text: 17.1 - Loi sur la protection des données (LPrD)    17.1  Loi sur la protection des données (LPrD)  du 25.11.1994 (version entrée en vigueur le 01.03.2021)  Le Grand Conseil du canton de Fribourg  Vu le message du Conseil d'Etat du 13 septembre 1994;  Sur la proposition de cette autorité,  Décrète:  1 Dispositions générales  Art.  1 But 1 La  présente  loi  vise  à  protéger  les  droits  fondamentaux  des  personnes  lorsque des organes publics traitent des données à leur sujet.  Art.  2 Champ d'application 1 La présente loi s'applique aux organes publics suivants:  a) les organes de l'Etat, des communes et des autres corporations de droit  public ainsi que des établissements de droit public;  b) les particuliers  et  les organes  d'institutions privées,  lorsqu'ils  accom- plissent des tâches de droit public.  2 Elle ne s'applique toutefois pas:  a) aux délibérations du Grand Conseil, des assemblées communales ou des  conseils  généraux,  des  assemblées  bourgeoisiales  ainsi  que  de  leurs  commissions;  b) aux procédures civiles, pénales et de juridiction administrative en cours;  c) aux  activités  exercées  par  les  entreprises  publiques  en  situation  de  concurrence économique, lorsque celles-ci n'agissent pas en tant qu'or- ganes investis de la puissance publique.  3 Elle ne s'applique aux Eglises reconnues que si celles-ci n'ont pas adopté  des dispositions en la matière.  1    Protection des données – L  17.1  Art.  3 Définitions 1 On entend par:  a) données  personnelles  (données),  toutes  les  informations  qui  se  rap- portent à une personne identifiée ou identifiable;  b) personne concernée,  la  personne physique ou morale  au sujet  de la- quelle des données sont traitées;  c) données sensibles, les données personnelles sur:  1. les opinions ou activités religieuses, philosophiques, politiques ou  syndicales,  2. la santé, la sphère intime ou l'appartenance à une race,  3. des mesures d'aide sociale,  4. des sanctions pénales ou administratives et les procédures y rela- tives;  d) traitement, toute opération relative à des données personnelles – quels  que soient les moyens et procédés utilisés –, notamment la collecte, la  conservation, l'hébergement, l'exploitation, la modification, la commu- nication, l'archivage ou la destruction de données;  e) communication, le fait de rendre des données personnelles accessibles,  par exemple en autorisant leur consultation, en les transmettant ou en  les diffusant;  e1) externalisation du traitement, une forme de sous-traitance impliquant la  délocalisation du traitement sur les infrastructures du sous-traitant;  f) fichier, tout ensemble de données personnelles dont la structure permet  de rechercher les données par personne concernée;  g) responsable du fichier, l'organe public qui décide du but et du contenu  du fichier;  h) participant au fichier, l'organe public qui, sans être responsable du fi- chier, est en droit d'introduire des données dans le fichier ou d'y procé- der à des mutations.  i) sous-traitant, la personne privée ou l'organe public relevant d'une autre  collectivité qui traite des données personnelles pour le compte d'un ou  plusieurs responsables du fichier.  2    Protection des données – L  17.1  2 Principes régissant le traitement de données personnelles  2.1 Conditions générales de licéité du traitement  Art.  4 Base légale 1 L'organe public n'est en droit de traiter des données personnelles que si une  disposition légale le prévoit, ou, à défaut, si les dispositions réglant l'accom- plissement de sa tâche l'impliquent.  Art.  5 Finalité 1 Les données personnelles ne peuvent être traitées que dans le but pour le- quel elles ont été collectées ou dans un but qui, selon les règles de la bonne  foi, est compatible avec lui. 2 Sont réservés les cas dans lesquels la personne concernée a consenti à un  changement de finalité.  Art.  6 Proportionnalité 1 Les données et les modes de traitement doivent être nécessaires et appro- priés par rapport au but du traitement.  Art.  7 Exactitude 1 Dans la  mesure où le  but du traitement  l'exige,  les données doivent être  exactes et mises à jour.  Art.  8 Devoir de diligence accru 1 L'organe public qui traite des données sensibles doit prendre toutes les dis- positions nécessaires pour prévenir le risque accru d'atteinte que comporte le  traitement de telles données.  2.2 Conditions supplémentaires applicables à certaines formes de  traitement  Art.  9 Collecte 1 Les données personnelles doivent être recueillies en principe auprès de la  personne concernée. Elles ne peuvent l'être auprès d'un organe public ou d'un  tiers que si une disposition légale le prévoit, si la nature de la tâche l'exige ou  si des circonstances particulières le justifient. 2 La collecte de données doit être reconnaissable comme telle pour la per- sonne auprès de laquelle elle est effectuée.  3    Protection des données – L  17.1  3 Lorsque des données sont recueillies de manière systématique, notamment  au moyen d'un questionnaire, le but et la base légale du traitement ainsi que  les destinataires des données doivent être indiqués. Dans les autres cas, ces  indications sont fournies sur demande.  Art.  10 Communication ordinaire – Conditions 1 Des données personnelles ne peuvent être communiquées que si une dispo- sition légale le prévoit ou si, dans un cas d'espèce,  a) l'organe public qui demande les données en a besoin pour l'accomplis- sement de sa tâche;  b) la personne privée qui demande les données justifie d'un intérêt  à la  communication primant celui  de la personne concernée  à ce que les  données ne soient pas communiquées, ou que  c) la personne concernée a consenti à la communication, ou les circons- tances permettent de présumer un tel consentement.  2 L'accès à des données personnelles au moyen d'une procédure d'appel, no- tamment un accès en ligne, ne peut être accordé à un ou une destinataire que  si une disposition légale le prévoit.  Art.  11 Communication ordinaire – Restrictions 1 La communication est refusée, restreinte ou assortie de charges:  a) si un intérêt public important ou un intérêt digne de protection de la per- sonne concernée ou d'un tiers le commande, ou  b) si une obligation de garder le secret l'exige.  Art.  12 Communication ordinaire – Réserve 1 La communication des données personnelles qui sont inscrites au contrôle  des habitants est régie par la loi y relative. 2 La communication de données personnelles au public est en outre régie par  la législation sur l'information et l'accès aux documents.  Art.  12a Communication transfrontière 1 Des données personnelles ne peuvent être communiquées à l'étranger que  dans les Etats qui garantissent un niveau de protection adéquat. 2 Des données  personnelles  peuvent  toutefois  être  communiquées  dans  les  Etats n'offrant pas une telle garantie, lorsque l'une des conditions suivantes  est réalisée:  a) des garanties suffisantes, notamment contractuelles, permettent d'assu- rer un niveau de protection adéquat à l'étranger;  4    Protection des données – L  17.1  b) la personne concernée a, en l'espèce, donné son consentement explicite;  c) le traitement est en relation directe avec la conclusion ou l'exécution  d'un contrat, et les données traitées concernent le cocontractant ou la  cocontractante;  d) la communication est, en l'espèce,  indispensable soit à la sauvegarde  d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la  défense d'un droit en justice;  e) la communication est, en l'espèce, nécessaire à la protection de la vie ou  de l'intégrité corporelle de la personne concernée.  3 L'organe public informe le ou la préposé-e cantonal-e à la protection des  données des garanties prises en vertu de l'alinéa 2 let. a avant la communica- tion des données à l'étranger.  Art.  12b Externalisation – Principes 1 Le traitement de données personnelles, y compris de données sensibles, peut  être externalisé aux conditions posées par les présentes dispositions. 2 Les lieux de traitement doivent être  situés en tout temps sur le territoire  suisse ou sur le territoire d'un Etat garantissant un niveau de protection des  données équivalent. 3 Lorsque l'externalisation implique une délégation de tâches à des tiers au  sens de l'article 54 de la Constitution du canton de Fribourg du 16 mai 2004,  les exigences particulières prévues par cette disposition sont applicables. 4 Le Conseil d'Etat présente tous les deux ans à la Commission des finances  et de gestion un rapport sur l'externalisation.  Art.  12c Externalisation – Responsabilités 1 L'organe public qui procède à une externalisation demeure responsable de la  protection des données personnelles, en particulier de leur confidentialité ain- si que de la pérennité de leur conservation et de leur exploitation. En particu- lier:  a) il  prend  les  précautions  commandées  par  les  circonstances  quant  au  choix du sous-traitant, à son instruction et à sa surveillance;  b) il assure la protection et la sécurité des données et de ses propres sys- tèmes d'information par la conclusion d'un contrat qui décrit au mini- mum:  1. l'objet, la nature, la finalité et la durée de l'externalisation;  2. les catégories de données concernées;  3. les obligations et les droits de chaque partie;  5    Protection des données – L  17.1  4. les droits et possibilités de contrôle de l'autorité de surveillance en  matière de protection des données;  5. l'interdiction faite  au sous-traitant  de sous-traiter  à  son tour un  traitement sans l'autorisation préalable du responsable du fichier;  6. le  devoir  du  sous-traitant  d'informer  immédiatement  le  respon- sable du fichier lorsque, en vertu d'une loi étrangère ou d'une déci- sion de justice, il est tenu de communiquer des données à une au- torité étrangère ou risque de devoir le faire;  c) il ne confie pas au sous-traitant des traitements qu'il ne serait pas en  droit d'effectuer lui-même;  d) il veille à ce que les données et les outils informatiques concernés par  une externalisation puissent être récupérés  en tout temps, notamment  dans le but de changer de sous-traitant, de procéder à leur réinternalisa- tion ou de les verser aux archives historiques.  