17.1
Loi sur la protection des données
du 25.11.1994 (version entrée en vigueur le 01.01.2017)
Le Grand Conseil du canton de Fribourg
Vu le message du Conseil d'Etat du 13 septembre 1994;
Sur la proposition de cette autorité,
Décrète:
1 Dispositions générales
Art. 1 But
La présente loi vise à protéger les droits fondamentaux des personnes lorsque des organes publics traitent des données à leur sujet.
Art. 2 Champ d'application
La présente loi s'applique aux organes publics suivants:
les organes de l'Etat, des communes et des autres corporations de droit public ainsi que des établissements de droit public;
les particuliers et les organes d'institutions privées, lorsqu'ils accomplissent des tâches de droit public.
Elle ne s'applique toutefois pas:
aux délibérations du Grand Conseil, des assemblées communales ou des conseils généraux, des assemblées bourgeoisiales ainsi que de leurs commissions;
aux procédures civiles, pénales et de juridiction administrative en cours;
aux activités exercées par les entreprises publiques en situation de concurrence économique, lorsque celles-ci n'agissent pas en tant qu'organes investis de la puissance publique.
Elle ne s'applique aux Eglises reconnues que si celles-ci n'ont pas adopté des dispositions en la matière.
Art. 3 Définitions
On entend par:
a) données personnelles ( données ), toutes les informations qui se rapportent à une personne identifiée ou identifiable;
b) personne concernée , la personne physique ou morale au sujet de laquelle des données sont traitées;
c) données sensibles , les données personnelles sur:
1. les opinions ou activités religieuses, philosophiques, politiques ou syndicales,
2. la santé, la sphère intime ou l'appartenance à une race,
3. des mesures d'aide sociale,
4. des sanctions pénales ou administratives et les procédures y relatives;
d) traitement, toute opération relative à des données personnelles – quels que soient les moyens et procédés utilisés – notamment la collecte, la conservation, l'exploitation, la modification, la communication, l'archivage ou la destruction de données;
e) communication, le fait de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant;
f) fichier, tout ensemble de données personnelles dont la structure permet de rechercher les données par personne concernée;
g) responsable du fichier, l'organe public qui décide du but et du contenu du fichier;
h) participant au fichier, l'organe public qui, sans être responsable du fichier, est en droit d'introduire des données dans le fichier ou d'y procéder à des mutations.
2 Principes régissant le traitement de données personnelles
2.1 Conditions générales de licéité du traitement
Art. 4 Base légale
L'organe public n'est en droit de traiter des données personnelles que si une disposition légale le prévoit, ou, à défaut, si les dispositions réglant l'accomplissement de sa tâche l'impliquent.
Art. 5 Finalité
Les données personnelles ne peuvent être traitées que dans le but pour lequel elles ont été collectées ou dans un but qui, selon les règles de la bonne foi, est compatible avec lui.
Sont réservés les cas dans lesquels la personne concernée a consenti à un changement de finalité.
Art. 6 Proportionnalité
Les données et les modes de traitement doivent être nécessaires et appropriés par rapport au but du traitement.
Art. 7 Exactitude
Dans la mesure où le but du traitement l'exige, les données doivent être exactes et mises à jour.
Art. 8 Devoir de diligence accru
L'organe public qui traite des données sensibles doit prendre toutes les dispositions nécessaires pour prévenir le risque accru d'atteinte que comporte le traitement de telles données.
2.2 Conditions supplémentaires applicables à certaines formes de traitement
Art. 9 Collecte
Les données personnelles doivent être recueillies en principe auprès de la personne concernée. Elles ne peuvent l'être auprès d'un organe public ou d'un tiers que si une disposition légale le prévoit, si la nature de la tâche l'exige ou si des circonstances particulières le justifient.
La collecte de données doit être reconnaissable comme telle pour la personne auprès de laquelle elle est effectuée.
Lorsque des données sont recueillies de manière systématique, notamment au moyen d'un questionnaire, le but et la base légale du traitement ainsi que les destinataires des données doivent être indiqués. Dans les autres cas, ces indications sont fournies sur demande.
Art. 10 Communication ordinaire – Conditions
Des données personnelles ne peuvent être communiquées que si une disposition légale le prévoit ou si, dans un cas d'espèce,
l'organe public qui demande les données en a besoin pour l'accomplissement de sa tâche;
la personne privée qui demande les données justifie d'un intérêt à la communication primant celui de la personne concernée à ce que les données ne soient pas communiquées, ou que
la personne concernée a consenti à la communication, ou les circonstances permettent de présumer un tel consentement.
