Loi sur la protection des données

La présente loi a pour but de protéger les personnes contre les abus dans le traitement de données par les autorités.

Est considérée comme donnée personnelle toute information relative à une personne physique ou morale, identifiée ou identifiable.

Est considéré comme fichier tout recueil de données personnelles constitué de façon à permettre l'identification des personnes auxquelles elles se rapportent.

Est considéré comme registre au sens de l’article 18 un répertoire des fichiers.

Est considérée comme traitement de données personnelles toute activité ayant directement trait à ces dernières, et notamment le fait de recueillir, de conserver, de modifier, de combiner, de communiquer ou de détruire des données personnelles.

Est considéré comme communication le fait de rendre des données personnelles accessibles, notamment de les transmettre, de les publier, d'autoriser leur consultation ou de fournir des renseignements.

Sont considérés comme autorités au sens de la présente loi:

1. les services administratifs de l'Etat et des communes avec tous leurs collaborateurs;

2. les organes des collectivités et établissements ainsi que les personnes de droit privé dans la mesure où ils sont chargés d'une tâche publique.

Les autorités de surveillance sont l’autorité cantonale de surveillance en vertu de l’article 32, ainsi que les autorités désignées par les communes et les autres corporations de droit communal en vertu de l’article 33, 1er alinéa.

Est considérée comme donnée particulièrement digne de protection toute information relative

1. aux opinions, appartenances et activités religieuses, philosophiques ou politiques ainsi qu'à l'appartenance raciale;

2. à la sphère intime de la personne, en particulier à son état psychique, mental ou physique;

3. aux mesures d'aide sociale ou d'assistance;

4. aux enquêtes de la police, aux procédures pénales, aux infractions ainsi qu'aux peines et mesures qui les ont sanctionnées.

La présente loi s'applique à tout traitement de données personnelles entrepris par une autorité.

Elle n'est pas applicable

1. au cas où une autorité est en concurrence économique avec des personnes de droit privé et qu'elle n'agit pas en tant qu'organe investi de la puissance publique. La surveillance est toutefois régie par les articles 32 à 37;

2. au cas où un collaborateur d'une autorité traite des données personnelles pour son usage propre exclusivement, notamment dans le but de disposer d'un instrument de travail personnel;

3. aux procédures pendantes civiles ou pénales, aux procédures pendantes de justice administrative, à l’exception des procédures administratives préalables au prononcé d’une décision, ainsi qu’aux recherches effectuées par les commissions d’enquête parlementaires.

Le traitement de données personnelles est autorisé uniquement lorsque la loi l'autorise expressément ou lorsqu'il sert à accomplir une tâche légale.

Le but du traitement doit être défini.

Les données personnelles et le mode de traitement doivent être appropriés et nécessaires à l'accomplissement de la tâche.

Il est interdit de traiter des données personnelles dans un but qui, en vertu du principe de la bonne foi, est incompatible avec le but en vue duquel elles avaient été recueillies ou communiquées à l'autorité. Les articles 10, 12 et 15 sont réservés.

Le secret de fonction et les autres obligations particulières de garder le secret sont réservés.

Le traitement de données particulièrement dignes de protection est autorisé uniquement à la condition supplémentaire que

1. l'admissibilité repose clairement sur une base légale,

2. l'accomplissement d'une tâche définie par la loi l'exige impérativement, ou encore que

3. la personne intéressée y ait donné son accord exprès.

Les données personnelles doivent être exactes et, dans la mesure où le but du traitement l'exige, complètes.

La responsabilité de la protection des données incombe à l'autorité qui, pour accomplir les tâches que lui assigne la loi, traite ou fait traiter des données personnelles.

Lorsque plusieurs autorités traitent les données personnelles d'un même fichier, l'une d'entre elles doit être désignée pour veiller à la protection globale des données. Chaque autorité reste néanmoins responsable dans son domaine.

Les données personnelles seront en principe recueillies auprès de la personne intéressée et non auprès d'une autre personne privée.

L'acquisition de données à l'intérieur même de l'administration est admise dans la mesure où la présente loi ne s'y oppose pas.

Lorsqu'il n'y a pas obligation légale de renseigner, le caractère facultatif de la réponse doit être souligné.