2 Lorsque l'externalisation concerne plusieurs organes différents au sein d'une  même collectivité publique, un organe principalement responsable est dési- gné. 3 Au sein de l'administration cantonale, la responsabilité de la mise en œuvre  et du suivi des règles de la présente section est assumée conjointement par  l'organe compétent à raison de la matière et par le service en charge de l'in- formatique 1). Sont réservés les cas dans lesquels l'organe compétent à raison  de la matière gère de manière autonome ses systèmes informatiques.  Art.  12d Externalisation – Mesures de sécurité 1 L'intégrité,  l'authenticité,  la disponibilité et la confidentialité des données  personnelles externalisées ainsi que la pérennité de leur conservation et de  leur exploitation doivent être garanties par des mesures organisationnelles et  techniques appropriées et adaptées à l'évolution des technologies disponibles. 2 La définition des mesures de sécurité tient compte des risques que le traite- ment des données en question présente pour la personnalité et les droits fon- damentaux des personnes concernées. 3 Lorsque l'externalisation concerne des données indispensables au fonction- nement de l'administration, la continuité des activités externalisées doit, en  cas d'incident, être garantie par un dispositif adéquat.  1) Actuellement: Service de l'informatique et des télécommunications.  6    Protection des données – L  17.1  Art.  12e Externalisation – Mesures relatives aux données sensibles 1 Le  traitement  de  données  personnelles  sensibles  qui  présente  un  risque  concret d'atteinte aux droits des personnes concernées et le traitement de don- nées qui font l'objet d'une obligation légale ou contractuelle de garder le se- cret peuvent être externalisés si la confidentialité à l'égard du sous-traitant est  assurée de manière que ce dernier ne puisse avoir accès à leur contenu. 2 Lorsque le sous-traitant doit impérativement avoir accès aux données pour  des raisons techniques, le contrat d'externalisation fixe les exigences particu- lières nécessaires, en particulier l'engagement du sous-traitant de n'accéder au  contenu des données qu'avec le consentement exprès de l'organe public qui  procède à l'externalisation et l'obligation de tenir un journal des accès.  Art.  12f Essais pilotes 1 Sur la base d'un dossier dûment établi et  après consultation de l'Autorité  cantonale de la transparence et de la protection des données, le Conseil d'Etat  peut autoriser par voie d'ordonnance le traitement automatisé de données sen- sibles si cela paraît indispensable pour réaliser un essai pilote ou préparer une  application pendant la procédure d'adoption ou d'adaptation de sa base légale. 2 Une phase d'essai peut être considérée comme indispensable pour traiter les  données:  a) si  l'accomplissement  des  tâches  nécessite  l'introduction  d'innovations  techniques dont les effets doivent être évalués;  b) si l'accomplissement des tâches nécessite la prise de mesures organisa- tionnelles ou techniques importantes dont l'efficacité doit être exami- née, notamment dans le cadre d'une collaboration entre les organes fé- déraux et les cantons.  3 L'organe responsable transmet, au plus tard deux ans après la mise en œuvre  de la phase d'essai, un rapport d'évaluation au Conseil d'Etat et à l'autorité de  surveillance. Dans ce rapport, il lui propose la poursuite ou l'interruption du  traitement. 4 Si le Conseil d'Etat autorise la poursuite du traitement, il engage immédiate- ment la procédure législative pour donner une base légale formelle au traite- ment de ces données.  Art.  13 Destruction 1 Les données personnelles doivent être détruites dès que l'organe public n'en  a plus besoin. 2 Sont réservées les dispositions cantonales et communales sur l'archivage des  documents administratifs.  7    Protection des données – L  17.1  Art.  13a Vidéosurveillance 1 Les dispositions spéciales de la législation sur la vidéosurveillance sont ré- servées.  2.3 Traitement de données à des fins ne se rapportant pas à des  personnes  Art.  14 Collecte auprès d'un organe public 1 Lorsque des données personnelles doivent être recueillies en vue d'un traite- ment à des fins ne se rapportant pas à des personnes, notamment d'un traite- ment à des fins de statistique, de recherche ou de planification, elles peuvent   être obtenues auprès de l'organe public qui les détient.  Art.  15 Licéité du traitement 1 Tout organe public est en droit, dans l'accomplissement de sa tâche, de trai- ter à des fins ne se rapportant pas à des personnes les données personnelles  qu'il détient. 2 Il est en droit de communiquer ces données à un autre organe public en vue  d'un traitement à des fins ne se rapportant pas à des personnes si:  a) ce traitement entre dans les attributions de l'organe  qui demande les  données, et que  b) ces fins ne sont pas manifestement incompatibles avec les fins pour les- quelles les données ont été initialement recueillies.  Sont réservées les restrictions à la communication prévues à l'article 11.  Art.  16 Conditions particulières 1 Dès que le but du traitement le permet, les données personnelles traitées à  des fins ne se rapportant pas à des personnes doivent être rendues anonymes,  ou à tout le moins être utilisées sans référence directe aux personnes concer- nées. 2 Les résultats du traitement doivent être publiés sous une forme ne permet- tant pas d'identifier les personnes concernées.  3 Mise en œuvre de la protection des données  Art.  17 Responsabilité – En général 1 Tout organe public qui traite des données personnelles est responsable de la  protection des données.  8    Protection des données – L  17.1  2 Lorsque plusieurs organes publics traitent conjointement des données, la ré- partition de leurs obligations relatives à la protection des données est réglée  dans la déclaration prévue à l'article 19.  Art.  18 Responsabilité – Sous-traitance 1 L'organe public qui fait traiter des données personnelles par un sous-traitant  demeure responsable de la protection des données. Il doit notamment donner  au sous-traitant les instructions nécessaires et veiller à ce que ce dernier n'uti- lise les données ou ne les communique que pour l'exécution du mandat. 2 Lorsque le ou la mandataire n'est pas soumis-e à la présente loi, l'organe pu- blic assure la protection des données par un contrat, à moins que d'autres dis- positions légales n'offrent une protection suffisante.  Art.  19 Déclaration des fichiers – Principe 1 Avant d'ouvrir un fichier, son responsable doit le déclarer à l'autorité de sur- veillance. 2 La déclaration contient les informations suivantes:  a) le nom et l'adresse du responsable du fichier;  b) la dénomination, la base légale et le but du fichier;  c) le cercle et le nombre approximatif des personnes concernées;  d) la liste des données qui seront enregistrées;  e) les participants au fichier et la répartition des responsabilités;  f) les destinataires réguliers de données.  En  outre,  lorsque  des  données  sensibles  sont  traitées,  la  déclaration  doit  contenir une justification de la nécessité de leur traitement, à moins que celle- ci ne résulte manifestement de la tâche à accomplir. 3 Le responsable du fichier adresse une copie de la déclaration aux collectivi- tés dont des organes participent au fichier.  Art.  20 Déclaration des fichiers – Exceptions 1 N'ont pas à être déclarés, s'ils ne contiennent pas de données sensibles:  a) les fichiers renfermant uniquement des informations accessibles au pu- blic;  b) les fichiers d'enregistrement de la correspondance;  c) les fichiers d'adresses;  d) les fichiers de fournisseurs et de clients;  9    Protection des données – L  17.1  e) les fichiers qui sont exclusivement des instruments de travail person- nels.  2 En outre, le Conseil d'Etat peut, après avoir pris l'avis de la Commission  cantonale de la transparence, de la protection des données et de la médiation,  prévoir des exceptions à l'obligation de déclarer pour d'autres catégories de  fichiers qui ne présentent manifestement pas de risques pour les droits des  personnes concernées.  Art.  21 Registre des fichiers 1 L'autorité de surveillance tient un registre qui contient l'ensemble des décla- rations de fichier. 2 Les communes qui n'ont pas leur propre autorité de surveillance conservent,  également sous la forme d'un registre, une copie des déclarations effectuées  au sujet de leurs fichiers et des fichiers auxquels elles participent. 3 Les registres sont publics et peuvent être consultés gratuitement.  Art.  22 Mesures organisationnelles et techniques 1 L'organe public qui traite des données personnelles doit prendre les mesures  d'organisation et les mesures techniques appropriées  contre tout traitement  non autorisé des données. 2 Le Conseil d'Etat détermine, après avoir pris l'avis de la Commission canto- nale de la transparence, de la protection des données et de la médiation, les  exigences minimales en la matière.  Art.  22a Procédure en cas de non-respect des prescriptions 1 En cas de violation ou de risque de violation des prescriptions sur la protec- tion des données, l'autorité de surveillance invite l'organe public concerné à  prendre, dans un délai déterminé, les mesures nécessaires pour remédier à la  situation. 2 Toutefois, lorsque l'organe concerné est une unité subordonnée, l'invitation  est directement adressée à l'organe hiérarchiquement supérieur. 