Ordonnance concernant la mise en œuvre du Référentiel cantonal de données de personnes, organisations et nomenclatures (projet pilote)

Durant la phase pilote, la mise en œuvre et l'exploitation du Référentiel cantonal sont placées sous la responsabilité de la Commission. Celle-ci a en particulier les attributions suivantes:

1. mettre en place une gouvernance cantonale des données partagées du Référentiel cantonal;

2. examiner les besoins et les contraintes liés au partage des données exprimés par les organes contributeurs et consommateurs de données ainsi que les possibilités de mise en œuvre;

3. nommer les membres des comités de qualité et de conformité et superviser leur travail;

4. répondre aux différentes obligations incombant au responsable du fichier au sens de la loi sur la protection des données;

5. élaborer et s'assurer de l'adoption des règlements d'utilisation afin de préserver la sécurité et la protection des données et conclure avec les organes contributeurs de données une convention fixant l'objet et les modalités de leur intervention;

6. conclure avec les organes consommateurs de données une convention fixant l'objet et les conditions de leur accès aux données du Référentiel cantonal;

7. fixer les sources, le périmètre et le catalogue des données contenues dans le Référentiel cantonal ainsi que les modalités de leur partage en accord avec le comité de qualité et le comité de conformité;

8. veiller à la bonne coopération entre les organes de la gouvernance, les organes contributeurs de données et les autres entités chargées de la qualité des données en arbitrant, si nécessaire, les éventuels conflits;

9. demander des rapports ou évaluations et faire procéder à des audits afin de vérifier la couverture des risques, l'efficience et la conformité des traitements de données liés à la mise en œuvre et à l'exploitation du Référentiel cantonal;

10. publier les informations relatives à la mise en œuvre du Référentiel cantonal.

La composition de la Commission peut évoluer en fonction des besoins et des priorités identifiés. Elle compte au moins trois membres et est présidée par le chancelier ou la chancelière d'Etat. Elle est rattachée administrativement à la Chancellerie d'Etat qui assure son secrétariat.

Les membres de la Commission sont nommés par le Conseil d'Etat.

Le ou la préposé‑e à la protection des données assiste aux séances avec voix consultative. Son indépendance est garantie.

Durant la phase pilote, le comité de qualité propose les principes visant à assurer la standardisation des données et un taux d'exactitude de celles-ci le plus élevé possible.

Il supervise les activités du réseau d'intendance des données.

Il valide les règles concernant l'intégration des sources et les différentes hiérarchies à mettre en place. Il veille à l'amélioration continue des opérations et traitements de données associés.

Le comité de qualité est composé d'au moins trois membres, dont l'intendant ou l'intendante du Référentiel cantonal mentionné‑e à l'article A2-3. Sa présidence est assurée par la personne responsable des données de registres et projets spéciaux du Service de la statistique et de la donnée (ci-après: le Service).

Durant la phase pilote, le comité de conformité est chargé de veiller à la conformité des traitements, de l'octroi des accès et de l'utilisation des données avec les bonnes pratiques et les exigences légales, en particulier avec la loi sur la protection des données.

Le comité de conformité est consulté dans le cadre de l'élaboration des dispositions légales définitives en lien avec le Référentiel cantonal.

Il est composé d'au moins trois membres, dont le ou la préposé‑e à la protection des données. Sa présidence est assurée par la personne responsable de la gouvernance des données référentielles de la Chancellerie d'Etat.

Le Référentiel cantonal peut être alimenté par les données de référence provenant des systèmes d'information des partenaires cantonaux suivants:

• a) les partenaires pilotes du Référentiel cantonal à obligations étendues:

• 1. le Service cantonal des contributions (SCC);

• 2. l'Administration des finances (AFin);

• 3. le Secrétariat cantonal de cyberadministration de la Chancellerie d'Etat;

• 4. le Centre de compétences Fritic;

• b) les partenaires à obligations restreintes:

• 1. le Service de la population et des migrants (SPoMi);

• 2. l'Etablissement cantonal des assurances sociales (ECAS);

• 3. le Service du personnel et d'organisation (SPO);

• 4. le Service du registre du commerce (SRC);

• 5. le Secrétariat général de la Direction des institutions, de l'agriculture et des forêts (SG-DIAF).

