n\nCommunication de\nlistes\n\nDroit d'accès\n1. Principe\n\nArt. 28\n\nSi une entité en a régulièrement besoin\npour l'accomplissement des tâches\nlégales qui lui incombent, l'exécutif\ncantonal concerné peut rendre\naccessibles en ligne les données\nnécessaires, après consultation du\npréposé.\n\nArt. 29\n\n3 La remise à des particuliers de listes de\ndonnées sensibles ou de profils de la\npersonnalité, de même que leur\ncommercialisation, sont interdites, à\nmoins qu'une base légale ne les justifie.\n\nArt. 31\n\n1 Toute personne peut demander au\nmaître d'un fichier si des données la\nconcernant sont traitées.\n\n2 Elle peut demander au maître du fichier\nqu'il lui communique:\n\na) toutes les données la concernant qui\nsont contenues dans le fichier, y\ncompris les informations disponibles\nsur l'origine des données;\n\nb) le but du traitement, sa base légale,\nles catégories de données traitées,\nde participants au fichier et de\ndestinataires des données.\n\nArt. 28\n\nSi une entité en a régulièrement besoin\npour l'accomplissement des tâches\nlégales qui lui incombent, l'exécutif\nconcerné peut lui rendre accessibles en\nligne les données nécessaires, après\nconsultation du préposé.\n\nArt. 29\n\n3 La remise à des particuliers de listes de\ndonnées sensibles ou de profilages à\nrisques élevés, de même que leur\ncommercialisation, sont interdites, à\nmoins qu'une base légale ne les justifie.\n\nArt. 31\n\n1 Toute personne\nresponsable du\n\npeut demander au\ntraitement si des\n\ndonnées la concernant sont traitées.\n\n2 La personne concernée reçoit les\ninformations nécessaires pour qu'elle\npuisse faire valoir ses droits selon la\nprésente convention et pour que la\ntransparence du traitement soit garantie.\nDans tous les cas, elle reçoit les\ninformations suivantes:\n\na) l'identité et les coordonnées du\nresponsable du traitement;\n\nb) les données traitées en tant que\ntelles;\n\ne) la finalité du traitement;\n\nCette révision de la CPDT-JUNE est l'occasion de\ncorriger une erreur de « plume ». L'adjectif « cantonal »\nest supprimé. En effet, il n'est pas envisageable qu'une\ncommunication en ligne entre services communaux\ndoive obtenir l'aval de l'exécutif cantonal.\n\nVoir commentaire de l'article 14, alinéa 1, lettres e et f.\n\nal. 1 et 3 : voir commentaire de l'article 14, alinéa 1,\nlettres f et k.\n\nal. 2 : le moteur de la révision du droit européen étant la\ntransparence des traitements de données personnelles\n(Directive UE 2016/680 art. 14ss et Convention 108\nmodernisée art. 8ss ), le droit d'accès à ses propres\ndonnées est renforcé en demandant aux responsables\ndu traitement de communiquer davantage\nd'informations aux personnes concernées.\n\nLa formulation proposée est reprise de l'article 25 LPD\nafin de faciliter les futures interprétations par les\nautorités d'application.\n\n19\n\n\n\n2. Modalités\n\n3 Le maître du fichier qui fait traiter des\ndonnées par un tiers demeure tenu de\nfournir les renseignements demandés.\n\nArt. 32\n\n2 Le maître du fichier peut aussi\ncommuniquer oralement les données si\nle requérant s'en satisfait.\n\nd) la durée de conservation des\ndonnées ou, si cela n'est pas\npossible, les critères pour fixer cette\ndernière;\n\ne) les informations disponibles sur\nl'origine des données, dans la\nmesure où ces données n'ont pas\nété collectées auprès de la personne\nconcernée;\n\nf) le cas échéant, l'existence d'une\ndécision individuelle automatisée\nainsi que la logique sur laquelle se\nbase la décision;\n\ng) le cas échéant, les destinataires ou\nles catégories de destinataires\nauxquels des données ont été\ncommuniquées, ainsi que les\ninformations prévues à l'article 24,\nalinéa 4.\n\n3 Le responsable du traitement qui fait\ntraiter des données par un sous-traitant\ndemeure tenu de fournir\nrenseignements demandés.\n\nArt. 32\n\nles\n\n2 Le responsable du\naussi communiquer\n\ntraitement peut\noralement les\n\ndonnées si la personne concernée s'en\nsatisfait.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, têt. e et f).\n\n20\n\n\n\n3. Restrictions\n\nAutres droits\n1. Défense en cas\n\nde traitement illicite\n\n2. Rectification\n\nArt. 33\n\n2 Lorsque les renseignements ne\npeuvent être communiqués directement\nà la personne concernée parce qu'elle\nen serait par trop affectée ou parce que\ndes explications complémentaires sont\nnécessaires, le maître du fichier les\ntransmet à un tiers mandaté à cet effet\n\nqui jouit de la confiance du requérant.\n\nArt. 34\n\nQuiconque a un intérêt légitime peut\nrequérir du maître du fichier qu'il:\n\nArt. 35\n\n1 Quiconque a un intérêt légitime peut\ndemander au maître du fichier que les\ndonnées soient:\n\nb) détruites, si elles sont inutiles,\npérimées ou contraires au droit.\n\n2 Si l'exactitude ou l'inexactitude d'une\ndonnée ne peut être prouvée, le maître\ndu fichier ajoute à la donnée la mention\nde son caractère litigieux.\n\nArt. 33\n\n2 Lorsque les renseignements ne\npeuvent être communiqués directement\nà la personne concernée parce qu'elle\nen serait par trop affectée ou parce que\ndes explications complémentaires sont\nnécessaires, le responsable du\ntraitement les transmet à un tiers\nmandaté à cet effet qui jouit de la\nconfiance de celle-ci.\n\nArt. 34\n\nQuiconque a un intérêt légitime peut\nrequérir du responsable du traitement\nqu'il:\n\nArt. 35\n\n1 Quiconque a un intérêt légitime peut\ndemander au responsable du traitement\nque les données soient dans les\nmeilleurs délais"\n\nb) détruites ou effacées, si elles sont\ninutiles, périmées ou contraires au droit.\n\n2 Si l'exactitude ou l'inexactitude d'une\ndonnée ne peut être prouvée, le\nresponsable du traitement ajoute à la\ndonnée la mention de son caractère\nlitigieux.