3 Le destinataire de la recommandation adopte, dans le délai imparti par l'au- torité de surveillance, une décision sur la suite qu'il entend donner à la recom- mandation. La décision est communiquée à l'autorité de surveillance. L'ab- sence de décision est considérée comme une décision de rejet. 4 La décision de rejet, total ou partiel, de la recommandation est sujette à re- cours. Les dispositions du code de procédure et de juridiction administrative  sont  applicables  par  analogie.  Toutefois,  seule  l'autorité  de  surveillance  a  qualité pour recourir.  10    Protection des données – L  17.1  5 Lorsque la décision émane d'un organe pour lequel le code de procédure et  de juridiction administrative ne prévoit pas de voie de droit, le recours est   adressé au Tribunal cantonal.  4 Droits des personnes concernées  Art.  23 Droit d'accès – Principes 1 Toute personne peut demander au responsable d'un fichier si des données la  concernant y sont traitées. 2 Le  responsable  du  fichier  communique  au  requérant  ou  à  la  requérante  toutes les données le ou la concernant qui sont contenues dans le fichier. Sur  demande, il lui communique en outre les informations sur le fichier énumé- rées à l'article 19 al. 2. 3 L'organe public qui fait traiter des données par un tiers demeure tenu de  communiquer les données et de fournir les informations demandées.  Art.  24 Droit d'accès – Modalités 1 La personne qui fait valoir son droit d'accès doit justifier de son identité. 2 Les  renseignements  sont,  en  règle  générale,  fournis  par  écrit.  En accord  avec le responsable du fichier, la personne concernée peut également consul- ter ses données sur place. 3 Lorsqu'il s'agit de données sur la santé, la communication peut être faite par  un ou une médecin désigné-e par la personne concernée. Les dispositions de  la loi du 16 novembre 1999 sur la santé sont réservées. 4 La procédure est gratuite. Le Conseil d'Etat peut prévoir des exceptions.  Art.  25 Droit d'accès – Restrictions 1 Le responsable du fichier peut refuser, restreindre ou différer la communica- tion des renseignements si et dans la mesure où:  a) un intérêt  public  le  commande,  notamment  si  la  communication  des  renseignements  risque  de  compromettre  une  procédure  d'enquête  en  cours;  b) l'intérêt digne de protection d'un tiers l'exige. 2 La communication peut également être refusée lorsqu'elle concerne des do- cuments déposés  aux archives  cantonales  ou communales,  à moins que la  personne concernée ne fasse valoir un intérêt digne de protection. 3 Le responsable du fichier doit indiquer pour quel motif il refuse, restreint ou  diffère la communication des renseignements.  11    Protection des données – L  17.1  Art.  26 Droits en cas d'atteinte 1 La personne qui y a un intérêt légitime peut exiger de l'organe public qu'il:  a) s'abstienne de procéder à un traitement illicite;  b) supprime les effets d'un traitement illicite;  c) constate le caractère illicite du traitement. 2 Elle peut en particulier demander que l'organe public:  a) rectifie  les  données  la  concernant,  les  détruise  ou s'abstienne  de  les  communiquer à des tiers;  b) fasse  figurer  une mention appropriée  en regard  des  données  dont  ni  l'exactitude ni l'inexactitude ne peuvent être prouvées;  c) publie sa décision ou la communique à des tiers. 3 Les documents déposés aux archives cantonales ou communales ne peuvent  être ni rectifiés ni détruits. La personne concernée peut cependant demander  l'inscription d'une mention appropriée.  Art.  27 Procédure et voies de droit 1 Les décisions prises en application des articles 23 à 26 le sont selon les  prescriptions du code de procédure et de juridiction administrative. Elles sont  sujettes à recours conformément à ce code. 2 En outre, les dispositions suivantes sont applicables:  a) les organes publics communiquent également les décisions précitées à  l'autorité de surveillance;  b) l'autorité de surveillance a qualité pour recourir contre ces décisions.  Art.  28 Réparation du dommage et du tort moral 1 La personne qui subit un préjudice en raison d'une violation des dispositions  de la présente loi peut faire valoir des prétentions en dommages-intérêts et en  réparation du tort moral conformément à la loi sur la responsabilité civile des  collectivités publiques et de leurs agents. 2 Elle peut demander que le ou la juge ordonne la publication ou la communi- cation à des tiers de tout ou partie de son jugement.  5 Surveillance  Art.  29 En général 1 La surveillance de la protection des données est assurée par l'Autorité canto- nale de la transparence, de la protection des données et de la médiation.   12    Protection des données – L  17.1  2 Les communes peuvent instituer leur propre autorité de surveillance qui as- sume, sur le plan communal, les mêmes tâches que l'autorité cantonale. 3 L'autorité communale est indépendante dans l'exercice de ses attributions et  dispose des moyens nécessaires à l'accomplissement de ses tâches. A défaut,  la surveillance est exercée par l'autorité cantonale.  Art.  29a Autorité cantonale 1 L'Autorité cantonale de la transparence, de la protection des données et de la  médiation  comprend  une  commission,  un  ou  une  préposé-e  à  la  transpa- rence, un ou une préposé-e à la protection des données et un médiateur ou  une médiatrice cantonal-e. 2 Elle exerce les tâches qui lui incombent en vertu de la présente loi par l'in- termédiaire de la Commission cantonale et du ou de la préposé-e à la protec- tion des données. 3 Les tâches qu'elle exerce dans les domaines du droit d'accès aux documents  et de la médiation administrative sont régies par les législations y relatives.  Art.  30 Commission cantonale – Composition, organisation et fonction- nement  1 La Commission cantonale de la transparence, de la protection des données  et  de la  médiation est  formée d'un président ou d'une présidente et  de six  membres, élus par le Grand Conseil à la suite d'une proposition du Conseil  d'Etat. Son secrétariat  est assuré conjointement par le ou la préposé-e à la  protection des données et le ou la préposé-e à la transparence; pour les dos- siers en lien avec les activités de médiation, le secrétariat peut être assuré  par le médiateur ou la médiatrice cantonal-e. 2 Le président ou la présidente et les membres doivent posséder, dans leur en- semble, les connaissances nécessaires à l'accomplissement des tâches de la  Commission; celle-ci comprend en particulier un ou une professionnel-le de  la santé, un ou une spécialiste en informatique et au moins un ou une profes - sionnel-le des médias. 3 En cas de besoin, la Commission peut consulter des experts ou des expertes   et inviter des tierces personnes à assister à tout ou partie de ses séances et, le   cas échéant, à s'y exprimer avec voix consultative. 4 Pour le surplus, la Commission règle son organisation et son fonctionne- ment.  13    Protection des données – L  17.1  Art.  30a Commission cantonale – Attributions 1 La Commission exerce une surveillance générale dans le domaine de la pro- tection des données. Elle a notamment pour tâches:  a) d'assurer la coordination entre les exigences de la protection des don- nées et l'exercice du droit d'accès aux documents officiels;  abis) de diriger l'activité du ou de la préposé-e à la protection des données;  ater) de mener la procédure de nomination du ou de la préposé-e à la protec- tion des données pour le Conseil d'Etat et de préaviser à son intention la  ou les candidatures qu'elle privilégie;  b) de donner son avis sur les projets d'actes législatifs touchant à la protec- tion des données ainsi que dans les cas prévus par la loi;  c) de mettre en œuvre la procédure prévue à l'article 22a en cas de viola- tion ou de risque de violation des prescriptions sur la protection des  données;  d) d'interjeter les recours prévus à l'article 27 al. 2;  e) d'exercer  la  haute  surveillance  sur  les  autorités  communales  de  sur- veillance, dont elle reçoit le rapport d'activité.  2 La Commission adresse chaque année au Grand Conseil, par l'intermédiaire  du Conseil d'Etat, un rapport sur son activité ainsi que sur celle des deux pré- posé-e-s et du médiateur ou de la médiatrice cantonal-e. Elle peut, dans la  mesure où l'intérêt général le justifie, informer le public de ses constatations.  Art.  31 Préposé-e cantonal-e à la protection des données 1 Le ou la préposé-e cantonal-e à la protection des données est nommé-e par  le Conseil d'Etat, sur le préavis de la Commission. 2 Il ou elle a pour tâches:  a) de contrôler l'application de la législation relative à la protection des  données, notamment en procédant systématiquement à des vérifications  auprès des organes concernés;  b) de conseiller les organes concernés, notamment lors de l'étude de pro- jets de traitement;  c) de renseigner les personnes concernées sur leurs droits;  d) d'exécuter les travaux qui lui sont confiés par la Commission;  e) de faire rapport à la Commission sur son activité et ses constatations;  f) de collaborer avec le préposé fédéral à la protection des données et à la  transparence ainsi qu'avec les autorités de surveillance de la protection  des données des autres cantons et avec celles de l'étranger;  14    Protection des données – L  17.1  g) d'examiner l'adéquation du niveau de protection assuré à l'étranger, au  sens de l'article 12a al. 3.  3 Le ou la préposé-e recueille  les informations nécessaires  à l'accomplisse- ment de ses tâches. Il ou elle peut notamment demander des renseignements,  exiger la production de documents, procéder à des inspections et se faire pré- senter des traitements de données. Le secret de fonction ne peut lui être oppo- sé.  Art.  32 Dispositions communes 1 L'Autorité cantonale de la transparence, de la protection des données et de la  médiation est indépendante dans l'exercice de ses attributions. 