La base légale et le but du traitement doivent être communiqués aux personnes interrogées lorsque

1. elles le demandent ou lorsque

2. des données personnelles sont recueillies systématiquement, notamment au moyen de questionnaires.

Il y aura communication de données personnelles à une autre autorité si

1. l'autorité responsable y est obligée ou autorisée par la loi pour accomplir ses tâches ou si

2. l'autorité qui demande les données personnelles prouve que la loi l'autorise à les traiter et qu'aucune obligation de garder le secret ne s'y oppose ou si

3. malgré l'incompatibilité des buts, la personne intéressée a donné son accord exprès ou que la communication sert ses intérêts.

Lorsqu'une tâche administrative l'exige, le contrôle des habitants permet l'accès au registre des habitants et donne les informations requises.

Il y aura communication de données personnelles à des personnes privées si

1. l'autorité responsable y est obligée ou autorisée par la loi pour accomplir ses tâches ou si

2. la personne intéressée a donné son accord exprès ou que la communication sert ses intérêts.

Les données personnelles déjà contenues dans des publications officielles ou officiellement autorisées qui sont accessibles à tous peuvent être communiquées sur demande, à condition que l'ordre de publication soit respecté et que les données communiquées correspondent à celles qui ont été publiées.

Le Conseil-exécutif réglemente la communication de données personnelles pour des annuaires d'adresses ou autres ouvrages de référence similaires qui sont d'intérêt général ou ont une longue tradition.

Sur requête d'une personne privée, le contrôle des habitants lui communique les nom, prénoms, profession, sexe, adresse, dates d'arrivée et de départ, état civil, lieu d'origine ainsi qu'année de naissance d'une personne, à condition qu'elle rende vraisemblable un intérêt digne de protection.

Le règlement de commune peut en outre, et aux mêmes conditions, autoriser la communication de renseignements sur le titre et la langue d'un particulier.

Le règlement de commune peut autoriser la communication systématique de données au sens du 1er alinéa de façon générale ou dans des buts plus précis.

Toute personne intéressée peut demander le blocage de ses données à condition qu'elle prouve un intérêt digne de protection.

La communication est admissible malgré le blocage si

1. l'autorité responsable y est contrainte par la loi ou si

2. la personne intéressée abuse du droit.

La personne intéressée peut demander le blocage de données au sens de l'article 12, 2e alinéa et de leur communication réglée systématiquement en vertu de l'article 12, 3e alinéa sans prouver qu'elle y trouve un intérêt digne de protection.

En vue de préserver des intérêts publics majeurs ou des intérêts privés nécessitant une protection particulière, la communication de données personnelles peut être refusée, limitée ou liée à certaines conditions.

Lorsque des données personnelles sont soumises à des dispositions spéciales imposant un secret plus strict, elles peuvent être communiquées uniquement si le destinataire est soumis à l'obligation de conserver le secret.

Aucune donnée personnelle ne peut être communiquée à l’étranger si la personnalité des personnes concernées devait s’en trouver gravement menacée, notamment du fait de l’absence d’une législation assurant un niveau de protection adéquat.

En dépit de l’absence d’une législation assurant un niveau de protection adéquat à l’étranger, des données personnelles peuvent être communiquées à l’étranger, à l’une des conditions suivantes uniquement:

1. des garanties suffisantes, notamment contractuelles, permettent d’assurer un niveau de protection adéquat à l’étranger;

2. la personne concernée a, en l’espèce, donné son consentement;

3. le traitement est en relation directe avec la conclusion ou l’exécution d’un contrat et les données traitées concernent le cocontractant;

4. la communication est, en l’espèce, indispensable soit à la sauvegarde d’un intérêt public prépondérant, soit à la constatation, l’exercice ou la défense d’un droit en justice;

5. la communication est, en l’espèce, nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou

6. la communication a lieu au sein d’une même personne morale ou société ou entre des personnes morales ou sociétés réunies sous une direction unique, dans la mesure où les parties sont soumises à des règles de protection des données qui garantissent un niveau de protection adéquat.

Avant la communication des données personnelles à l’étranger, l’autorité de surveillance doit être informée à temps des garanties prévues à l’alinéa 2, lettre a.