Moyennant l'obtention des autorisations adéquates et sur un périmètre autorisé, le Référentiel cantonal peut être alimenté par les données de référence provenant de systèmes d'information fédéraux, en particulier:

1. le registre informatisé de l'état civil (Infostar);

2. le registre fédéral des bâtiments et des logements (RegBL);

3. le registre central des assurés (UPI);

4. le système d'information central sur la migration (SYMIC);

5. le système d'information du Service national d'adresses (NAD);

6. le registre des entreprises et des établissements (REE);

7. le registre IDE des entreprises suisses.

Chaque partenaire du Référentiel cantonal désigné à l'article A2-1 al. 1 met tout en œuvre afin d'assurer la qualité et la conformité des données partagées qui se trouvent dans ses propres systèmes d'information et/ou sur lesquelles il porte une responsabilité légale.

Les droits et les obligations spécifiques de chaque partenaire sont définis dans une convention conclue avec la Commission. Celle-là indique au minimum:

1. le périmètre et le catalogue des données partagées;

2. un descriptif des personnes, des processus et des applications autorisés à traiter les données;

3. un descriptif des personnes ou des fonctions impliquées dans les activités liées à la gouvernance des données;

4. les mesures de sécurité et de contrôle à respecter.

La convention conclue entre la Commission et l'organe contributeur de données respecte les prescriptions du droit fédéral lorsque celles-ci s'appliquent.

Les partenaires pilotes à obligations étendues sont en outre tenus par les obligations décrites aux articles A2-4 à A2-6.

L'intendant ou l'intendante du Référentiel cantonal assure de manière coordonnée avec les intendants et intendantes métier la gestion centrale des données du Référentiel cantonal. Ses tâches consistent en particulier à:

1. organiser et superviser les opérations d'appariement de données nécessaires à la mise en œuvre et à l'exploitation du Référentiel cantonal;

2. élaborer des règles métier permettant de paramétrer les hiérarchies entre les sources de données et d'arbitrer les divergences constatées sur l'identité, le périmètre ou les attributs des personnes;

3. assurer la liaison du réseau d'intendance des données avec les organes de la gouvernance et le SITel.

L'intendant ou l'intendante du Référentiel cantonal est rattaché‑e hiérarchiquement au Service. Il ou elle adresse régulièrement un rapport d'évaluation au comité de qualité sur l'avancement de ses travaux et de ceux du réseau d'intendance des données.

Les partenaires pilotes désignent chacun un intendant ou une intendante des données à l'intérieur de leur métier. Les intendants et intendantes métier ont notamment pour tâches de:

1. veiller à la qualité des données partagées et des opérations de traitement dans leur domaine spécifique;

2. collaborer avec les autres intendants et intendantes en vue d'assurer une bonne coordination des opérations de traitement liées à la mise en œuvre et à l'exploitation du Référentiel cantonal.

Les intendants et intendantes métier forment entre eux un réseau d'intendance qui est chargé de la gestion opérationnelle liée à la consistance et à l'harmonisation des données du Référentiel cantonal et des registres sectoriels.

Le réseau d'intendance est présidé par l'intendant ou l'intendante du Référentiel cantonal. Celui-ci ou celle-ci est habilité‑e à donner aux intendants et intendantes métier des instructions en lien avec le Référentiel cantonal.

Lorsque le réseau d'intendance traite des thématiques qui concernent également les partenaires à obligations restreintes, ces derniers sont invités à prendre part aux discussions et à faire des propositions.

Les partenaires pilotes désignent un ou une délégué‑e à la protection des données référentielles à l'intérieur de leur métier. Les délégué‑e‑s à la protection des données ont en particulier pour attributions de:

1. veiller à la conformité des traitements avec les exigences légales en matière de protection des données et les conventions établies à l'intérieur de leur métier;

2. collaborer à l'établissement des conventions d'accès aux données référentielles;

3. collaborer à l'élaboration de directives, de conventions et de règlements d'utilisation liés au fonctionnement et à l'exploitation du Référentiel cantonal;

4. collaborer à l'élaboration des dispositions légales définitives sur le fonctionnement et l'exploitation du Référentiel cantonal;

5. rapporter des problèmes spécifiques concernant le traitement des données à l'intérieur de leur métier auprès du comité de conformité;

6. annoncer à la Commission ainsi qu'à l'ATPrDM les constats d'incidents et de violation des obligations liés à la sécurité et à la protection des données à l'intérieur de leur métier.

Le comité de conformité organise la formation de base afin que les délégué‑e‑s à la protection des données puissent remplir leurs attributions.