2 Elle est rattachée administrativement à la Direction dont elle relève 2). 3 Elle  dispose  d'une  enveloppe  budgétaire  dont  le  montant  est  déterminé  chaque année à l'occasion de l'adoption du budget de l'Etat. 4 Les membres de l'Autorité cantonale  sont soumis au secret de fonction et à  l'obligation de discrétion. 5 Ils signalent, au moment de leur entrée en fonction et lors de chaque modifi- cation, les liens particuliers qui les rattachent à des intérêts privés ou publics. 6 Les articles 21 à 25 du code de procédure et de juridiction administrative  sont applicables à la récusation des membres de l'Autorité cantonale .  6 Dispositions transitoires et finales  Art.  33 Droit transitoire – Déclaration des fichiers existants 1 Les organes publics qui tiennent un fichier au moment de l'entrée en vigueur  de la présente loi disposent d'un délai d'une année pour procéder à la déclara- tion prévue à l'article 19.  Art.  34 Droit transitoire – Communes sans fichiers automatisés 1 Tant qu'une commune ne dispose d'aucun fichier automatisé, ses organes ne  sont pas soumis à l'obligation de déclarer leurs fichiers à l'autorité de sur- veillance.  Art.  34a Droit transitoire – Contrats d'externalisation 1 Pour autant que besoin, les contrats d'externalisation conclus avant l'entrée  en vigueur de la modification du 18 décembre 2020 de la présente loi sont  adaptés aux exigences des articles 12b et suivants lors de leur renouvelle- ment, mais au plus tard dans un délai de cinq ans.  2) Actuellement: Chancellerie d'Etat.  15    Protection des données – L  17.1  Art.  35 Modifications – Loi sur le contrôle des habitants 1 La loi du 23 mai 1986 sur le contrôle des habitants (RSF 114.21.1) est mo- difiée comme il suit:  ...  Art.  36 Modifications – Loi sur le statut du personnel de l'Etat 1 La loi du 22 mai 1975 sur le statut du personnel de l'Etat (RSF 122.70.1) est  modifiée comme il suit:  ...  Art.  37 Modifications – Loi sur les communes 1 La loi du 25 septembre 1980 sur les communes (RSF 140.1) est modifiée  comme il suit:  ...  Art.  38 Modifications – Loi concernant les rapports entre les Eglises et  l'Etat  1 La loi du 26 septembre 1990 concernant  les rapports entre les Eglises et  l'Etat (RSF 190.1) est modifiée comme il suit:  ...  Art.  39 Modifications – Loi sur la police cantonale 1 La loi du 15 novembre 1990 sur la police cantonale (RSF 551.1) est modi- fiée comme il suit:  ...  Art.  40 Modifications – Loi sur les impôts communaux et paroissiaux 1 La  loi  du  10  mai  1963 sur  les  impôts  communaux  et  paroissiaux  (RSF  632.1) est modifiée comme il suit:  ...  Art.  41 Entrée en vigueur 1 Le Conseil d'Etat est chargé de l'exécution de la présente loi, dont il fixe la  date de l'entrée en vigueur. 3)  3) Date d'entrée en vigueur: 1er juillet 1995 (ACE 21.03.1995).  16    Protection des données – L  17.1  Tableau des modifications – Par date d'adoption  Adoption Elément touché Type de  modification  Entrée en  vigueur  Source (ROF depuis 2002)  25.11.1994 Acte acte de base 01.07.1995 BL/AGS 1994 f 599 / d 604 16.11.1999 Art. 24 modifié 01.01.2001 BL/AGS 1999 f 430 / d 439 14.11.2002 Art. 32 modifié 01.01.2003 2002_120 08.05.2008 Art. 10 modifié 01.12.2008 2008_053 08.05.2008 Art. 12a introduit 01.12.2008 2008_053 08.05.2008 Art. 18 modifié 01.12.2008 2008_053 08.05.2008 Art. 22a introduit 01.12.2008 2008_053 08.05.2008 Art. 23 modifié 01.12.2008 2008_053 08.05.2008 Art. 24 modifié 01.12.2008 2008_053 08.05.2008 Art. 27 modifié 01.12.2008 2008_053 08.05.2008 Art. 28 modifié 01.12.2008 2008_053 08.05.2008 Art. 29 modifié 01.12.2008 2008_053 08.05.2008 Art. 30 modifié 01.12.2008 2008_053 08.05.2008 Art. 30a introduit 01.12.2008 2008_053 08.05.2008 Art. 31 modifié 01.12.2008 2008_053 08.05.2008 Art. 32 modifié 01.12.2008 2008_053 09.09.2009 Art. 12 modifié 01.01.2011 2009_096 09.09.2009 Art. 29 modifié 01.01.2011 2009_096 09.09.2009 Art. 29a introduit 01.01.2011 2009_096 09.09.2009 Art. 30 modifié 01.01.2011 2009_096 09.09.2009 Art. 30a modifié 01.01.2011 2009_096 09.09.2009 Art. 31 modifié 01.01.2011 2009_096 09.09.2009 Art. 32 modifié 01.01.2011 2009_096 07.12.2010 Art. 13a introduit 01.01.2012 2010_149 17.06.2011 Art. 20 modifié 01.01.2011 2009_096a 17.06.2011 Art. 22 modifié 01.01.2011 2009_096a 17.06.2011 Art. 30 modifié 01.01.2011 2009_096a 05.10.2016 Art. 30 modifié 01.01.2017 2016_125 18.12.2020 Art. 3 al. 1, d) modifié 01.03.2021 2020_195 18.12.2020 Art. 3 al. 1, e1) introduit 01.03.2021 2020_195 18.12.2020 Art. 3 al. 1, i) introduit 01.03.2021 2020_195 18.12.2020 Art. 12b introduit 01.03.2021 2020_195 18.12.2020 Art. 12c introduit 01.03.2021 2020_195 18.12.2020 Art. 12d introduit 01.03.2021 2020_195 18.12.2020 Art. 12e introduit 01.03.2021 2020_195 18.12.2020 Art. 12f introduit 01.03.2021 2020_195 18.12.2020 Art. 18 titre modifié 01.03.2021 2020_195 18.12.2020 Art. 18 al. 1 modifié 01.03.2021 2020_195 18.12.2020 Art. 34a introduit 01.03.2021 2020_195  Tableau des modifications – Par article  Elément touché Type de  modification  Adoption Entrée en  vigueur  Source (ROF depuis 2002)  Acte acte de base 25.11.1994 01.07.1995 BL/AGS 1994 f 599 / d 604 Art. 3 al. 1, d) modifié 18.12.2020 01.03.2021 2020_195  17    Protection des données – L  17.1  Elément touché Type de  modification  Adoption Entrée en  vigueur  Source (ROF depuis 2002)  Art. 3 al. 1, e1) introduit 18.12.2020 01.03.2021 2020_195 Art. 3 al. 1, i) introduit 18.12.2020 01.03.2021 2020_195 Art. 10 modifié 08.05.2008 01.12.2008 2008_053 Art. 12 modifié 09.09.2009 01.01.2011 2009_096 Art. 12a introduit 08.05.2008 01.12.2008 2008_053 Art. 12b introduit 18.12.2020 01.03.2021 2020_195 Art. 12c introduit 18.12.2020 01.03.2021 2020_195 Art. 12d introduit 18.12.2020 01.03.2021 2020_195 Art. 12e introduit 18.12.2020 01.03.2021 2020_195 Art. 12f introduit 18.12.2020 01.03.2021 2020_195 Art. 13a introduit 07.12.2010 01.01.2012 2010_149 Art. 18 modifié 08.05.2008 01.12.2008 2008_053 Art. 18 titre modifié 18.12.2020 01.03.2021 2020_195 Art. 18 al. 1 modifié 18.12.2020 01.03.2021 2020_195 Art. 20 modifié 17.06.2011 01.01.2011 2009_096a Art. 22 modifié 17.06.2011 01.01.2011 2009_096a Art. 22a introduit 08.05.2008 01.12.2008 2008_053 Art. 23 modifié 08.05.2008 01.12.2008 2008_053 Art. 24 modifié 16.11.1999 01.01.2001 BL/AGS 1999 f 430 / d 439 Art. 24 modifié 08.05.2008 01.12.2008 2008_053 Art. 27 modifié 08.05.2008 01.12.2008 2008_053 Art. 28 modifié 08.05.2008 01.12.2008 2008_053 Art. 29 modifié 08.05.2008 01.12.2008 2008_053 Art. 29 modifié 09.09.2009 01.01.2011 2009_096 Art. 29a introduit 09.09.2009 01.01.2011 2009_096 Art. 30 modifié 08.05.2008 01.12.2008 2008_053 Art. 30 modifié 09.09.2009 01.01.2011 2009_096 Art. 30 modifié 17.06.2011 01.01.2011 2009_096a Art. 30 modifié 05.10.2016 01.01.2017 2016_125 Art. 30a introduit 08.05.2008 01.12.2008 2008_053 Art. 30a modifié 09.09.2009 01.01.2011 2009_096 Art. 31 modifié 08.05.2008 01.12.2008 2008_053 Art. 31 modifié 09.09.2009 01.01.2011 2009_096 Art. 32 modifié 14.11.2002 01.01.2003 2002_120 Art. 32 modifié 08.05.2008 01.12.2008 2008_053 Art. 32 modifié 09.09.2009 01.01.2011 2009_096 Art. 34a introduit 18.12.2020 01.03.2021 2020_195  18   	1 Dispositions générales 	Art. 1 But 	Art. 2 Champ d'application 	Art. 3 Définitions  	2 Principes régissant le traitement de données personnelles 	2.1 Conditions générales de licéité du traitement 	Art. 4 Base légale 	Art. 5 Finalité 	Art. 6 Proportionnalité 	Art. 7 Exactitude 	Art. 8 Devoir de diligence accru  	2.2 Conditions supplémentaires applicables à certaines formes de traitement 	Art. 9 Collecte 	Art. 10 Communication ordinaire – Conditions 	Art. 11 Communication ordinaire – Restrictions 	Art. 12 Communication ordinaire – Réserve 	Art. 12a Communication transfrontière 	Art. 12b Externalisation – Principes 	Art. 12c Externalisation – Responsabilités 	Art. 12d Externalisation – Mesures de sécurité 	Art. 12e Externalisation – Mesures relatives aux données sensibles 	Art. 12f Essais pilotes 	Art. 13 Destruction 	Art. 13a Vidéosurveillance  	2.3 Traitement de données à des fins ne se rapportant pas à des personnes 	Art. 14 Collecte auprès d'un organe public 	Art. 15 Licéité du traitement 	Art. 16 Conditions particulières   	3 Mise en œuvre de la protection des données 	Art. 17 Responsabilité – En général 	Art. 18 Responsabilité – Sous-traitance 	Art. 19 Déclaration des fichiers – Principe 	Art. 20 Déclaration des fichiers – Exceptions 	Art. 21 Registre des fichiers 	Art. 22 Mesures organisationnelles et techniques 	Art. 22a Procédure en cas de non-respect des prescriptions  	4 Droits des personnes concernées 	Art. 23 Droit d'accès – Principes 	Art. 24 Droit d'accès – Modalités 	Art. 25 Droit d'accès – Restrictions 	Art. 26 Droits en cas d'atteinte 	Art. 27 Procédure et voies de droit 	Art. 28 Réparation du dommage et du tort moral  	5 Surveillance 	Art. 29 En général 	Art. 29a Autorité cantonale 	Art. 30 Commission cantonale – Composition, organisation et fonctionnement 	Art. 30a Commission cantonale – Attributions 	Art. 31 Préposé-e cantonal-e à la protection des données 	Art. 32 Dispositions communes  	6 Dispositions transitoires et finales 	Art. 33 Droit transitoire – Déclaration des fichiers existants 	Art. 34 Droit transitoire – Communes sans fichiers automatisés 	Art. 34a Droit transitoire – Contrats d'externalisation 	Art. 35 Modifications – Loi sur le contrôle des habitants 	Art. 36 Modifications – Loi sur le statut du personnel de l'Etat 	Art. 37 Modifications – Loi sur les communes 	Art. 38 Modifications – Loi concernant les rapports entre les Eglises et l'Etat 	Art. 39 Modifications – Loi sur la police cantonale 	Art. 40 Modifications – Loi sur les impôts communaux et paroissiaux 	Art. 41 Entrée en vigueur   		2021-12-17T09:04:19+0100 	"1701 Freiburg" 	"Gesetzessammlung des Kantons Freiburg"