L'accès à des données personnelles au moyen d'une procédure d'appel, notamment un accès en ligne, ne peut être accordé à un ou une destinataire que si une disposition légale le prévoit.
Art. 11 Communication ordinaire – Restrictions
La communication est refusée, restreinte ou assortie de charges:
si un intérêt public important ou un intérêt digne de protection de la personne concernée ou d'un tiers le commande, ou
si une obligation de garder le secret l'exige.
Art. 12 Communication ordinaire – Réserve
La communication des données personnelles qui sont inscrites au contrôle des habitants est régie par la loi y relative.
La communication de données personnelles au public est en outre régie par la législation sur l'information et l'accès aux documents.
Art. 12a Communication transfrontière
Des données personnelles ne peuvent être communiquées à l'étranger que dans les Etats qui garantissent un niveau de protection adéquat.
Des données personnelles peuvent toutefois être communiquées dans les Etats n'offrant pas une telle garantie, lorsque l'une des conditions suivantes est réalisée:
des garanties suffisantes, notamment contractuelles, permettent d'assurer un niveau de protection adéquat à l'étranger;
la personne concernée a, en l'espèce, donné son consentement explicite;
le traitement est en relation directe avec la conclusion ou l'exécution d'un contrat, et les données traitées concernent le cocontractant ou la cocontractante;
la communication est, en l'espèce, indispensable soit à la sauvegarde d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la défense d'un droit en justice;
la communication est, en l'espèce, nécessaire à la protection de la vie ou de l'intégrité corporelle de la personne concernée.
L'organe public informe le ou la préposé-e cantonal-e à la protection des données des garanties prises en vertu de l'alinéa 2 let. a avant la communication des données à l'étranger.
Art. 13 Destruction
Les données personnelles doivent être détruites dès que l'organe public n'en a plus besoin.
Sont réservées les dispositions cantonales et communales sur l'archivage des documents administratifs.
Art. 13a Vidéosurveillance
Les dispositions spéciales de la législation sur la vidéosurveillance sont réservées.
2.3 Traitement de données à des fins ne se rapportant pas à des personnes
Art. 14 Collecte auprès d'un organe public
Lorsque des données personnelles doivent être recueillies en vue d'un traitement à des fins ne se rapportant pas à des personnes, notamment d'un traitement à des fins de statistique, de recherche ou de planification, elles peuvent être obtenues auprès de l'organe public qui les détient.
Art. 15 Licéité du traitement
Tout organe public est en droit, dans l'accomplissement de sa tâche, de traiter à des fins ne se rapportant pas à des personnes les données personnelles qu'il détient.
Il est en droit de communiquer ces données à un autre organe public en vue d'un traitement à des fins ne se rapportant pas à des personnes si:
ce traitement entre dans les attributions de l'organe qui demande les données, et que
ces fins ne sont pas manifestement incompatibles avec les fins pour lesquelles les données ont été initialement recueillies.
Sont réservées les restrictions à la communication prévues à l'article 11.
Art. 16 Conditions particulières
Dès que le but du traitement le permet, les données personnelles traitées à des fins ne se rapportant pas à des personnes doivent être rendues anonymes, ou à tout le moins être utilisées sans référence directe aux personnes concernées.
Les résultats du traitement doivent être publiés sous une forme ne permettant pas d'identifier les personnes concernées.
3 Mise en œuvre de la protection des données
Art. 17 Responsabilité – En général
Tout organe public qui traite des données personnelles est responsable de la protection des données.
Lorsque plusieurs organes publics traitent conjointement des données, la répartition de leurs obligations relatives à la protection des données est réglée dans la déclaration prévue à l'article 19.
Art. 18 Responsabilité – Traitement sur mandat
L'organe public qui fait traiter des données personnelles par un tiers demeure responsable de la protection des données. Il doit notamment donner au ou à la mandataire les instructions nécessaires et veiller à ce que celui-ci ou celle-ci n'utilise les données ou ne les communique que pour l'exécution du mandat.
Lorsque le ou la mandataire n'est pas soumis-e à la présente loi, l'organe public assure la protection des données par un contrat, à moins que d'autres dispositions légales n'offrent une protection suffisante.