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\nLe moteur de la révision du droit européen étant la\ntransparence des traitements de données personnelles\n(Directive UE 2016/680 art. 14ss et Convention 108\nmodernisée art. 8ss , le droit d'accès à ses propres\ndonnées est renforcé, de même que le droit à la\nrectification lorsqu'il est constaté des erreurs en\nconsultant les informations. Celui-ci est désormais plus\ndétaillé à l'alinéa 3.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. g et f).\n\n21\n\n\n\n3 nouvel alinéa\n\nOpposition à la\ncommunication\n\nArt. 36\n\n1 La personne concernée qui a un intérêt\nlégitime peut s'opposer à ce que le\nmaître du fichier communique des\ndonnées déterminées.\n\n2 L'opposition peut être écartée si:\n\n3 La personne concernée peut demander\nque la rectification, l'effacement, la\ndestruction des données, l'interdiction du\ntraitement, l'interdiction de la\ncommunication à des tiers ou la mention\ndu caractère litigieux soient\ncommuniqués à des tiers.\n\n4 Au lieu d'effacer ou de détruire les\ndonnées, le responsable du traitement\nlimite le traitement dans les cas suivants:\n\na) l'exactitude des données est\ncontestée par la personne\nconcernée et leur exactitude ou\ninexactitude ne peut pas être établie;\n\nb) des intérêts prépondérants d'un tiers\nl'exigent;\n\ne) un intérêt public prépondérant\nl'exige;\n\nd) l'effacement ou la destruction des\ndonnées est susceptible de\ncompromettre une enquête, une\ninstruction ou une procédure\nadministrative ou judiciaire.\n\nArt. 36\n\n1 La personne concernée qui a un intérêt\nlégitime peut s'opposer à ce que le\nresponsable du traitement communique\ndes données déterminées.\n\n2 L'opposition peut être écartée si:\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\n22\n\n\n\nRejet d'une requête\n\na) le maître du fichier est juridiquement\ntenu de communiquer les données,\nOU SI;\n\nb) un intérêt public prépondérant exige\nla communication, notamment\nlorsque le défaut de communication\nrisque de compromettre\nl'accomplissement des tâches du\nmaître du fichier.\n\n3 Sous réserve des cas graves et\nurgents, le maître du fichier sursoit à la\ncommunication de données jusqu'à droit\nconnu quant à l'opposition.\n\nArt. 37\n\nLorsque le maître du fichier entend ne\npas donner suite à une requête fondée\nsur les articles 31 à 36, il en informe par\nécrit la personne conornée avec de\nbrefs motifs et lui indique la possibilité de\nsaisir le préposé pour conciliation.\n\nArt. 38\n\nDemande 3|_gs demandes\nmaître du fichier\n\nsont adressées au\n\na) le responsable du traitement est\njuridiquement tenu de communiquer\nles données, ou si\n\nb) un intérêt public prépondérant exige\nla communication, notamment\nlorsque le défaut de communication\nrisque de compromettre\nl'accomplissement des tâches du\nresponsable du traitement.\n\n3 Sous réserve des cas graves et\nurgents, le responsable du traitement\nsursoit à la communication de données\njusqu'à droit connu quant à l'opposition.\n\nArt. 37\n\nLorsque le responsable du traitement\nentend ne pas donner suite à une\nrequête fondée sur les articles 31 à 36, il\nen informe par écrit la personne\nconcernée avec de brefs motifs et lui\nindique la possibilité de saisir le préposé\npour conciliation.\n\nArt. 38\n\n3 Les demandes sont adressées\nresponsable du traitement.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\nau\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\n23\n\n\n\nArt. 40\n\nOuverture de la\nprocédure de\n\nconciliation\n\nSaisine de la\ncommission\n\nRecours\n\n1 En cas de divergence quant\nl'application du présent chapitre,\n\na\n\nle\nmaître du fichier, une entité ou une\npersonne concernée peut demander au\npréposé de tenir une séance de\nconciliation.\n\nArt. 41\n\n4 nouvel alinéa\n\nArt. 42\n\n1 Si la conciliation échoue ou si la\nconvention au sens de l'article 41, alinéa\n3, n'est pas exécutée, le maître du\nfichier, l'entité ou la personne\nconcernée, ainsi que le préposé peuvent\ntransmettre la cause pour décision à la\ncommission.\n\nArt. 43\n\n3 Le maître du fichier, l'entité ou\npersonne concernée, ainsi que\npréposé ont qualité pour recourir.\n\nla\nle\n\nArt. 40\n\n1 En cas de divergence quant\nl'application du présent chapitre,\n\nà\n\nle\nresponsable du traitement, une entité ou\nune personne concernée peut demander\nau préposé de tenir une séance de\nconciliation.\n\nArt. 41\n\n4 Les propos tenus durant la séance sont\nconfidentiels.\n\nArt. 42\n\n1 Si la conciliation échoue ou si la\nconvention au sens de l'article 41, alinéa\n3, n'est pas exécutée, le responsable du\ntraitement, l'entité ou la personne\nconcernée, ainsi que le préposé peuvent\ntransmettre la cause pour décision à la\ncommission.\n\nArt. 43\n\n3 Le responsable du traitement, l'entité\nou la personne concernée, ainsi que le\npréposé ont qualité pour recourir.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\nCette révision de la CPDT-JUNE est l'occasion de\ncombler une lacune gênante de la loi, qui ne prévoit pas\nexpressément la confidentialité des séances de\nconciliation. Jusqu'à présent, le préposé a paré à cette\nlacune en inscrivant au procès-verbal les propos qui ne\ndoivent pas être divulgués en dehors de la séance et en\nrelevant qu'une divulgation peut constituer une\ninfraction pénale, au sens de l'article 293 CP. Mais cette\ndisposition est vouée à disparaître.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\n24\n\n\n\nPrincipe\n\nProcédure\n\nArt. 45\n\n3 Le préposé agit d'office, sur demande\nd'une personne concernée, du maître du\nfichier ou d'une entité.