type: legislation

jurisdiction: Switzerland

text: 17.15 - Règlement sur la sécurité des données personnelles (RSD)    17.15  Règlement sur la sécurité des données personnelles (RSD)  du 29.06.1999 (version entrée en vigueur le 01.07.2019)  Le Conseil d'Etat du canton de Fribourg  Vu l'article 22 de la loi du 25 novembre 1994 sur la protection des données   (LPrD);  Vu les avis de la Commission cantonale de la protection des données et de la  Commission informatique de l'Etat;  Sur la proposition de la Direction de la justice, de la police et des affaires mi- litaires,  Arrête:  1 Dispositions générales  Art.  1 Objet et champ d'application 1 Le présent règlement fixe les principes généraux et les exigences minimales  en matière de sécurité des données personnelles. 2 Il s'applique à tout traitement de données personnelles soumis à la loi sur la  protection des données (LPrD). 3 Les dispositions spéciales fédérales ou cantonales relatives à la sécurité de  certaines applications sont réservées.  Art.  2 Définitions 1 Au sens du présent règlement, on entend par:  a) sécurité informatique: le domaine de l'informatique visant à assurer la  protection physique des sites de traitement de l'information et des infra- structures de télécommunications, l'intégrité des logiciels de base et des  logiciels d'application, ainsi que l'intégrité, la disponibilité et la confi- dentialité  des  informations,  que  celles-ci  soient  stockées  ou  qu'elles  soient en transit sur les réseaux;  b) journalisation: l'enregistrement, à des fins de contrôle ou de reconstitu- tion, de tout ou partie des activités effectuées sur un système ou sur une  application informatiques;  1    Sécurité des données personnelles – R  17.15  c) procédure d'appel: le mode de communication automatisé des données  par lequel les destinataires, en vertu d'une autorisation du responsable  du fichier, décident de leur propre chef, sans contrôle préalable, du mo- ment et de l'étendue de la communication.  2 Pour le reste, les définitions figurant à l'article 3 LPrD s'appliquent.  2 Règles applicables à toute forme de traitement des données  Art.  3 Principes généraux 1 Les données personnelles doivent être protégées contre toute atteinte à leur  confidentialité et contre tout traitement non autorisé. 2 La protection doit être assurée lors de chaque phase du traitement des don- nées, de la collecte à la destruction; elle doit être assurée à l'égard de toute  personne, à l'intérieur comme à l'extérieur de l'administration. 3 La protection doit être harmonisée avec les mesures visant à assurer la sécu- rité des documents de l'administration en général, ainsi qu'avec les mesures  prises à titre de sécurité informatique.  Art.  4 Responsabilité – De l'organe public 1 L'organe public qui traite des données personnelles est responsable de leur  sécurité. 2 Après avoir procédé à une évaluation des risques encourus par les données  traitées dans l'accomplissement de ses tâches (art. 8 et 9), il prescrit les me- sures propres à assurer leur sécurité (art. 10 et 11). 3 Il vérifie régulièrement l'application, par les utilisateurs et utilisatrices, des  mesures prescrites.  Art.  5 Responsabilité – Des utilisateurs et utilisatrices 1 Les collaborateurs et collaboratrices qui traitent des données personnelles  sont responsables de l'application des mesures prescrites par l'organe dont ils  relèvent. 2 Lorsque les utilisateurs et utilisatrices sont des mandataires non soumis aux  dispositions du présent règlement, leurs responsabilités en matière de sécurité  sont définies dans le contrat mentionné à l'article 18 al. 2 LPrD.  2    Sécurité des données personnelles – R  17.15  Art.  6 Responsabilité – En cas de traitement conjoint 1 Lorsque plusieurs organes publics traitent conjointement des données, la ré- partition des responsabilités en matière de sécurité entre le responsable du fi- chier et les participants au fichier doit figurer dans la déclaration du fichier   (art. 19 al. 2 let. e LPrD).  Art.  7 Responsabilité – Réserve 1 Les responsabilités particulières en matière de sécurité informatique du Ser- vice de l'informatique et des télécommunications (ci-après: le SITel) ou du  service informatique compétent sont réservées.  Art.  8 Evaluation des risques – En général 1 L'organe public évalue, pour chaque fichier, les risques d'atteinte à la confi- dentialité des données et les risques de traitement non autorisé; suivant les  besoins, il évalue également les risques d'atteinte à l'intégrité et à la disponi- bilité des données. 2 Constituent notamment de tels risques:  a) les risques de falsification, de vol ou d'utilisation illicite;  b) les risques de modification, de copie ou d'accès non autorisés;  c) les risques de perte accidentelle et d'erreurs techniques.  Art.  9 Evaluation des risques – Attribution d'un degré de confidentialité 1 L'organe public attribue à chaque fichier un degré de confidentialité, selon  l'échelle suivante:  a) 1er degré: accessible au public;  b) 2e degré: à usage interne;  c) 3e degré: confidentiel ou secret. 2 Il se fonde sur la nature des données personnelles traitées, sur le but, l'éten- due et les formes du traitement, ainsi que sur les préjudices qu'un usage abu- sif des données peut causer aux personnes concernées. 3 Au besoin, l'attribution d'un degré de confidentialité peut également porter  sur des données ou des catégories de données spécifiques.  Art.  10 Définition des mesures – Autorisations d'accès 1 L'organe public détermine, en fonction des tâches qu'elles sont appelées à  exécuter, les personnes autorisées à accéder aux fichiers ainsi que l'étendue  de leurs accès.  3    Sécurité des données personnelles – R  17.15  2 L'autorisation d'accès peut également, notamment lors d'un traitement infor- matisé des données, porter sur des données ou des catégories de données spé- cifiques.  Art.  11 Définition des mesures – Mesures organisationnelles et tech- niques  1 L'organe public définit, en fonction de l'étendue des risques et du degré de  confidentialité des données, les mesures organisationnelles et techniques ap- propriées; ces mesures peuvent porter aussi bien sur les personnes et les lo- caux que sur le matériel et la sécurité informatique. 2 Les mesures doivent être proportionnées aux circonstances, techniquement  adaptées, économiquement supportables et applicables en pratique.  Art.  12 Réévaluation périodique 1 L'organe public réévalue périodiquement les risques et le choix des mesures,  notamment en fonction des possibilités techniques nouvelles.  Art.  13 Archivage et destruction 1 La sécurité  des  données personnelles  figurant  dans les archives  intermé- diaires doit être assurée. 2 Les documents et autres supports de données personnelles qui ne sont pas  destinés à être versés aux archives sont détruits de façon appropriée. Toute  possibilité de reconstitution des données classées confidentielles ou secrètes  doit être écartée.  3 Règles particulières relatives au traitement informatisé de données  Art.  14 Respect de la sécurité informatique 1 Les systèmes, applications et réseaux informatiques servant au traitement de  données personnelles doivent répondre aux exigences standard de la sécurité  informatique. 2 Ces exigences sont fixées dans la politique de sécurité des systèmes d'infor- mation prévue par les dispositions sur la gestion de l'informatique de l'Etat. 3 La politique de sécurité des systèmes d'information est mise à la disposition  des communes. Elle a force obligatoire pour tous les systèmes communaux  qui sont reliés au réseau de l'administration cantonale.  4    Sécurité des données personnelles – R  17.15  Art.  15 Assistance et conseil 1 Lors d'un traitement informatisé de données, le SITel conseille et assiste les  services et établissements de l'administration cantonale pour toute question  relative à la sécurité des données personnelles. Les compétences particulières  de l'Université et des hautes écoles appartenant à la Haute Ecole spécialisée  de Suisse occidentale en matière informatique sont réservées. 2 Pour tout ce qui concerne la mise en œuvre de la politique de sécurité des  systèmes  d'information,  les  communes  peuvent  également  bénéficier  des  conseils et de l'assistance du SITel. Celui-ci peut facturer les frais y relatifs. 3 Le SITel, l'Université et les hautes écoles appartenant à la Haute Ecole spé- cialisée de Suisse occidentale collaborent dans ce domaine avec l'Autorité  cantonale de la transparence et de la protection des données.  Art.  16 Applications et fichiers – Conception 1 Les  exigences  liées  à  la  sécurité  des  données  personnelles  doivent  être  prises en considération dès la conception des applications et des fichiers. 2 Les coûts y relatifs doivent être intégrés dans la planification financière des  applications.  Art.  17 Applications et fichiers – Authentification et contrôle des accès 1 L'accès  aux  systèmes  informatiques  permettant  le  traitement  de  données  personnelles doit être protégé par un dispositif comprenant:  a) une procédure  d'authentification comprenant  au moins l'identification  des utilisateurs et utilisatrices et l'introduction d'un mot de passe;  b) un système de contrôle des accès, fondé sur une définition d'autorisa- tions individuelles d'accès.  2 L'accès aux applications et/ou aux fichiers doit également être protégé par  un tel dispositif:  a) lorsque des données classées confidentielles ou secrètes sont traitées;  b) ou que l'autorité cantonale ou communale de surveillance en matière de  protection des données le demande.  