Lexipedia

172.65.1

Règlement d'application de la loi du 11 septembre 2007 sur la protection des données personnelles (RLPrD)

du 29 octobre 2008

Préambule

LE CONSEIL D'ÉTAT DU CANTON DE VAUD

vu la loi du 11 septembre 2007 sur la protection des données personnelles A

vu le préavis du Département des finances et des relations extérieures

arrête

Art. 1 Conservation et élimination des données personnelles (ad art. 11)

Le responsable de traitement anonymise ou détruit les données personnelles qui ne sont plus nécessaires au but pour lequel elles ont été collectées. Il en informe le Préposé cantonal à la protection des données et à l'information (ci-après: le Préposé). Sont réservés les cas prévus par la loi sur la protection des données personnelles A et le présent règlement, ainsi que la législation relative aux archives.

Le Préposé est habilité à éditer des directives particulières relatives à la conservation et à l'élimination des données.

Art. 2 Communication à des tiers (ad art. 15, al. 1)

En cas de doute fondé, le responsable du traitement consulte le Préposé avant de statuer sur:

  1. la communication orale ou par listage de données à des tiers extérieurs à l'administration cantonale, en l'absence de disposition légale expresse;
  2. la création d'accès directs à des fichiers existants, la remise de copies de tout ou partie d'un fichier, la connexion entre fichiers ou tout autre moyen de transmission analogue, au bénéfice de tiers appartenant ou non à l'administration cantonale.

Art. 3 Communication de données pour un annuaire ou un autre ouvrage similaire (ad. art. 15, al. 3)

La communication de données provenant de fichiers soumis à la loi A pour un annuaire ou un autre ouvrage similaire d'intérêt général fait l'objet d'une convention entre son éditeur ou l'utilisateur et le responsable du traitement, sous réserve d'une autre disposition légale.

Art. 4 Contenu de la convention

La convention doit obligatoirement:

  1. énumérer les données personnelles transmises;
  2. déterminer la provenance des données personnelles transmises;
  3. charger l'éditeur d'accorder à l'intéressé l'accès aux données le concernant et de lui en indiquer la provenance;
  4. fixer la fréquence à laquelle l'ouvrage doit être publié avec les corrections et compléments demandés tant par le responsable du traitement que par les particuliers concernés;
  5. préciser les mesures de sécurité incombant à l'éditeur;
  6. prévoir le droit de contrôle du Préposé;
  7. fixer les conditions d'indemnisation à verser par l'éditeur.

La convention peut en outre:

  1. assortir la transmission de données personnelles d'autres clauses accessoires;
  2. prévoir une peine conventionnelle au cas où l'éditeur violerait ses obligations.

Art. 5 Accession aux données contenues dans un annuaire

Les données contenues dans un annuaire d'adresses ou un autre ouvrage similaire d'intérêt général peuvent être, rendues accessibles par un autre support, pour autant que les données et leurs critères de classification soient les mêmes que dans la publication.

Art. 6 Gestion des fichiers (ad art. 19, al. 2)

Le Préposé gère le registre des fichiers de telle sorte qu'il puisse être complété au fil des besoins.

Il le met à jour périodiquement, au minimum une fois par an.

Art. 7 Consultation (ad art. 19, al. 2 et art. 20, al. 1)

Le registre des fichiers est consultable sur le site internet du Préposé et peut être aussi consulté dans les locaux de ce dernier.

Il est publié dans son rapport d'activité.

Art. 8 Annonce de fichier (ad art. 20, al. 2)

Le Préposé peut édicter des directives relatives à la tenue du registre des fichiers. Y figurent impérativement le "descriptif du fichier" et le "registre des transmissions", qui mentionnent notamment ce qui suit:

  1. pour le "descriptif des fichiers": nature et but du fichier, existence de données sensibles et/ou de profils de la personnalité, provenance des données, co-exploitation, modalités d'accès au fichier; le descriptif des fichiers contient pour chaque fichier des indications complémentaires portant sur le nombre approximatif des personnes concernées et le moment prévu de la destruction des données ou de son archivage;
  2. pour le "registre des transmissions": tiers au bénéfice de la transmission, données personnelles transmises, disposition légale autorisant la transmission, décision, périodicité de la transmission, modalités de la transmission (accès au fichier). Des modalités particulières peuvent être convenues avec les services qui procèdent à un grand nombre de transmissions.

Art. 9 Vidéosurveillance (ad art. 22 et 23)

Les règlements communaux en matière de vidéosurveillance spécifient en particulier les points suivants:

  1. le but poursuivi par l'installation;
  2. les règles et procédures de sécurité concernant la conservation des images enregistrées, y compris celles extraites du système de vidéosurveillance;
  3. la ou les personne(s) autorisée(s) à gérer la vidéosurveillance;
  4. les règles d'accès aux images, y compris celles extraites du système de vidéosurveillance;
  5. l'information au public et ses modalités;
  6. l'emplacement et le champ de la ou des caméra(s);
  7. la durée de conservation des images et le mode de destruction des images.

Art. 10 Utilisation des informations recueillies par vidéosurveillance

Les informations recueillies par le biais d'un système de vidéosurveillance ne peuvent être utilisées que dans le cadre d'une procédure judiciaire.

Art. 11 Emoluments en cas de demande de consultation du fichier (ad art. 26, al. 6 et art. 33, al. 3)

Lorsque la réponse à la demande nécessite un travail dépassant une heure, un émolument de 40 francs par heure est perçu au-delà de cette durée, jusqu'à et y compris quatre heures. Au-delà, l'émolument s'élève à 60 francs par heure supplémentaire. Le demandeur est informé au préalable du coût probable.

En cas de demande sur le même sujet déposée plus de trois fois par année par la même personne, un émolument de 60 francs par heure est perçu.

Un émolument de 20 centimes par copie est perçu dès la 21ème page pour toute copie d'un dossier dépassant 20 pages.

Art. 12 Surveillance informatique

La surveillance des données enregistrées sur une base informatique est effectuée par le Préposé, avec l'appui de l'Office de sécurité de l'informatique cantonale (ci-après: OSIC).

A la demande du Préposé, l'OSIC peut notamment:

  1. contribuer à répondre à des demandes de conseils de la part des services et entités soumises à la loiA, par exemple lors de l'élaboration de projets informatiques;
  2. l'aider à obtenir les données nécessaires à la tenue du registre des fichiers;
  3. l'aider à contrôler le niveau de sécurité effectif des données personnelles et de leur transmission.

Le Préposé, après consultation de l'OSIC, peut édicter des directives sur le traitement des données enregistrées sur une base informatique (sécurité des données, etc.).

Art. 13 Exécution

Le Département des finances et des relations extérieures est chargé de l'exécution du présent règlement qui entre en vigueur le 1er novembre 2008.