\n\nArt. 45\n\n3 Le préposé agit d'office, sur demande\nd'une personne concernée, du\nresponsable\nentité.\n\nArt. 46\n\ndu traitement ou d'une\n\nArt. 46\n\n1 S'il apparaît qu'il y a violation ou risque\nde violation de prescriptions sur la\nprotection des données, le préposé\ndemande au maître du fichier d'y\nremédier. En tant que besoin, il prend\ndes mesures provisoires tendant à\nprotéger les personnes concernées.\n\n2 S'il n'est pas donné suite à sa\ndemande, il émet une recommandation\nà l'attention du maître du fichier et en\ninforme l'entité dont dépend ce dernier.\n\n3 Si cette recommandation est rejetée ou\nn'est pas suivie, le préposé peut porter\nl'affaire pour décision auprès de la\ncommission.\n\n4 Le préposé, le maître de fichier et 4 Le préposé, le responsable du\nl'entité concernée ont qualité pour traitement et l'entité concernée ont\nrecourir contre la décision de la qualité pour recourir contre la décision\ncommission, de la commission.\n\n1 S'il apparaît qu'il y a violation ou risque\nde violation de prescriptions sur la\nprotection des données, le préposé\ndemande au responsable du traitement\nd'y remédier. En tant que besoin, il prend\ndes mesures provisoires tendant à\nprotéger les personnes concernées.\n\n2 S'il n'est pas donné suite à sa\ndemande, il émet une recommandation à\nl'attention du responsable du traitement\net en informe l'entité dont dépend ce\ndernier.\n\n3 [inchangé]\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14, let. f).\n\n25\n\n\n\nSous-traitance\n\nArt. 54\n\n1 Le traitement de données ne peut être\nconfié à un tiers qu'aux conditions\nsuivantes:\n\na) une base légale ou une convention\navec le tiers le prévoit;\n\nb) le mandant ne peut confier que des\ntraitements qu'il est lui-même en droit\nd'effectuer;\n\ne) aucune obligation légale ou\ncontractuelle de garder le secret ne\nl'interdit;\n\nd) la sécurité des données est assurée.\n\n2 Le mandant demeure responsable de\nla protection des données; il veille\nnotamment à ce que ne soient pas\neffectués des traitements autres que\nceux qu'il a confiés.\n\nArt. 54\n\n1 Le traitement de données peut être\nconfié à un sous-traitant pour autant\nqu'un contrat ou la loi le prévoie et que\nles conditions suivantes soient réunies:\n\na) seul est effectué le traitement que le\nresponsable du traitement serait en\ndroit d'effectuer lui-même;\n\nb) aucune obligation légale ou\ncontractuelle de garder le secret ne\nl'interdit;\n\ne) la sécurité des données est assurée,\n\nd) les données sont traitées uniquement\nen Suisse, excepté si le traitement n'y\nest possible qu'à un coût\ndisproportionné ou s'il ne peut être\neffectué qu'à l'étranger.\n\n2 Le responsable du traitement demeure\nresponsable de la protection des\ndonnées; il veille notamment à ce que le\nsous-traitant respecte la présente\nconvention et qu'il n'effectue pas d'autre\ntraitement que celui confié. Le\nresponsable du traitement doit en\nparticulier s'assurer que le sous-traitant\nest en mesure de garantir la sécurité des\ndonnées.\n\n2bis Le sous-traitant ne peut à son tour\nconfier un traitement à un tiers qu'avec\nl'autorisation préalable du responsable\ndu traitement.\n\nLa Directive UE 2016/680 art. 22 demande d'intégrer\nla notion de sous-traitant, inexistante auparavant (voir\naussi commentaire article 14, let. k). Cet ajout a\nengendré une reformulation complète de la disposition.\nLes sous-traitants sont soumis aux mêmes obligations\nque les responsables du traitement.\n\nLa notion de « mandant » est remplacée par celle de\n« responsable du traitement » par souci\nd'harmonisation de la terminologie.\n\nSelon la doctrine, un traitement de données\npersonnelles soumises au secret de fonction est\nsusceptible de constituer une infraction pénale. Il n'est\npossible d'imposer le respect de ce secret qu'aux sous-\ntraitants déployant leur activité en Suisse.\n\nDes données personnelles soumises au secret de\nfonction traitées à l'étranger doivent être préalablement\nchiffrées ou anonymisées.\n\nRares sont les données personnelles traitées par les\nentités qui ne sont pas soumises au secret de fonction.\n\nPour rappel, la nouvelle teneur de l'article 23a impose\nune consultation préalable du préposé avant toute sous-\ntraitance à l'étranger\n\n26\n\n\n\n2t"s nouvel alinéa 3 Le sous-traitant est soumis aux mêmes\ncontrôles que le responsable du\ntraitement.\n\nViolation du devoir\nde discrétion\n\n3 Le tiers est assujetti aux mêmes\ncontrôles que le mandant.\n\nArt. 55\n\n1 Sous réserve de dispositions spéciales\ndu droit fédéral ou cantonal, celui qui,\nintentionnellement, aura révélé d'une\nmanière illicite des données sensibles et\nsecrètes ou des profils de la\npersonnalité, dont il a eu connaissance\ndans l'exercice de sa fonction au sein\nd'une entité, lors de sa formation ou\ndans le cadre d'activités qu'il exerce\npour le compte d'une telle entité, sera\npuni de l'amende.\n\n2 La révélation demeure punissable alors\nmême que les rapports de service ou la\nformation ont pris fin.\n\nArt. 56\n\nResponsabilité 1bis nouvel alinéa\n\nArt. 55\n\n1 Sous réserve de dispositions spéciales\ndu droit fédéral ou cantonal, celui qui,\nintentionnellement, aura communiqué\nd'une manière illicite des données\nsensibles ou des profils à risques élevés,\ndont il a eu connaissance dans le cadre\nde son activité pour le compte d'une\nentité ou lors de sa formation, sera puni\nde l'amende.\n\n2 La communication demeure punissable\nalors même que l'activité pour le compte\nde l'entité ou la formation ont pris fin.\n\nArt. 56\n\n1bisEn cas de traitement conjoint, les\nentités répondent solidairement du\npréjudice.