3 Les responsables du système, de l'application ou des fichiers définissent les  autorisations individuelles d'accès en fonction des tâches que les utilisateurs  et utilisatrices sont appelés à exécuter. Ils désignent un organe chargé de l'ad- ministration des accès, qui gère les autorisations d'accès et règle les modalités  de la procédure d'authentification sous leur responsabilité.  5    Sécurité des données personnelles – R  17.15  Art.  18 Applications et fichiers – Journalisation 1 Lorsque les mesures préventives ne suffisent pas à garantir la sécurité des  données personnelles, le traitement des données doit faire l'objet d'une procé- dure de journalisation.  Art.  19 Applications et fichiers – Exercice par les personnes concernées  de leurs droits  1 Les applications et fichiers doivent permettre aux personnes d'exercer leur  droit d'accès aux données les concernant (art. 23 à 25 LPrD), ainsi que leurs  droits en cas de traitement illicite (droit à la rectification ou à la destruction  des données ou droit à l'inscription d'une mention appropriée, art. 26 LPrD).  Art.  20 Réseaux et communications – Données confidentielles ou se- crètes  1 Les données personnelles classées confidentielles ou secrètes doivent être  protégées par cryptage ou par d'autres mesures appropriées lors de leur trans- mission et de leur stockage. 2 S'il est impossible de ramener à un niveau raisonnable les risques posés par  le réseau principal, le trafic des données doit être isolé de ce dernier par la  création d'un réseau virtuel ou par une autre mesure adéquate.  Art.  21 Réseaux et communications – Procédure d'appel 1 Lors de la mise en place d'une procédure d'appel, les autorisations indivi- duelles d'accès sont définies par le responsable du fichier, en accord avec les  destinataires des données. 2 Le responsable du fichier veille à ce que les destinataires ne puissent pas  modifier les données ni en entrer de nouvelles et qu'ils n'aient accès qu'aux  données correspondant aux autorisations d'accès. 3 La procédure d'appel doit être documentée dans un règlement d'utilisation,  qui précise notamment les personnes autorisées à accéder aux données, les  données mises à leur disposition, la fréquence des interrogations, la procé- dure d'authentification, les autres mesures de sécurité ainsi que les mesures  de contrôle. Une copie du règlement est transmise à l'autorité cantonale ou  communale de surveillance en matière de protection des données.  Art.  22 Réseaux et communications – Internet et Intranet 1 Les dispositions de la présente section s'appliquent aussi au traitement de  données effectué sur un réseau de type Internet ou Intranet.  6    Sécurité des données personnelles – R  17.15  2 En accord avec l'Autorité cantonale de la transparence et de la protection  des données, le SITel et l'Université veillent à fournir aux utilisateurs et utili- satrices qui sont raccordés à ce type de réseau une information générale sur  les risques qui y sont liés, notamment en ce qui concerne la messagerie élec- tronique; cette information est également adressée aux communes.  Art.  23 Appareils périphériques et maintenance 1 Des  mesures  spéciales  doivent  être  prises  pour  éviter  toute  atteinte à  la  confidentialité et tout traitement non autorisé lors de la sortie des données sur  des appareils périphériques ainsi que lors des opérations de maintenance.  Art.  24 Procédures de journalisation 1 Lorsqu'un système ou une application informatique est doté d'une procédure  de journalisation des événements, les fichiers de journalisation sont soumis  aux règles de la protection des données, notamment en ce qui concerne la dé- claration mentionnée à l'article 19 LPrD. 2 La conservation, l'exploitation et la destruction des fichiers de journalisation  font l'objet d'instructions dans le concept de sécurité informatique prévu par  les dispositions sur la gestion de l'informatique de l'Etat.  4 Surveillance  Art.  25 Contrôle hiérarchique 1 L'autorité supérieure contrôle l'application, par les organes publics qui lui  sont subordonnés, des dispositions du présent règlement.  Art.  26 Contrôle par l'autorité de surveillance 1 L'autorité cantonale ou communale de surveillance en matière de protection  des données exerce la surveillance externe conformément aux articles 29 et  suivants LPrD. 2 L'organe public contrôlé collabore avec l'autorité de surveillance et lui four- nit  tous  les  renseignements  nécessaires,  notamment  ceux  qui  concernent  l'évaluation des risques, la détermination des autorisations d'accès, la défini- tion des mesures organisationnelles et techniques ainsi que les vérifications  effectuées.  Art.  27 Compétences du SITel 1 Les compétences en matière de contrôle de la sécurité informatique du SI- Tel ou, le cas échéant, du service informatique compétent sont réservées.  7    Sécurité des données personnelles – R  17.15  2 Lorsque les contrôles effectués mettent au jour des lacunes dans la sécurité  des données personnelles, le SITel ou le service informatique compétent en  avise le ou la supérieur-e hiérarchique de l'organe public concerné ainsi que  l'autorité cantonale ou communale de surveillance en matière de protection  des données.  Art.  28 Constatations fortuites 1 Les collaborateurs et collaboratrices qui, dans l'accomplissement de leurs  tâches, constatent des lacunes dans la sécurité des données personnelles d'un  autre organe public que celui dont ils relèvent en informent leur chef-fe de  service, qui avise l'organe responsable des données.  5 Dispositions transitoires et finales  Art.  29 Droit transitoire 1 Les  communes  qui  sont  dotées  d'équipements  et  d'applications  informa- tiques anciens et difficilement adaptables aux exigences de la sécurité infor- matique peuvent, jusqu'au remplacement de ces équipements et applications,  se contenter de mesures d'ordre physique pour assurer la sécurité des données  personnelles lors de traitements informatisés.  Art.  30 Modification 1 L'arrêté du 22 décembre 1987 concernant la gestion de l'informatique dans  l'administration cantonale, l'enseignement et les établissements de l'Etat (RSF  122.96.11) est modifié comme il suit:  ...  Art.  31 Entrée en vigueur et publication 1 Le présent règlement entre en vigueur le 1er janvier 2000. 2 Il est publié dans la Feuille officielle, inséré dans le Bulletin des lois et im- primé en livrets.  8    Sécurité des données personnelles – R  17.15  Tableau des modifications – Par date d'adoption  Adoption Elément touché Type de  modification  Entrée en  vigueur  Source (ROF depuis 2002)  29.06.1999 Acte acte de base 01.01.2000 BL/AGS 1999 f 216 / d 219 14.11.2002 Art. 7 modifié 01.01.2003 2002_120 14.11.2002 Art. 15 modifié 01.01.2003 2002_120 14.11.2002 Art. 22 modifié 01.01.2003 2002_120 14.11.2002 Art. 27 modifié 01.01.2003 2002_120 03.12.2002 Art. 15 modifié 01.01.2003 2002_132 03.12.2002 Art. 22 modifié 01.01.2003 2002_132 14.12.2010 Art. 15 modifié 01.01.2011 2010_144 14.12.2010 Art. 22 modifié 01.01.2011 2010_144 03.11.2015 Art. 14 modifié 03.11.2015 2015_111 03.11.2015 Art. 15 modifié 03.11.2015 2015_111 04.06.2019 Art. 13 titre modifié 01.07.2019 2019_043 04.06.2019 Art. 13 al. 1 modifié 01.07.2019 2019_043  Tableau des modifications – Par article  Elément touché Type de  modification  Adoption Entrée en  vigueur  Source (ROF depuis 2002)  Acte acte de base 29.06.1999 01.01.2000 BL/AGS 1999 f 216 / d 219 Art. 7 modifié 14.11.2002 01.01.2003 2002_120 Art. 13 titre modifié 04.06.2019 01.07.2019 2019_043 Art. 13 al. 1 modifié 04.06.2019 01.07.2019 2019_043 Art. 14 modifié 03.11.2015 03.11.2015 2015_111 Art. 15 modifié 14.11.2002 01.01.2003 2002_120 Art. 15 modifié 03.12.2002 01.01.2003 2002_132 Art. 15 modifié 14.12.2010 01.01.2011 2010_144 Art. 15 modifié 03.11.2015 03.11.2015 2015_111 Art. 22 modifié 14.11.2002 01.01.2003 2002_120 Art. 22 modifié 03.12.2002 01.01.2003 2002_132 Art. 22 modifié 14.12.2010 01.01.2011 2010_144 Art. 27 modifié 14.11.2002 01.01.2003 2002_120  9   	1 Dispositions générales 	Art. 1 Objet et champ d'application 	Art. 2 Définitions  	2 Règles applicables à toute forme de traitement des données 	Art. 3 Principes généraux 	Art. 4 Responsabilité – De l'organe public 	Art. 5 Responsabilité – Des utilisateurs et utilisatrices 	Art. 6 Responsabilité – En cas de traitement conjoint 	Art. 7 Responsabilité – Réserve 	Art. 8 Evaluation des risques – En général 	Art. 9 Evaluation des risques – Attribution d'un degré de confidentialité 	Art. 10 Définition des mesures – Autorisations d'accès 	Art. 11 Définition des mesures – Mesures organisationnelles et techniques 	Art. 12 Réévaluation périodique 	Art. 13 Archivage et destruction  	3 Règles particulières relatives au traitement informatisé de données 	Art. 14 Respect de la sécurité informatique 	Art. 15 Assistance et conseil 	Art. 16 Applications et fichiers – Conception 	Art. 17 Applications et fichiers – Authentification et contrôle des accès 	Art. 18 Applications et fichiers – Journalisation 	Art. 19 Applications et fichiers – Exercice par les personnes concernées de leurs droits 	Art. 20 Réseaux et communications – Données confidentielles ou secrètes 	Art. 21 Réseaux et communications – Procédure d'appel 	Art. 22 Réseaux et communications – Internet et Intranet 	Art. 23 Appareils périphériques et maintenance 	Art. 24 Procédures de journalisation  	4 Surveillance 	Art. 25 Contrôle hiérarchique 	Art. 26 Contrôle par l'autorité de surveillance 	Art. 27 Compétences du SITel 	Art. 28 Constatations fortuites  	5 Dispositions transitoires et finales 	Art. 29 Droit transitoire 	Art. 30 Modification 	Art. 31 Entrée en vigueur et publication   		2019-06-14T07:52:54+0200 	"1701 Freiburg" 	"Gesetzessammlung des Kantons Freiburg"