Les partenaires pilotes désignent chacun un référent ou une référente technique et organisationnel‑le à l'intérieur de leur métier. Les référents et référentes techniques et organisationnels ont pour tâches notamment de:

1. participer à la fixation des exigences et des objectifs liés à la mise en œuvre et à l'exploitation du Référentiel cantonal et de représenter les utilisateurs et utilisatrices du métier durant la phase pilote;

2. résoudre les éventuels conflits internes concernant la gestion et l'utilisation des données référentielles;

3. assurer à l'interne la gestion du changement et identifier les besoins de formation.

Les référents et référentes techniques et organisationnels peuvent rapporter des problèmes non résolus aux comités de gouvernance des données lorsqu'ils risquent d'avoir une influence négative importante sur l'organisation interne du métier.

Des communes peuvent être impliquées dans la phase de mise en œuvre et d'exploitation du Référentiel cantonal.

Elles peuvent en outre faire remonter aux organes de la gouvernance des thématiques et des problèmes liés au Référentiel cantonal qui les concernent directement. Elles peuvent dans ce cadre être invitées à participer aux séances des organes de la gouvernance.

Un identifiant unique cantonal est attribué aux personnes et organisations qui sont recensées dans un des systèmes d'information d'un des organes contributeurs de données au sens de l'article A2-1. Des dérogations sont possibles, notamment pour certaines catégories de population avec lesquelles l'administration n'entretient pas, faiblement ou plus de contact justifiant l'attribution d'un identifiant cantonal.

L'identifiant unique cantonal est utilisé pour assurer l'interopérabilité et l'interfaçage autorisé entre les systèmes.

Dans la mesure où ils ont déclaré leurs fichiers auprès de l'ATPrDM, les organes contributeurs de données au sens de l'article A2-1 al. 1 sont autorisés à:

1. intégrer l'identifiant unique cantonal dans leurs propres bases de données et à en faire usage dans le cadre de la tenue et de la gestion de leurs bases de données et de leurs échanges avec le Référentiel cantonal;

2. transmettre au Référentiel cantonal les identifiants sectoriels des personnes et organisations issus de leurs bases de données métier ainsi que les métadonnées de provenance. Le système ne peut les utiliser que pour assurer des correspondances entre les données métier et les données du Référentiel cantonal à des fins d'arbitrage, d'identification et de mise à jour automatique des données.

L'identifiant unique cantonal et les identifiants sectoriels ainsi que le numéro AVS transmis au Référentiel cantonal par un organe public ne peuvent pas être transmis à un autre organe public ni à tout autre tiers non autorisé.

Le Référentiel cantonal assure l'identification unique des personnes et organisations recensées. Il met en œuvre les traitements nécessaires à cette fin.

Les organes autorisés à faire usage du numéro AVS ne peuvent l'utiliser dans le cadre de leurs échanges avec le Référentiel cantonal que dans la mesure où le droit fédéral le permet.

Le numéro AVS peut être utilisé aux mêmes conditions à des fins d'identification.

Les données de référence qui proviennent des organes contributeurs de données au sens de l'article A2-1 et pour lesquelles une convention de partage a été conclue sont systématiquement appariées entre elles.

Les opérations d'appariement servent uniquement à:

1. observer la consistance réelle des données partageables dans les systèmes d'information des organes contributeurs de données;

2. apprécier le niveau de maturité en matière de gouvernance des données des organes contributeurs de données;

3. faire émerger les divergences et les incohérences des données référentielles en comparant les sources provenant de différents systèmes d'information en vue de procéder au nettoyage des données contradictoires;

4. faire émerger plus largement les risques de confusion entre les personnes ou organisations recensées en vue de leur traitement.

Les résultats des appariements réalisés peuvent également être utilisés pour consolider, compléter et mettre à jour les données du Référentiel cantonal ou d'un des systèmes d'information d'un des organes contributeurs de données, à la condition qu'il soit habilité à traiter les données en question conformément à la loi.

En principe, les opérations d'appariement sont réalisées de manière automatique selon les règles et les processus spécifiés par l'intendant ou l'intendante du Référentiel cantonal. Les modalités sont précisées dans un règlement d'utilisation.

Dans des cas d'espèce, l'intendant ou l'intendante du Référentiel cantonal peut procéder manuellement à des opérations d'appariement. Moyennant l'accord préalable de la Commission et de son ou sa supérieur‑e hiérarchique, l'intendant ou l'intendante peut désigner d'autres personnes pour procéder à ces opérations.