\n\nAdaptation à la nouvelle terminologie (voir commentaire\narticle 14).\n\nTant la Directive UE 2016/680 art. 19 et 21 que la\nConvention 108 modernisée art. 10 demandent de\nprévoir la responsabilité conjointe.\n\n27\n\n\n\nArt-69 Art. 69 Cette révision de la CPDT-JUNE est l'occasion de\n2 L'accès aux documents officiels ayant 2 L'accès aux documents officiels ayant corri9er une imprécision. L'exclusion de la transparence\ntrait aux procédures et arbitrages trait'aux ~procedures""civiîes7~penales, ' de^outes. Jes_procédures_(y_comPris les Procédures\n\n' ^ï^l»viii^i«+^^t+ii</^^» i^t/^i^ ^k^»^»*<^i^*îrft. i i^»^»^» /^ . . ^a^.;\n\npendants est régi par les dispositions de\nprocédure.\n\nadministratives contentieuses et aux\narbitrages pendants est régi par les\ndispositions de procédure.\n\nPrincipes de la\ntransparence\n\n1. Droit d'accès\n\nadministratives non contentieuses au sein de\nl'administration) provient d'une erreur lors de\nl'élaboration du texte. Le contenu de celui-ci aurait dû\nêtre identique à celui de l'article 15 lettre b CPDT-\nJUNE, c'est-à-dire que les règles spéciales de\nprocédure ne sont applicables qu'aux procédures\ncontentieuses et aux arbitrages pendants.\n\nFaute de quoi, peu de documents seraient accessibles\npuisqu'une grande partie de l'activité de l'administration\nentre dans le champ des procédures non contentieuses.\nUne telle restriction serait sans doute contraire au droit\nfondamental à l'information prévu dans la Constitution\nneuchâteloise, plus récente que celle jurassienne et qui\nconsacre expressément le principe de la transparence.\n\nL'avis du PPDT 2016.1661 ublié le 31 décembre\n2017. détaille l'analyse de l'élaboration de cette\ndisposition, ainsi que de la jurisprudence.\n\nEnfin, la 'uris rudence neuchâteloise a déjà eu\nl'occasion d'appliquer cette disposition à deux reprises\ndans le sens proposé, puisqu'elle n'a pas exclu\nexpressément l'application de la CPDT-JUNE, alors que\nsi tel avait dû être le cas, elle aurait dû le faire d'office.\n\n28\n\n\n\nDisposition transitoire\nmodification du xxx\n\nà la\n\nLes articles 23a, 23b et 24 ne sont pas\napplicables aux traitements qui ont\ndébuté avant rentrée en vigueur du\nnouveau droit, pour autant que les\nfinalités du traitement restent\ninchangées et que de nouvelles\ncatégories de données ne soient pas\ncollectées.\n\nLes articles relatifs à la consultation préalable (art. 23a),\nà l'analyse d'impact (art. 23b) et au devoir d'informer\n(art. 24) ne s'appliquent pas aux traitements qui ont\ndébuté sous l'ancien droit et qui perdurent après rentrée\nen vigueur du nouveau droit, à condition que la finalité\ndu traitement reste inchangée et qu'aucune nouvelle\ncatégorie de données ne soit collectée. Dans la mesure\noù les devoirs prévus par ces dispositions s'appliquent\nsurtout dans la phase préliminaire du traitement, il se\njustifie de ne pas imposer aux responsables du\ntraitement de les remplir rétroactivement.\n\nPour le reste, les nouvelles dispositions sont\ndirectement applicables dès leur entrée en vigueur\n\n29\n\n\n\nConvention\n\nmodifiant la convention intercantonale relative à la protection\ndes données et à la transparence dans les cantons du Jura et de\nNeuchâtel (CPDT-JUNE), des 8 et 9 mai 2012\n\nLa République et Canton du Jura et la République et Canton de Neuchâtel,\n\nconviennent de ce qui suit :\n\nPréposé\n\nArticle premier La Convention intercantonale relative à la protection des données et à\nla transparence dans les cantons du Jura et de Neuchâtel (CPDT-JUNE), des 8 et 9 mai\n2012, est modifiée comme suit :\n\nArt. 2, al. 1, phrase introductive (nouvelle teneur)\n\nLa présente convention s'applique aux entités suivantes (ci-après: "les entités")\n(suite inchangée)\n\nArt. 3, al. 1 (nouvelle teneur)\n\nLa présente convention règle les traitements de données concernant les personnes\nphysiques et morales effectués par les entités.\n\nArt. 5, al. 1 bis (nouveau)\n\n1bislls doivent posséder les qualifications ou l'expérience, en particulier dans le\ndomaine de la protection des données à caractère personnel, nécessaires à\nl'exercice de leur fonction et de leurs pouvoirs.\n\nArt. 6, note marginale (nouvelle), al. 1 (nouvelle teneur), al. 3 (nouvelle teneur)\n1 Le siège du préposé est déterminé conjointement par les exécutifs cantonaux.\n\n311 dispose d'un secrétariat permanent dont les exécutifs cantonaux définissent la\ndotation, le fonctionnement et le statut. Il engage son personnel.\n\nArt. 7, al. 3 (nouvelle teneur)\n\n3Son siège est déterminé conjointement par les exécutifs cantonaux. Dans la\nmesure nécessaire, elle bénéficie de l'appui du greffe de l'autorité judiciaire de\npremière instance dont relève son siège.\n\nArt. 8, al. 5 et 6 (nouveaux)\n\n511 suit les évolutions pertinentes, notamment dans le domaine des technologies de\nl'information et de la communication, dans la mesure où elles ont une incidence sur\nla protection des données à caractère personnel.\n\n611 collabore avec les organes d'autres cantons, de la Confédération et d'États\nétrangers qui accomplissent les mêmes tâches que lui.\n\n\n\nArt. 10, al. 1 bis (nouveau)\n\n1bisÀ la demande du préposé ou de la commission, leurs propositions de budget\nsont transmises aux législatifs cantonaux.