text:
Vidéosurveillance -L

  17.3

  Loi sur la vidéosurveillance

  (LVid)

  du 07.12.2010 (version entrée en vigueur le 01.01.2012)

  Le Grand Conseil du canton de Fribourg

    Vu les articles 12, 24 et 38 de la Constitution du canton de Fribourg du 16 mai 2004;

    Vu le message du Conseil d'Etat du 6 juillet 2010;

    Sur la proposition de cette autorité,

  Décrète:

Art. 1

But et objet

1

La présente loi vise à protéger les droits fondamentaux des personnes soumises à une vidéosurveillance dans les lieux publics, en particulier sous l'angle de la protection des données personnelles.

2

Elle fixe les conditions et les modalités particulières de cette surveillance; pour le surplus, celle-ci est soumise à la législation sur la protection des données.

3

Par vidéosurveillance, on entend toute observation de personnes ou de biens effectuée au moyen de dispositifs techniques dans un but de surveillance.

Art. 2

Champ d'application

1

La présente loi s'applique aux installations de vidéosurveillance portant en tout ou en partie sur des lieux publics.

2

Sont des lieux publics, au sens de la présente loi, les immeubles et les biens ouverts au public qui:

      a)

      appartiennent au domaine public cantonal ou communal au sens de la législation cantonale y relative, ou

      b)

      n'appartiennent pas au domaine public mais sont néanmoins affectés à l'administration publique.

3

La présente loi ne s'applique pas:

      a)

      à la vidéosurveillance ordonnée par un ou une juge ou par la Police cantonale;

      b)

      à la vidéosurveillance pratiquée par les gardes-faune dans l'exercice de leurs tâches de surveillance de la faune et de la flore ainsi que de la chasse et de la pêche.

Art. 3

Principes

1

Des systèmes de vidéosurveillance peuvent être installés et exploités dans les lieux publics afin de prévenir les atteintes aux personnes et aux biens et de contribuer à la poursuite et à la répression des infractions.

2

Les systèmes de vidéosurveillance sans enregistrement doivent, avant leur mise en service, être annoncés au préfet ainsi qu'au ou à la préposé-e à la protection des données.

3

Les systèmes de vidéosurveillance avec enregistrement sont soumis à des exigences particulières, conformément aux dispositions qui suivent.

Art. 4

Vidéosurveillance avec enregistrement – Exigences générales

1

Les systèmes de vidéosurveillance avec enregistrement sont soumis aux exigences générales suivantes:

      a)

      la surveillance envisagée paraît apte et nécessaire à atteindre le but visé, et l'usage d'un système de vidéosurveillance est proportionné à ce but;

      b)

      le système doit être signalé à ses abords de manière adéquate;

      c)

      les données enregistrées ne peuvent être utilisées que dans le respect du principe de finalité;

      d)

      les données enregistrées doivent faire l'objet de mesures de sécurité visant à éviter tout traitement non autorisé;

      e)

      à moins qu'elles ne soient conservées dans le cadre d'une procédure, les données enregistrées doivent être détruites après trente jours ou, en cas d'atteinte aux personnes ou aux biens, après cent jours au maximum.

2

Le système de vidéosurveillance doit être documenté dans un règlement d'utilisation qui expose les éléments techniques de l'installation et détaille les mesures prises afin de répondre aux exigences générales.

Art. 5

Vidéosurveillance avec enregistrement – Autorisation

1

L'installation d'un système de vidéosurveillance avec enregistrement doit en outre faire l'objet d'une autorisation dont l'octroi est subordonné aux conditions suivantes:

      a)

      le respect des exigences de proportionnalité fixées à l'article 4 al. 1 let. a paraît établi;

      b)

      les mesures énoncées dans le règlement d'utilisation paraissent suffisantes pour assurer le respect des exigences générales et la protection des données.