Toute autorité responsable peut traiter des données personnelles dans un but qui est sans relation directe avec les personnes intéressées notamment pour la recherche, la jurisprudence, la statistique et la planification si

1. dès que le but du traitement le permet, elle transforme les données personnelles en données anonymes, ou du moins les utilise sans référence directe aux personnes intéressées et si

2. elle communique les résultats du traitement de sorte que ces personnes ne soient pas identifiables.

L'autorité responsable peut communiquer des données personnelles en vue d'un traitement sans référence aux personnes intéressées à condition qu'elle ait la garantie que le destinataire

1. répond aux exigences énumérées au premier alinéa;

2. ne transmettra pas les données personnelles à des tiers et qu'il

3. veillera à la sécurité des données.

Celui qui traite des données personnelles sur mandat d'une autorité a, vis-à-vis de la loi, la même position que son mandant. Il ne communiquera de données personnelles à des tiers que si le mandant y donne son accord exprès.

Toute personne qui traite des données personnelles est responsable de leur sécurité.

Si une autorité prévoit de traiter électroniquement les données personnelles d’un nombre important de personnes, elle soumet auparavant le traitement des données envisagé à l’autorité de surveillance en vue de sa prise de position

1. s’il ne peut être établi avec certitude qu’il existe une base juridique suffisante;

2. qu’il s’agit de données personnelles particulièrement dignes de protection;

3. qu’il existe une obligation particulière de garder le secret ou

4. que des moyens techniques présentant des risques particuliers pour les droits et les libertés des personnes concernées sont employés.

Elle soumet également à l’autorité de surveillance les modifications importantes concernant de tels traitements de données.

Sur requête de l’autorité responsable, l’autorité de surveillance émet dès le stade du contrôle préalable une recommandation au sens de l’article 35, alinéa 3.

L’autorité de surveillance publie sur Internet un registre des fichiers établis dans le canton, dans la commune ou dans une autre collectivité de droit communal.

Le registre contient pour chaque fichier les indications suivantes:

1. base légale;

2. autorités responsables;

3. but du traitement et moyens mis en œuvre;

4. nature et étendue des données personnelles traitées;

5. données personnelles qui sont régulièrement communiquées à d'autres autorités ou à des personnes de droit privé, ainsi que leurs destinataires;

6. durée normale de conservation des données personnelles.

Ne sont pas inscrits au registre les fichiers qui

1. n'ont été constitués que pour une courte durée ou qui

2. ont été publiés légalement.

L’autorité responsable établit la partie du registre qui concerne ses fichiers selon les consignes de l’autorité de surveillance et la met à jour.

Les communes et les autres collectivités de droit communal peuvent

1. réglementer la compétence en matière d’établissement et de mise à jour du registre en dérogation à l’alinéa 4;

2. renoncer à la publication du registre sur Internet.

Toute donnée qui n'est plus utilisée doit être détruite.

L'autorité responsable fixe pour chaque fichier la date de destruction des données personnelles.

Passé cette date, les données personnelles peuvent être conservées uniquement si

1. elles sont un moyen de preuve ou de sécurité;

2. elles présentent un intérêt pour la recherche scientifique.

Les prescriptions de conservation spéciales ainsi que les dispositions régissant les archives publiques sont réservées.

Toute personne peut consulter le registre des fichiers.

Toute personne peut exiger de l'autorité responsable des renseignements sur la nature des données traitées dans un fichier qui la concernent. Elle devra justifier de son identité.

Nul ne peut d'emblée renoncer à ce droit.

Les renseignements sont donnés sous une forme généralement compréhensible et, sur demande, par écrit.

Si aucun intérêt public prépondérant ni aucun intérêt de tiers qui soit particulièrement digne de protection ne s'y oppose, la personne intéressée peut, sur demande, consulter ses données.

Un renseignement peut être refusé ou différé dans la mesure où une loi ou des intérêts de tiers nécessitant une protection particulière l'exigent.

Lorsque le renseignement ne peut pas être communiqué au requérant lui-même parce qu'il en serait trop affligé, il peut être donné à une personne jouissant de sa confiance.

Toute personne a le droit d'exiger la rectification ou la destruction de données personnelles la concernant qui ne sont pas exactes ou pas nécessaires.

Si l'autorité responsable conteste l'inexactitude, elle doit prouver l'exactitude des données personnelles. La personne intéressée se doit d'entreprendre tout ce qui peut raisonnablement être attendu d'elle pour contribuer à éclaircir le point litigieux.