\n\nM. 14 al. 1 let. b ch. 1, 2, 3, 4 (nouvelle teneur), ch. 5 et 6 (nouveaux), let. e\n(nouvelle teneur), let. cbis (nouveau), let. d, f, g, i, (nouvelle teneur), let. k à n\n(nouvelles)\n\n10n entend par:\n\nb) données sensibles:\n\n1. les données sur les opinions ou les activités religieuses, philosophiques,\npolitiques ou syndicales ;\n\n2. les données sur la santé, sur la sphère intime ou sur l'origine raciale ou\nethnique ;\n\n3. les données génétiques ;\n\n4. les données biométriques identifiant une personne physique de façon\nunique ;\n\n5. les données sur des poursuites ou sanctions pénales et administratives,\n\n6. les données sur des mesures d'aide sociale ;\n\ne) profilage, toute forme de traitement automatisé de données consistant à utiliser\nces données pour évaluer certains aspects personnels relatifs à une personne\nphysique, notamment pour analyser ou prédire des éléments concernant le\nrendement au travail, la situation économique, la santé, les préférences\npersonnelles, les intérêts, la fiabilité, le comportement, la localisation ou les\ndéplacements de cette personne physique;\n\ncbis)profilage à risque élevé, tout profilage entraînant un risque élevé pour la\npersonnalité ou les droits fondamentaux de la personne concernée, parce qu'il\nconduit à un appariement de données qui permet d'apprécier les\ncaractéristiques essentielles de la personnalité d'une personne physique;\n\nd) fichier, tout ensemble structuré de données à caractère personnel accessibles\nselon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou\nréparti de manière fonctionnelle ou géographique;\n\nf) responsable du traitement, l'entité qui, seule ou conjointement avec d'autres,\ndétermine les finalités et les moyens du traitement de données;\n\ng) traitement, toute opération relative à des données - quels que soient les moyens\net les procédés utilisés - notamment la collecte, la conservation, l'exploitation, la\nmodification, la communication, l'archivage, l'effacement ou la destruction de\ndonnées;\n\ni) communication en ligne, procédure automatisée permettant à une entité de\ndisposer de données sans l'intervention de celle qui les communique;\n\nk) sous-traitant, la personne privée ou l'entité qui traite des données pour le\ncompte du responsable du traitement;\n\n/} destinataire, la personne physique ou morale, l'autorité publique, le service,\nl'agence ou tout autre organisme qui reçoit communication de données ou à qui\ndes données sont rendues accessibles;\n\nm) décision individuelle automatisée, toute décision prise exclusivement sur la base\nd'un traitement de données automatisé, y compris le profilage, et qui a des effets\njuridiques sur la personne concernée ou qui l'affecte de manière significative;\n\n\n\nn) violation de la sécurité des données, toute violation de la sécurité entraînant de\nmanière accidentelle ou illicite la perte de données, leur modification, leur\neffacement ou leur destruction, leur divulgation ou un accès non autorisé à ces\ndonnées.\n\nArt. 15, let. b et e (nouvelle teneur)\n\nb) au traitement de données dans le cadre de procédures juridictionnelles et\nd'arbitrages pendants, à condition que les dispositions de procédure applicables\nassurent une protection au moins équivalente à celle découlant du présent\nchapitre;\n\ne) aux données que les entités traitent dans le cadre d'une activité soumise à la\nconcurrence économique régie par le droit privé.\n\nArt. 16, al. 1 (nouvelle teneur), al. 2 (nouveau)\n\n1 Des données peuvent être traitées si une base légale le prévoit ou si leur\ntraitement est nécessaire à l'accomplissement d'une tâche légale.\n\n2Les données sensibles et les profilages à risques élevés ne peuvent être traités\nque si une base légale formelle l'autorise expressément. Une base légale matérielle\nsuffit si les conditions suivantes sont remplies:\n\na) le traitement est indispensable à l'accomplissement d'une tâche clairement\nspécifiée dans une loi au sens formel;\n\nb) le traitement n'est pas susceptible d'entraîner des risques particuliers pour la\npersonnalité et les droits fondamentaux des personnes concernées.\n\nArt. 17, al. 2 (nouveau)\n\n2Les données doivent être conservées sous une forme permettant l'identification\ndes personnes concernées pendant une durée n'excédant pas celle nécessaire au\nregard des finalités pour lesquelles elles sont traitées.\n\nArt. 18, al. 2 (nouvelle teneur)\n\n2Les données ne peuvent être collectées que pour des finalités déterminées et\nreconnaissables pour la personne concernée et doivent être traitées ultérieurement\nde manière compatible avec ces finalités.\n\nArt. 19, al. 1 et 2 (nouvelle teneur)\n\n1Celui qui traite des données doit s'assurer que les données sont exactes et\ncomplètes.\n\n211 prend toute mesure appropriée permettant de rectifier, d'effacer ou de détruire\nles données inexactes ou incomplètes au regard des finalités pour lesquelles elles\nsont collectées ou traitées. Le caractère approprié de la mesure dépend\nnotamment du type de traitement et de son étendue, ainsi que du risque que le\ntraitement des données en question présente pour la personnalité ou les droits\nfondamentaux des personnes concernées.\n\nSécurité des\ndonnées et de\nl'information\n\nM. 20, note marginale (nouvelle teneur), al. 1 (nouvelle teneur)\n\n1 Les entités doivent assurer, par des mesures organisationnelles et techniques\nappropriées, une sécurité adéquate des données par rapport au risque encouru.\nLes mesures doivent permettre d'éviter toute violation de la sécurité des données.\n\n\n\nConsultation\npréalable\n\nTitre précédent l'article 21 (nouvelle teneur)\n\nSECTION 3: Répertoire et registre public des fichiers\n\nArt. 21 (nouvelle teneur)\n\nLes responsables du traitement de données tiennent un répertoire de leurs fichiers.\n\nArt. 22, al. 1 et 2 (nouvelle teneur)\n\n1Le préposé tient un registre public inventoriant les fichiers de données sensibles et\nde profilage à risques élevés.\n\n2Ces fichiers lui sont annoncés par les responsables du traitement avant d'être\nopérationnels.