Art. 19 Déclaration des fichiers – Principe
Avant d'ouvrir un fichier, son responsable doit le déclarer à l'autorité de surveillance.
La déclaration contient les informations suivantes:
le nom et l'adresse du responsable du fichier;
la dénomination, la base légale et le but du fichier;
le cercle et le nombre approximatif des personnes concernées;
la liste des données qui seront enregistrées;
les participants au fichier et la répartition des responsabilités;
les destinataires réguliers de données.
En outre, lorsque des données sensibles sont traitées, la déclaration doit contenir une justification de la nécessité de leur traitement, à moins que celle-ci ne résulte manifestement de la tâche à accomplir.
Le responsable du fichier adresse une copie de la déclaration aux collectivités dont des organes participent au fichier.
Art. 20 Déclaration des fichiers – Exceptions
N'ont pas à être déclarés, s'ils ne contiennent pas de données sensibles:
les fichiers renfermant uniquement des informations accessibles au public;
les fichiers d'enregistrement de la correspondance;
les fichiers d'adresses;
les fichiers de fournisseurs et de clients;
les fichiers qui sont exclusivement des instruments de travail personnels.
En outre, le Conseil d'Etat peut, après avoir pris l'avis de la Commission cantonale de la transparence et de la protection des données, prévoir des exceptions à l'obligation de déclarer pour d'autres catégories de fichiers qui ne présentent manifestement pas de risques pour les droits des personnes concernées.
Art. 21 Registre des fichiers
L'autorité de surveillance tient un registre qui contient l'ensemble des déclarations de fichier.
Les communes qui n'ont pas leur propre autorité de surveillance conservent, également sous la forme d'un registre, une copie des déclarations effectuées au sujet de leurs fichiers et des fichiers auxquels elles participent.
Les registres sont publics et peuvent être consultés gratuitement.
Art. 22 Mesures organisationnelles et techniques
L'organe public qui traite des données personnelles doit prendre les mesures d'organisation et les mesures techniques appropriées contre tout traitement non autorisé des données.
Le Conseil d'Etat détermine, après avoir pris l'avis de la Commission cantonale de la transparence et de la protection des données, les exigences minimales en la matière.
Art. 22a Procédure en cas de non-respect des prescriptions
En cas de violation ou de risque de violation des prescriptions sur la protection des données, l'autorité de surveillance invite l'organe public concerné à prendre, dans un délai déterminé, les mesures nécessaires pour remédier à la situation.
Toutefois, lorsque l'organe concerné est une unité subordonnée, l'invitation est directement adressée à l'organe hiérarchiquement supérieur.
Le destinataire de la recommandation adopte, dans le délai imparti par l'autorité de surveillance, une décision sur la suite qu'il entend donner à la recommandation. La décision est communiquée à l'autorité de surveillance. L'absence de décision est considérée comme une décision de rejet.
La décision de rejet, total ou partiel, de la recommandation est sujette à recours. Les dispositions du code de procédure et de juridiction administrative sont applicables par analogie. Toutefois, seule l'autorité de surveillance a qualité pour recourir.
Lorsque la décision émane d'un organe pour lequel le code de procédure et de juridiction administrative ne prévoit pas de voie de droit, le recours est adressé au Tribunal cantonal.
4 Droits des personnes concernées
Art. 23 Droit d'accès – Principes
Toute personne peut demander au responsable d'un fichier si des données la concernant y sont traitées.
Le responsable du fichier communique au requérant ou à la requérante toutes les données le ou la concernant qui sont contenues dans le fichier. Sur demande, il lui communique en outre les informations sur le fichier énumérées à l'article 19 al. 2.
L'organe public qui fait traiter des données par un tiers demeure tenu de communiquer les données et de fournir les informations demandées.
Art. 24 Droit d'accès – Modalités
La personne qui fait valoir son droit d'accès doit justifier de son identité.
Les renseignements sont, en règle générale, fournis par écrit. En accord avec le responsable du fichier, la personne concernée peut également consulter ses données sur place.
Lorsqu'il s'agit de données sur la santé, la communication peut être faite par un ou une médecin désigné-e par la personne concernée. Les dispositions de la loi du 16 novembre 1999 sur la santé sont réservées.
La procédure est gratuite. Le Conseil d'Etat peut prévoir des exceptions.