Si ni l'exactitude, ni l'inexactitude de données personnelles ne peut être prouvée, en particulier s'il s'agit de données comportant une appréciation d'un comportement humain, la personne intéressée peut exiger que soit enregistrée une version contradictoire appropriée.

Toute personne a le droit d'exiger la destruction de données personnelles ayant été traitées de façon illicite ou alors l'élimination des effets du traitement illicite.

Si la personne intéressée prouve un intérêt digne de protection, la décision devra être communiquée aux autorités et tierces personnes qu'elle aura désignées.

L'Etat et les communes ainsi que les corporations, les établissements et les personnes de droit privé, dans la mesure où ils ont été chargés de tâches publiques, sont responsables des dommages que leurs autorités, leurs organes, leurs employés et leurs mandataires causent aux personnes intéressées en traitant des données personnelles de façon illicite.

Dans la mesure où la gravité de la violation le justifie et dans la mesure ou celle-ci ne peut pas être réparée d'une autre manière, la personne intéressée a droit à la réparation morale.

Si le dommage a été causé intentionnellement, ou s'il est dû à une négligence grave, celui qui est tenu de le réparer jouit d'un droit récursoire.

Sauf dispositions contraires de la présente loi, la procédure et la protection juridique sont régies par les prescriptions procédurales applicables au domaine en question.

Sont susceptibles d'être attaquées les décisions de l'autorité responsable, en particulier celles qui traitent de requêtes au sens des articles 21 à 24, ainsi que le fait de différer ou de refuser ces décisions.

Les autorités qui se voient refuser un renseignement ont elles aussi un droit de recours.

Il n’est perçu aucun émolument pour la consultation et la communication de renseignements au sens des articles 20 et 21.

Le Grand Conseil élit, sur proposition du Conseil-exécutif, un délégué ou une déléguée à la protection des données qui dirige l’autorité de surveillance cantonale. Il veille à ce que le délégué ou la déléguée maîtrise les deux langues officielles.*¹

La période de fonction du délégué ou de la déléguée est de quatre ans.

L’autorité cantonale de surveillance est administrativement rattachée à la Direction de la justice, des affaires communales et des affaires ecclésiastiques.

Les communes et autres corporations de droit communal désignent pour leur domaine leur propre autorité de surveillance.

L'autorité de surveillance cantonale exerce la haute surveillance.

L’autorité de surveillance accomplit de manière indépendante les tâches que lui attribue la présente loi. Elle est soumise uniquement à la Constitution et à la loi.

La législation sur le pilotage des finances et des prestations s’applique à la gestion financière, aux dépenses et aux autorisations de dépenses ainsi qu’au pilotage des finances et des prestations de l’autorité cantonale de surveillance, pour autant que la présente loi ne contienne pas de dispositions spéciales.

L’autorité cantonale de surveillance fixe chaque année ses objectifs de prestation et en déduit ses besoins en ressources. Elle établit son plan intégré «mission-financement» et son budget et détermine ses produits et ses groupes de produits. Le Conseil-exécutif les reprend sans modification dans le plan intégré «mission-financement» et le budget du canton. Il peut les commenter à l’intention du Grand Conseil.

L’autorité cantonale de surveillance décide de l’engagement de personnel dans le cadre des moyens qui lui sont alloués par le budget. Elle est seule compétente pour autoriser les dépenses d’exploitation courantes dans le cadre du budget. Les compétences ordinaires en matière d’autorisation de dépenses s’appliquent aux investissements.

Les autorités de surveillance des communes et des autres collectivités de droit communal doivent disposer de compétences propres suffisantes en matière d’autorisation de dépenses qui ne peuvent pas être restreintes par des prescriptions ou injonctions d’autres autorités.

L’autorité cantonale de surveillance de la protection des données tient un compte spécial conformément à l’article 36 de la loi du 26 mars 2002 sur le pilotage des finances et des prestations (LFP)².

En dérogation à l’article 36, alinéa 2 LFP, le Grand Conseil règle les structures comptables ainsi que la tenue des comptes par voie de décret.