\n\nTitre précédent factuel article 24 (nouvelle teneur)\n\nSECTION 4: Obligations en matière de traitement de données\n\nArt. 23a (nouveau)\n\n1 L'entité responsable soumet pour préavis au préposé :\n\na) tout projet législatif touchant à la protection des données;\n\nb) tout projet lorsque l'analyse d'impact relative à la protection des données révèle\nque, malgré les mesures prévues par le responsable du traitement, le traitement\nenvisagé présente encore un risque élevé pour la personnalité ou les droits\nfondamentaux de la per-sonne concernée;\n\ne) tout projet de sous-traitance à l'étranger.\n\n2 Le préposé peut établir une liste des opérations de traitement présentant des\nrisques élevés au sens de l'alinéa 1, lettre b.\n\n3Si le préposé a des objections concernant le traitement envisagé, il propose au\nresponsable du traitement des mesures appropriées.\n\nArt. 23b (nouveau)\n\nAnalyse d'impact lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la\npersonnalité ou les droits fondamentaux de la personne concernée, le responsable\ndu traitement procède au préalable à une analyse d'impact relative à la protection\ndes données. S'il envisage d'effectuer plusieurs opérations de traitement\nsemblables, il peut établir une analyse d'impact commune.\n\n2L'existence d'un risque élevé dépend de la nature, de retendue, des circonstances\net de la finalité du traitement. Un tel risque existe notamment dans les cas\nsuivants :\n\na) le traitement de données sensibles à grande échelle;\n\nb) le profilage;\n\ne) la surveillance systématique de grandes parties du domaine public.\n\n3L'analyse d'impact contient une description du traitement envisagé, une évaluation\ndes risques pour la personnalité ou les droits fondamentaux de la personne\nconcernée, ainsi que les mesures prévues pour protéger la personnalité et les\ndroits fondamentaux de la personne concernée.\n\n4Le préposé se prononce sur l'analyse d'impact et les mesures de sécurité\nenvisagées.\n\n\n\nObligation\nd'annonce\n\n5Le responsable du traitement est délié de son obligation d'établir une analyse\nd'impact si une base légale prévoit le traitement et que son adoption a été\nprécédée d'une analyse répondant aux exigences des alinéas 1 à 4.\n\nArt. 23c (nouveau)\n\n1Le responsable du traitement annonce dans les meilleurs délais au préposé les\ncas de violation de la sécurité des données entraînant vraisemblablement un risque\nélevé pour la personnalité ou les droits fondamentaux de la personne concernée.\n2L'annonce doit au moins indiquer la nature de la violation de la sécurité des\ndonnées, ses conséquences et les mesures prises ou envisagées pour remédier à\nla situation.\n\n3Le sous-traitant annonce dans les meilleurs délais au responsable du traitement\ntout cas de violation de la sécurité des données.\n\n4Le responsable du traitement informe par ailleurs la personne concernée lorsque\ncela est nécessaire à sa protection ou lorsque le préposé l'exige.\n\n511 peut restreindre l'information de la personne concernée, la différer ou y renoncer,\ndans les cas suivants :\n\na) un intérêt privé ou public prépondérant d'un tiers s'y oppose ;\nb) un devoir légal de garder le secret l'interdit ;\n\ne) le devoir d'informer est impossible à respecter ou nécessite des efforts\ndisproportionnés ;\n\nd) l'information de la personne concernée peut être garantie de manière\néquivalente par une communication publique ;\n\ne) la communication des informations est susceptible de compromettre une\nenquête, une instruction ou une procédure judiciaire ou administrative.\n\n6Une annonce fondée sur le présent article ne peut être utilisée dans le cadre d'une\nprocédure pénale contre la personne tenue d'annoncer qu'avec son consentement.\n\nArt. 24 (nouvelle teneur), note marginale (nouvelle)\n\nDevoir d'informer 1Le responsable du traitement informe la personne concernée de manière adéquate\nde la collecte de données, que celle-ci soit effectuée auprès d'elle ou non.\n\n2Lors de la collecte, il communique à la personne concernée les informations\nnécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et, pour\nque la transparence des traitements soit garantie; il lui communique au moins :\na) l'identité et les coordonnées du responsable du traitement;\n\nb) la finalité du traitement;\n\ne) le cas échéant les destinataires ou les catégories de destinataires auxquels des\ndonnées sont transmises.\n\n3Si les données ne sont pas collectées auprès de la personne concernée, il lui\ncommunique en outre les catégories de données traitées.\n\n4Lorsque des données sont communiquées à l'étranger, il lui communique\négalement le nom de l'Etat ou de l'organisme international en question et, le cas\néchéant, les garanties et les exceptions prévues par la législation fédérale sur la\nprotection des données.\n\n5Si les données ne sont pas collectées auprès de la personne concernée, il lui\ncommunique les informations mentionnées aux alinéas 2 à 4 au plus tard un mois\naprès qu'il a obtenu les données. S'il communique les données avant l'échéance\n\n\n\nde ce délai, il en informe la personne concernée au plus tard lors de la\n\nArt. 24a (nouveau)\nExceptions audevok d'^oa^er l.Le resPonsable du traitement est délié du devoir d'information au sens de l'article\n\n24 si l'une des conditions suivantes est remplie :\n\na) la personne concernée dispose déjà des informations correspondantes;\n\nb) le traitement des données est prévu par la loi;\n\ne) le responsable du traitement est une personne privée et il est lié par une\nobligation légale de garder le secret.