Art. 25 Droit d'accès – Restrictions
Le responsable du fichier peut refuser, restreindre ou différer la communication des renseignements si et dans la mesure où:
un intérêt public le commande, notamment si la communication des renseignements risque de compromettre une procédure d'enquête en cours;
l'intérêt digne de protection d'un tiers l'exige.
La communication peut également être refusée lorsqu'elle concerne des documents déposés aux archives cantonales ou communales, à moins que la personne concernée ne fasse valoir un intérêt digne de protection.
Le responsable du fichier doit indiquer pour quel motif il refuse, restreint ou diffère la communication des renseignements.
Art. 26 Droits en cas d'atteinte
La personne qui y a un intérêt légitime peut exiger de l'organe public qu'il:
s'abstienne de procéder à un traitement illicite;
supprime les effets d'un traitement illicite;
constate le caractère illicite du traitement.
Elle peut en particulier demander que l'organe public:
rectifie les données la concernant, les détruise ou s'abstienne de les communiquer à des tiers;
fasse figurer une mention appropriée en regard des données dont ni l'exactitude ni l'inexactitude ne peuvent être prouvées;
publie sa décision ou la communique à des tiers.
Les documents déposés aux archives cantonales ou communales ne peuvent être ni rectifiés ni détruits. La personne concernée peut cependant demander l'inscription d'une mention appropriée.
Art. 27 Procédure et voies de droit
Les décisions prises en application des articles 23 à 26 le sont selon les prescriptions du code de procédure et de juridiction administrative. Elles sont sujettes à recours conformément à ce code.
En outre, les dispositions suivantes sont applicables:
les organes publics communiquent également les décisions précitées à l'autorité de surveillance;
l'autorité de surveillance a qualité pour recourir contre ces décisions.
Art. 28 Réparation du dommage et du tort moral
La personne qui subit un préjudice en raison d'une violation des dispositions de la présente loi peut faire valoir des prétentions en dommages-intérêts et en réparation du tort moral conformément à la loi sur la responsabilité civile des collectivités publiques et de leurs agents.
Elle peut demander que le ou la juge ordonne la publication ou la communication à des tiers de tout ou partie de son jugement.
5 Surveillance
Art. 29 En général
La surveillance de la protection des données est assurée par l'Autorité cantonale de la transparence et de la protection des données.
Les communes peuvent instituer leur propre autorité de surveillance qui assume, sur le plan communal, les mêmes tâches que l'autorité cantonale.
L'autorité communale est indépendante dans l'exercice de ses attributions et dispose des moyens nécessaires à l'accomplissement de ses tâches. A défaut, la surveillance est exercée par l'autorité cantonale.
Art. 29a Autorité cantonale
L'Autorité cantonale de la transparence et de la protection des données comprend une commission, un ou une préposé-e à la transparence et un ou une préposé-e à la protection des données.
Elle exerce les tâches qui lui incombent en vertu de la présente loi par l'intermédiaire de la Commission cantonale et du ou de la préposé-e à la protection des données.
Les tâches qu'elle exerce dans le domaine du droit d'accès aux documents sont régies par la législation y relative.
Art. 30 Commission cantonale – Composition, organisation et fonctionnement
La Commission cantonale de la transparence et de la protection des données est formée d'un président ou d'une présidente et de six membres, élus par le Grand Conseil à la suite d'une proposition du Conseil d'Etat. Son secrétariat est assuré conjointement par le ou la préposé-e à la protection des données et le ou la préposé-e à la transparence.
Le président ou la présidente et les membres doivent posséder, dans leur ensemble, les connaissances nécessaires à l'accomplissement des tâches de la Commission; celle-ci comprend en particulier un ou une professionnel-le de la santé, un ou une spécialiste en informatique et au moins un ou une professionnel-le des médias.
En cas de besoin, la Commission peut consulter des experts ou des expertes et inviter des tierces personnes à assister à tout ou partie de ses séances et, le cas échéant, à s'y exprimer avec voix consultative.
Pour le surplus, la Commission règle son organisation et son fonctionnement.
Art. 30a Commission cantonale – Attributions
La Commission exerce une surveillance générale dans le domaine de la protection des données. Elle a notamment pour tâches:
a) d'assurer la coordination entre les exigences de la protection des données et l'exercice du droit d'accès aux documents officiels;
abis) de diriger l'activité du ou de la préposé-e à la protection des données;
b) de donner son avis sur les projets d'actes législatifs touchant à la protection des données ainsi que dans les cas prévus par la loi;
c) de mettre en œuvre la procédure prévue à l'article 22a en cas de violation ou de risque de violation des prescriptions sur la protection des données;
d) d'interjeter les recours prévus à l'article 27 al. 2;
e) d'exercer la haute surveillance sur les autorités communales de surveillance, dont elle reçoit le rapport d'activité.