L'autorité de surveillance

1. tient à jour le registre des fichiers au sens de l’article 18;

2. surveille l'application des dispositions sur la protection des données;

3. se charge des contrôles préalables au sens de l’article 17a;

4. traite sous la forme de dénonciations à l’autorité de surveillance les requêtes des personnes intéressées invoquant la violation des prescriptions de la présente loi;

5. conseille les personnes intéressées pour tout ce qui touche à leurs droits;

6. joue le rôle d'intermédiaire entre les personnes intéressées et les autorités responsables;

7. conseille les autorités responsables dans les questions touchant à la protection des données et présente des propositions d’améliorations;

8. contrôle la sécurité des données;

9. défend les intérêts des personnes qui ne peuvent pas être renseignées ou ne peuvent l’être que de manière très restreinte;

10. prend position sur les projets d’actes législatifs et d’autres mesures qui intéressent la protection des données;

11. prend position sur des questions touchant à la protection des données lorsque des instances de recours ou de décision l'y invitent;

12. informe régulièrement le public de ses activités;

13. collabore avec les autres autorités de surveillance du canton de Berne ainsi qu’avec celles des autres cantons, de la Confédération et de l’étranger et procède à d’utiles échanges d’informations.

Dans la mesure où la législation spéciale peut restreindre les droits prévus à la section IV, l’autorité de surveillance informe les personnes intéressées de l’examen effectué sur la base des requêtes prévues à l’alinéa 1, lettre d, même si elles n’en font pas la demande.

Les autorités responsables sont tenues d'assister l'autorité de surveillance dans l'accomplissement de ses tâches.

L'autorité de surveillance peut, en dépit d'éventuelles obligations de garder le secret, recueillir des informations écrites ou orales auprès des autorités. Elle a accès à tous les documents utilisés pour des traitements déterminés, peut effectuer des visites et se faire présenter des traitements.

Elle recommande, sous la forme d’une proposition motivée, de remédier à des irrégularités et de combler des lacunes.

Si l’autorité responsable ne veut pas donner suite à la proposition au sens de l’alinéa 3 faite par l’autorité de surveillance ou n’est prête à le faire que partiellement, elle rend une décision dans les 30 jours.

L’autorité de surveillance peut attaquer la décision mentionnée à l’alinéa 4. La procédure et la compétence sont régies par l’article 26.

Si des intérêts dignes de protection d'une personne intéressée sont manifestement menacés ou l'objet d'atteintes, l'autorité de surveillance demande à l'autorité responsable ou à son autorité supérieure de prendre immédiatement les mesures qui s'imposent.

L'autorité de surveillance est soumise à la même obligation de garder secrètes les données personnelles que l'autorité qui les traite.

Elle est par ailleurs soumise au secret lorsque la nature de l'affaire ou des prescriptions particulières l'exigent.

L'autorité cantonale de surveillance peut coopérer avec les organes de surveillance de la protection des données d'autres collectivités de droit public pour accomplir les tâches que lui confère l'article 34.

Le type et l'étendue de la coopération sont définis dans une convention écrite. Le délégué ou la déléguée à la protection des données est compétente pour la signer.

Les organes de surveillance de la protection des données d'autres collectivités de droit public peuvent assumer des tâches relevant de cette surveillance dans le canton de Berne, si un accord en ce sens a été conclu.

L'autorité cantonale de surveillance peut assumer des tâches relevant de la surveillance de la protection des données dans d'autres collectivités de droit public, si un accord en ce sens a été conclu.

L’autorité cantonale de surveillance soumet chaque année au Grand Conseil et au Conseil-exécutif un rapport sur son activité. Elle y relève en particulier les lacunes constatées et les améliorations souhaitables.

Dans les cas d'intérêt général, l'autorité cantonale, après en avoir averti le chef de la Direction compétente ou le chancelier d'Etat, informe le public.

Les communes et autres corporations de droit communal règlent les modalités de rapport de leurs autorités de surveillance.

Le Conseil-exécutif édicte les dispositions nécessaires à l'application de la présente loi. Il peut

1. habiliter les Directions à édicter de telles dispositions si l’objet de la réglementation revêt un caractère éminemment technique, qu’il est régi par des circonstances en constante évolution ou qu’il est de portée mineure;

2. habiliter l’organe compétent de la Direction des finances à édicter des ordonnances administratives.

Le Conseil-exécutif fixe la date d'entrée en vigueur³ de la présente loi. Il peut, avant cette date, décider l'entrée en vigueur de certaines dispositions, notamment de celles qui ont trait aux autorités de surveillance.