\n\n2Lorsque les données ne sont pas collectées auprès de la personne concernée, le\ndevoir d'information ne s'applique pas non plus dans les cas suivants :\n\na) l'information est impossible à donner, ou\nb) la communication de l'information nécessite des efforts disproportionnés.\n3Le responsable du traitement peut restreindre ou différer la communication des\ninformations, ou y renoncer si l'une des conditions suivantes est remplie:\n\na) es intérêts privés d'un tiers ou publics prépondérants l'exigent;\n\nb) l'information empêche le traitement d'atteindre son but;\n\ne) la communication des informations est susceptible de compromettre une\nenquête, une instruction ou une procédure judiciaire ou administrative.\n\nArt. 24b (nouveau)\n\nTraitement 1 En cas de traitement conjoint, les entités concernées s'accordent sur la répartition\nconjoint des responsabilités et des obligations découlant de la présente convention.\n\n2L'accord passé conformément à l'alinéa 1 n'est pas opposable à la personne\nconcernée, qui peut faire valoir les droits découlant de la présente convention\nauprès d'une des entités concernées.\n\nArt. 24c (nouveau, ancien article 52)\n\nArchjvageet Les données dont le responsable du traitement n'a plus besoin et qui ne doivent\ndestruction pgg g^re conservées à titre de preuve ou par mesure de sûreté sont traitées\n\nconformément à la législation cantonale concernée relative aux archives.\n\nArt. 25 ai 1, let. a (nouvelle teneur), let. bbls (nouvelle), al. 2 (nouvelle teneur), al. 3\n(abrogé)\n\n1Les entités ne sont en droit de communiquer des données, d'office ou sur requête,\nque si :\n\na) une base légale l'autorise ou si la communication est nécessaire à\nl'accomplissement d'une tâche légale; en présence de données sensibles ou de\nprofilages, l'autorisation ou la tâche doit reposer sur une loi au sens formel;\n\nbbis) la personne concernée n'est pas en mesure de donner son consentement, la\ncommunication des données est dans son intérêt et son consentement peut être\nprésumé conformément aux règles de la bonne foi;\n\n2Les entités sont en droit de communiquer sur demande le nom, le prénom,\nl'adresse, l'état civil, la profession, le sexe et la nationalité, la provenance et la\ndestination d'une personne même si les conditions de l'alinéa 1 ne sont pas\n\n6\n\n\n\nremplies, mais pour autant que cela soit dans l'intérêt de la personne concernée ou\nque le destinataire justifie d'un intérêt digne de protection.\n\n3abrogé\n\nArt. 28 (nouvelle teneur)\n\nSi une entité en a régulièrement besoin pour l'accomplissement des tâches légales\nqui lui incombent, l'exécutif concerné peut lui rendre accessibles en ligne les\ndonnées nécessaires, après consultation du préposé.\n\nArt. 29 (nouvelle teneur)\n\n3La remise à des particuliers de listes de données sensibles ou de profilages à\nrisques élevés, de même que leur commercialisation, sont interdites, à moins\nqu'une base légale ne les justifie.\n\nArt. 31 al. 1, 2 et 3 (nouvelle teneur)\n\n1Toute personne peut demander au responsable du traitement si des données la\nconcernant sont traitées.\n\n2La personne concernée reçoit les informations nécessaires pour qu'elle puisse\nfaire valoir ses droits selon la présente convention et pour que la transparence du\ntraitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes\n\na) l'identité et les coordonnées du responsable du traitement ;\n\nb) les données traitées en tant que telles ;\n\ne) la finalité du traitement ;\n\nd) la durée de conservation des données ou, si cela n'est pas possible, les critères\npour fixer cette dernière ;\n\ne) les informations disponibles sur l'origine des données, dans la mesure où ces\ndonnées n'ont pas été collectées auprès de la personne concernée ;\n\nf) le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la\nlogique sur laquelle se base la décision ;\n\ng) le cas échéant, les destinataires ou les catégories de destinataires auxquels des\ndonnées ont été communiquées, ainsi que les informations prévues à l'article 24,\nalinéa 4.\n\n3Le responsable du traitement qui fait traiter des données par un sous-traitant\ndemeure tenu de fournir les renseignements demandés.\n\nArt. 32, al. 2 (nouvelle teneur)\n\n2Le responsable du traitement peut aussi communiquer oralement les données si la\npersonne concernée s'en satisfait.\n\nArt 33, al. 2 (nouvelle teneur)\n\n2Lorsque les renseignements ne peuvent être communiqués directement à la\npersonne concernée parce qu'elle en serait par trop affectée ou parce que des\nexplications complémentaires sont nécessaires, le responsable du traitement les\ntransmet à un tiers mandaté à cet effet qui jouit de la confiance de celle-ci.\n\nArt. 34, al. 1, phrase introductive (nouvelle teneur)\n\nQuiconque a un intérêt légitime peut requérir du responsable du traitement qu'il :\n\n\n\n(suite inchangée)\n\nArt. 35 al. 1 et 2 (nouvelle teneur), al. 3 et 4 (nouveaux)\n\n1Quiconque a un intérêt légitime peut demander au responsable du traitement que\nles données soient dans les meilleures délais :\n\nb) détruites ou effacées, si elles sont inutiles, périmées ou contraires au droit.\n\n2Si l'exactitude ou l'inexactitude d'une donnée ne peut être prouvée, le responsable\ndu traitement ajoute à la donnée la mention de son caractère litigieux.\n\n3La personne concernée peut demander que la rectification, l'effacement, la\ndestruction des données, l'interdiction du traitement, l'interdiction de la\ncommunication à des tiers ou la mention du caractère litigieux soient communiqués\nà des tiers.\n\n4Au lieu d'effacer ou de détruire les données, le responsable du traitement limite le\ntraitement dans les cas suivants:\n\na) l'exactitude des données est contestée par la personne concernée et leur\nexactitude ou inexactitude ne peut pas être établie;\n\nb) des intérêts prépondérants d'un tiers l'exigent;\n\ne) un intérêt public prépondérant l'exige;\n\nd) l'effacement ou la destruction des données est susceptible de compromettre une\nenquête, une instruction ou une procédure administrative ou judiciaire.