Toute personne qui participe aux opérations d'appariement doit jouir d'une réputation irréprochable, ne pas faire l'objet d'un acte de défaut de biens et ne pas avoir été condamnée pénalement pour des faits incompatibles avec cette tâche. Elle doit en outre disposer des connaissances nécessaires garantissant le traitement correct des données des points de vue de la technique et de la méthode.

L'intendant ou l'intendante du Référentiel cantonal ainsi que toute personne qui participe aux opérations d'appariement sont tenus de respecter strictement les exigences en matière de protection des données et de garder le secret sur tous les faits dont ils ont connaissance dans l'accomplissement de leurs tâches.

Seuls les personnes, les applications ou les processus autorisés ont accès aux données qui leur sont destinées. Les accès sont accordés individuellement et ne peuvent être ni partagés ni échangés.

Le périmètre et le catalogue des données sont déterminés conformément aux exigences de la législation en matière de protection des données.

L'accès aux données provenant des registres fédéraux se fait aux conditions des bases légales fédérales.

L'accès aux données du Référentiel cantonal est accordé sur la base d'une convention conclue entre l'organe public et la Commission. Le comité de conformité est consulté lorsque cela s'avère nécessaire.

La convention indique au minimum:

1. le type de données autorisées;

2. le périmètre des données autorisées;

3. le catalogue des données autorisées;

4. un descriptif des personnes, des applications et des processus autorisés à accéder aux données;

5. la finalité des accès;

6. les mesures de sécurité et de contrôle à respecter.

La convention d'accès est valable jusqu'à la fin de la phase pilote. Elle peut être renouvelée à l'issue de celle-ci conformément à une procédure spécialement établie par la loi.

L'organe public qui souhaite accéder à une donnée personnelle transmise au Référentiel cantonal conformément à l'article 7 al. 2 de l'ordonnance peut adresser une demande à la personne concernée pour que celle-ci lui en accorde l'accès et l'utilisation sur la base de son consentement libre et éclairé. En principe, la procédure est exécutée par le guichet de cyberadministration.

L'accès aux données du Référentiel cantonal est protégé par un dispositif comprenant:

1. une procédure d'authentification adaptée aux standards et bonnes pratiques consistant au moins en une authentification au moyen d'un nom d'utilisateur et d'un mot de passe;

2. un système de contrôle individuel des accès.

Les autorisations individuelles d'accès sont attribuées en fonction des rôles et des tâches que les systèmes ainsi que les utilisateurs et utilisatrices sont appelés à exécuter.

A condition qu'ils aient déclaré leurs fichiers conformément à la loi sur la protection des données, les organes ayant conclu une convention d'accès aux données du Référentiel cantonal disposent, en lien avec leurs propres bases de données, des mêmes droits que ceux qui sont décrits à l'article A3-1.

Le Référentiel cantonal établit et tient à jour automatiquement la liste des autorisations accordées sur les données qu'il partage.

Sur décision du Conseil d'Etat ou d'une Direction, le Service est autorisé à traiter les données du Référentiel cantonal à des fins de statistique, de planification ou de recherche scientifique, conformément aux dispositions de la législation sur la statistique et sur la protection des données.

La protection des données du Référentiel cantonal est harmonisée avec les mesures visant à assurer la sécurité de l'information en général. Les mesures prises à titre de sécurité des moyens informatiques sont proposées et mises en œuvre par le SITel en fonction des risques et des technologies existantes.

Les opérations de traitement sur les données du Référentiel cantonal font l'objet d'une procédure de journalisation permettant d'analyser les accès aux données, de mettre en évidence la survenance de dysfonctionnements et de répondre aux besoins de surveillance.

L'ATPrDM a accès en tout temps à toutes les informations qu'elle réclame concernant la mise en œuvre, l'exploitation et la maintenance du Référentiel cantonal. Elle peut procéder ou faire procéder à des audits pour vérifier que les exigences en matière de protection des données soient respectées.

L'ATPrDM est en outre invitée à donner son préavis à chaque étape clé de la phase pilote. Constituent notamment une étape clé:

1. l'élaboration de règlements d'utilisation;

2. l'élaboration des projets de convention entre la Commission et un organe contributeur ou consommateur de données;

3. toute décision d'une certaine importance qui influence de façon décisive le déroulement et l'organisation de la phase pilote.