2

Le préfet est l'autorité compétente pour délivrer l'autorisation; il statue après avoir pris le préavis de l'Autorité cantonale de la transparence, de la protection des données et de la médiation et, le cas échéant, de la commune sur le territoire de laquelle l'installation est envisagée. Les organes de préavis reçoivent une copie de la décision.

3

Lorsque la demande d'autorisation émane d'un organe public, elle doit, le cas échéant, avoir été préalablement approuvée par la Direction du Conseil d'Etat dont dépend ou à laquelle est rattaché cet organe ou dont relève l'activité exercée dans les lieux placés sous vidéosurveillance. La Direction concernée reçoit une copie de la décision.

4

Le Conseil d'Etat précise la procédure d'autorisation et fixe le tarif des émoluments applicables à cette procédure. Pour le surplus, les dispositions du code de procédure et de juridiction administrative sont applicables.

Art. 6

Vidéosurveillance avec enregistrement – Contrôle

1

Le préfet exerce un contrôle général sur les systèmes de vidéosurveillance soumis à autorisation.

2

Il doit être informé de toute modification de ces systèmes et vérifie, à cette occasion, si un réexamen de l'autorisation est nécessaire.

3

Il peut retirer l'autorisation lorsque les conditions de son octroi ne sont plus remplies ou que les exigences posées à l'article 4 ne sont pas respectées.

4

Les autorités de préavis visées à l'article 5 al. 2 ainsi que la Direction du Conseil d'Etat dont l'approbation préalable est requise en vertu de l'article 5 al. 3 sont informées des contrôles et réexamens entrepris ainsi que de leurs résultats.

Art. 7

Vidéosurveillance sans enregistrement

1

Les organes publics et les personnes privées qui veulent mettre en place une vidéosurveillance d'observation sans enregistrement doivent en informer au préalable le préfet et le ou la préposé-e à la protection des données. Les organes publics informent simultanément la Direction du Conseil d'Etat dont ils dépendent ou à laquelle ils sont rattachés ou dont relève l'activité exercée dans les lieux placés sous vidéosurveillance.

2

L'article 4 al. 1 let. b s'applique également à la vidéosurveillance sans enregistrement.

Art. 8

Dispositions pénales

1

Sont punissables de l'amende les personnes privées qui:

      a)

      mettent en place, sans autorisation, une vidéosurveillance avec enregistrement portant en tout ou en partie sur le domaine public;

      b)

      ne respectent pas les conditions ou les charges de l'autorisation;

      c)

      violent les dispositions de l'article 5 ou de l'article 7.

2

La poursuite et le jugement des infractions ont lieu conformément à la loi sur la justice.

Art. 9

Modifications – Loi sur les communes

1

La loi du 25 septembre 1980 sur les communes (RSF 140.1) est modifiée comme il suit:

...

Art. 10

Modifications – Loi sur la protection des données

1

La loi du 25 novembre 1994 sur la protection des données (LPrD) (RSF 17.1) est modifiée comme il suit:

...

Art. 11

Droit transitoire

1

Les réglementations communales relatives à la vidéosurveillance deviennent caduques dès l'entrée en vigueur de la présente loi.

2

Les systèmes de vidéosurveillance déjà en fonction au moment de cette entrée en vigueur doivent être mis en conformité avec la présente loi dans un délai d'une année; toutefois, les règles relatives à la durée de conservation des images sont applicables immédiatement.

Art. 12

Entrée en vigueur et referendum

1

Le Conseil d'Etat fixe la date d'entrée en vigueur de la présente loi.[1]

2

La présente loi est soumise au referendum législatif. Elle n'est pas soumise au referendum financier.

  2010_149


text:
Vidéosurveillance – O

  17.31

  Ordonnance sur la vidéosurveillance

  (OVid)

  du 23.08.2011 (version entrée en vigueur le 01.01.2012)

  Le Conseil d'Etat du canton de Fribourg

    Vu la loi du 7 décembre 2010 sur la vidéosurveillance;

    Sur la proposition de la Direction de la sécurité et de la justice,

  Arrête:

Art. 1

Champ d'application et objet

1

La présente ordonnance s'applique aux systèmes de vidéosurveillance portant en tout ou en partie sur des lieux publics, au sens de l'article 2 al. 2 de la loi du 7 décembre 2010 sur la vidéosurveillance. Elle fixe en particulier:

      a)

      la procédure d'autorisation des systèmes de vidéosurveillance avec enregistrement;

      b)

      les modalités de l'annonce des systèmes de vidéosurveillance sans enregistrement.

Art. 2

Responsable du système de vidéosurveillance

1

Au sens de la présente ordonnance, est considéré-e comme responsable du système de vidéosurveillance:

      a)

      l'unité concernée, dans le cas des systèmes installés par une unité sans personnalité juridique, subordonnée ou rattachée administrativement à une Direction du Conseil d'Etat;

      b)

      l'organe dirigeant, dans le cas des systèmes installés par un établissement public cantonal doté de la personnalité juridique;

      c)

      le conseil communal, dans le cas des systèmes installés par une commune;

      d)

      l'organe exécutif, dans le cas des systèmes installés par une association de communes ou par une autre corporation ou un établissement de droit public communal;

      e)

      la personne ou l'organe dirigeant, dans le cas des systèmes installés par un particulier ou une institution privée accomplissant une tâche de droit public;

      f)

      l'organe dirigeant, dans le cas des systèmes installés par une personne morale de droit privé;

      g)

      le ou la propriétaire, dans le cas des systèmes installés par un particulier.

Art. 3

Formulaires

1

Après consultation du ou de la préposé-e à la protection des données, le préfet élabore les formulaires nécessaires:

      a)

      au dépôt des demandes d'autorisation d'installation des systèmes de vidéosurveillance avec enregistrement;

      b)

      à l'annonce des systèmes de vidéosurveillance sans enregistrement.

2

Les formulaires de demande d'autorisation contiennent en particulier les rubriques suivantes:

      a)

      la spécification du lieu public et de la zone faisant l'objet de la surveillance;

      b)

      la description du système de surveillance projeté;

      c)

      l'indication de l'horaire de fonctionnement du système;

      d)

      la définition du but poursuivi par l'installation du système;

      e)

      l'analyse des risques et des mesures de prévention possibles au regard du but poursuivi.

3

Les formulaires d'annonce contiennent uniquement les rubriques prévues à l'alinéa 2 let. a à c.

Art. 4

Vidéosurveillance avec enregistrement – Demande d'autorisation

1

La demande d'autorisation visant à l'installation d'un système de vidéosurveillance avec enregistrement est adressée, préalablement à l'installation, au préfet du district sur le territoire duquel l'installation est envisagée.

2

Elle est déposée par le responsable du système et accompagnée des documents suivants:

      a)

      le formulaire de demande;

      b)

      le règlement d'utilisation;

      c)

      le cas échéant, l'approbation préalable de la Direction compétente aux termes de l'article 5 al. 3 de la loi du 7 décembre 2010 sur la vidéosurveillance.

3

Le préfet peut exiger d'autres renseignements.

Art. 5

Vidéosurveillance avec enregistrement – Contrôle

1

Après consultation du ou de la préposé-e à la protection des données, le préfet élabore un concept réglant la procédure de contrôle.

2

Le préfet procède aux contrôles qu'il juge nécessaires en application du concept prévu à l'alinéa 1. Il peut en tout temps requérir la collaboration du responsable du système.

3

Le responsable du système de vidéosurveillance informe sans délai le préfet de toute modification de l'installation ou des modalités de son utilisation.

Art. 6

Vidéosurveillance avec enregistrement – Emoluments

1

Un émolument de 50 à 200 francs est perçu pour les actes administratifs relatifs aux systèmes de vidéosurveillance (octroi et refus d'une autorisation, contrôle et réexamen consécutif à une annonce de modification).

Art. 7

Vidéosurveillance sans enregistrement

1

L'annonce préalable de l'installation d'un système de vidéosurveillance sans enregistrement incombe au responsable du système qui utilise à cet effet le formulaire adéquat.

2

Le responsable du système informe sans délai les autorités visées à l'article 7 de la loi du 7 décembre 2010 sur la vidéosurveillance de toute modification de l'installation ou des modalités de son utilisation.

Art. 8

Signalisation

1

Tout système de vidéosurveillance doit être signalé par l'apposition d'un panneau informant sans équivoque les personnes se trouvant dans la zone surveillée de l'existence de l'installation, par exemple sous la forme d'un pictogramme, et mentionnant le responsable du système.

Art. 9

Liste

1

Le préfet publie sur Internet la liste, régulièrement mise à jour, des installations de vidéosurveillance qu'il a autorisées ou qui lui ont été annoncées ainsi que les coordonnées des responsables de chacune de ces installations.

Art. 10

Entrée en vigueur

1

Cette ordonnance entre en vigueur le 1er janvier 2012.

  2011_072