\n\nArt. 36 (nouvelle teneur)\n\n1La personne concernée qui a un intérêt légitime peut s'opposer à ce que le\nresponsable du traitement communique des données déterminées.\n\n2L'opposition peut être écartée si :\n\na) le responsable du traitement est juridiquement tenu de communiquer les\ndonnées, ou si\n\nb) un intérêt public prépondérant exige la communication, notamment lorsque le\ndéfaut de communication risque de compromettre l'accomplissement des tâches\ndu responsable du traitement.\n\n3Sous réserve des cas graves et urgents, le responsable du traitement sursoit à la\ncommunication de données jusqu'à droit connu quant à l'opposition.\n\nArt. 37 (nouvelle teneur)\n\nLorsque le responsable du traitement entend ne pas donner suite à une requête\nfondée sur les articles 31 à 36, il en informe par écrit la personne concernée avec\nde brefs motifs et lui indique la possibilité de saisir le préposé pour conciliation.\n\nArt. 38, al. 3 (nouvelle teneur)\n\n3Les demandes sont adressées au responsable du traitement.\n\nArt. 40, al. 1 (nouvelle teneur)\n\n1 En cas de divergence quant à l'application du présent chapitre, le responsable du\ntraitement, une entité ou une personne concernée peut demander au préposé de\ntenir une séance de conciliation.\n\n8\n\n\n\nArt. 41, al. 4 (nouveau)\n\n4Les propos tenus durant la séance sont confidentiels.\n\nArt. 42, al. 1 (nouvelle teneur)\n\n1Si la conciliation échoue ou si la convention au sens de l'article 41, alinéa 3, n'est\npas exécutée, le responsable du traitement, l'entité ou la personne concernée, ainsi\nque le préposé, peuvent transmettre la cause pour décision à la commission.\n\nArt. 43, al. 3 (nouvelle teneur)\n\n3Le responsable du traitement, l'entité ou la personne concernée, ainsi que le\npréposé, ont qualité pour recourir.\n\nArt. 45, al. 3 (nouvelle teneur)\n\n3Le préposé agit d'office, sur demande d'une personne concernée, du responsable\ndu traitement ou d'une entité.\n\nArt. 46 al. 1, 2 et 4 (nouvelle teneur)\n\n1S'il apparaît qu'il y a violation ou risque de violation de prescriptions sur la\nprotection des données, le préposé demande au responsable du traitement d'y\nremédier. En tant que besoin, il prend des mesures provisoires tendant à protéger\nles personnes concernées.\n\n2S'il n'est pas donné suite à sa demande, il émet une recommandation à ['attention\ndu responsable du traitement et en informe l'entité dont dépend ce dernier.\n\n4Le préposé, le responsable du traitement et l'entité concernée ont qualité pour\nrecourir contre la décision de la commission.\n\nArt. 52 (abrogé)\n\nArt. 54, note marginale (nouvelle teneur), al. 1, 2 et 3 (nouvelle teneur) al. 2bis\n(nouveau)\n\nSous-traitance i|_e traitement de données peut être confié à un sous-traitant pour autant qu'un\ncontrat ou la loi le prévoie et que les conditions suivantes soient réunies :\n\na) seul est effectué le traitement que le responsable du traitement serait en droit\nd'effectuer lui-même ;\n\nb) aucune obligation légale ou contractuelle de garder le secret ne l'interdit ;\n\ne) la sécurité des données est assurée ;\n\nd) les données sont traitées uniquement en Suisse, excepté si le traitement n'y est\npossible qu'à un coût disproportionné ou s'il ne peut être effectué qu'à l'étranger.\n\n2Le responsable du traitement demeure responsable de la protection des données;\nil veille notamment à ce que le sous-traitant respecte la présente convention et qu'il\nn'effectue pas d'autre traitement que celui confié. Le responsable du traitement doit\nen particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité\ndes données.\n\n2bisLe sous-traitant ne peut à son tour confier un traitement à un tiers qu'avec\nl'autorisation préalable du responsable du traitement.\n\n3Le sous-traitant est soumis aux mêmes contrôles que le responsable du\ntraitement.\n\n\n\nArt. 55 (nouvelle teneur)\n\n1Sous réserve de dispositions spéciales du droit fédéral ou cantonal, celui qui,\nintentionnellement, aura communiqué d'une manière illicite des données sensibles\nou des profils à risques élevés, dont il a eu connaissance dans le cadre de son\nactivité pour le compte d'une entité ou lors de sa formation, sera puni de l'amende.\n\n2La communication demeure punissable alors même que l'activité pour le compte\nde l'entité ou la formation ont pris fin.\n\nArt. 56, al. 1bis (nouveau)\n\n1bisEn cas de traitement conjoint, les entités répondent solidairement du préjudice.\n\nArt. 69, al. 2 (nouvelle teneur)\n\n2L'accès aux documents officiels ayant trait aux procédures civiles, pénales,\nadministratives contentieuses et aux arbitrages pendants est régi par les\ndispositions de procédure.\n\nDisposition transitoire à la modification du xxx.\n\nLes articles 23a, 23b et 24 ne sont pas applicables aux traitements qui ont débuté avant\nrentrée en vigueur du nouveau droit, pour autant que les finalités du traitement restent\ninchangées et que de nouvelles catégories de données ne soient pas collectées.\n\nArt. 2 1 La présente convention est soumise à l'approbation des parlements cantonaux.\n\n2Elle est portée à la connaissance de la Confédération.\n\n3Les exécutifs cantonaux fixent conjointement la date de son entrée en vigueur.\n\nAinsi conclue à xxx, le xxx\n\nPour le canton de Neuchâtel\n\nPour le canton du Jura\n\n10\n\n\n\t2021-10-06_08-19-49-270.pdf\n\t2021-10-06_08-20-20-170.pdf\n\t2021-10-06_08-22-05-465.pdf\n\t2021-10-06_08-22-40-215.pdf\n\n