La Commission adresse chaque année au Grand Conseil, par l'intermédiaire du Conseil d'Etat, un rapport sur son activité et celle des deux préposé-e-s . Elle peut, dans la mesure où l'intérêt général le justifie, informer le public de ses constatations.
Art. 31 Préposé-e cantonal-e à la protection des données
Le ou la préposé-e cantonal-e à la protection des données est nommé-e par le Conseil d'Etat, sur le préavis de la Commission.
Il ou elle a pour tâches:
de contrôler l'application de la législation relative à la protection des données, notamment en procédant systématiquement à des vérifications auprès des organes concernés;
de conseiller les organes concernés, notamment lors de l'étude de projets de traitement;
de renseigner les personnes concernées sur leurs droits;
d'exécuter les travaux qui lui sont confiés par la Commission;
de faire rapport à la Commission sur son activité et ses constatations;
de collaborer avec le préposé fédéral à la protection des données et à la transparence ainsi qu'avec les autorités de surveillance de la protection des données des autres cantons et avec celles de l'étranger;
d'examiner l'adéquation du niveau de protection assuré à l'étranger, au sens de l'article 12a al. 3.
Le ou la préposé-e recueille les informations nécessaires à l'accomplissement de ses tâches. Il ou elle peut notamment demander des renseignements, exiger la production de documents, procéder à des inspections et se faire présenter des traitements de données. Le secret de fonction ne peut lui être opposé.
Art. 32 Dispositions communes
L'Autorité cantonale de la transparence et de la protection des données est indépendante dans l'exercice de ses attributions.
Elle est rattachée administrativement à la Direction dont elle relève.
Elle dispose d'une enveloppe budgétaire dont le montant est déterminé chaque année à l'occasion de l'adoption du budget de l'Etat.
Les membres de l'Autorité cantonale sont soumis au secret de fonction et à l'obligation de discrétion.
Ils signalent, au moment de leur entrée en fonction et lors de chaque modification, les liens particuliers qui les rattachent à des intérêts privés ou publics.
Les articles 21 à 25 du code de procédure et de juridiction administrative sont applicables à la récusation des membres de l'Autorité cantonale .
6 Dispositions transitoires et finales
Art. 33 Droit transitoire – Déclaration des fichiers existants
Les organes publics qui tiennent un fichier au moment de l'entrée en vigueur de la présente loi disposent d'un délai d'une année pour procéder à la déclaration prévue à l'article 19.
Art. 34 Droit transitoire – Communes sans fichiers automatisés
Tant qu'une commune ne dispose d'aucun fichier automatisé, ses organes ne sont pas soumis à l'obligation de déclarer leurs fichiers à l'autorité de surveillance.
Art. 35 Modifications – Loi sur le contrôle des habitants
La loi du 23 mai 1986 sur le contrôle des habitants (RSF 114.21.1) est modifiée comme il suit: ...
Art. 36 Modifications – Loi sur le statut du personnel de l'Etat
La loi du 22 mai 1975 sur le statut du personnel de l'Etat (RSF 122.70.1) est modifiée comme il suit: ...
Art. 37 Modifications – Loi sur les communes
La loi du 25 septembre 1980 sur les communes (RSF 140.1) est modifiée comme il suit: ...
Art. 38 Modifications – Loi concernant les rapports entre les Eglises et l'Etat
La loi du 26 septembre 1990 concernant les rapports entre les Eglises et l'Etat (RSF 190.1) est modifiée comme il suit: ...
Art. 39 Modifications – Loi sur la police cantonale
La loi du 15 novembre 1990 sur la police cantonale (RSF 551.1) est modifiée comme il suit: ...
Art. 40 Modifications – Loi sur les impôts communaux et paroissiaux
La loi du 10 mai 1963 sur les impôts communaux et paroissiaux (RSF 632.1) est modifiée comme il suit: ...
Art. 41 Entrée en vigueur
Le Conseil d'Etat est chargé de l'exécution de la présente loi, dont il fixe la date de l'entrée en vigueur.
BL/AGS 1994 f 599 / d 604