Source: https://www.ppdt-june.ch/fr/Documentation/Guides-pratiques/Regles-a-respecter.html
Timestamp: 2019-07-17 06:34:35+00:00
Document Index: 45508184

Matched Legal Cases: ['art. 32', 'art. 37', 'art. 35', 'art. 12', 'art. 32', 'art. 33', 'art. 25', 'art. 30', 'art. 17', 'art. 15', 'art. 24', 'art. 5', 'art. 8', 'art. 83', 'art. 80', 'art. 40', 'art. 27', 'art. 20']

Accueil › Documentation › Guides pratiques › Règles à respecter
Les principales règles de protection des données à respecter pour le traitement de données personnelles sont :
S'assurer de ne traiter (récolter, conserver, communiquer, …) des données personnelles que si une base légale le prévoit ou si le traitement sert à l'accomplissement d'une tâche légale. La base légale prévoyant le traitement ou la tâche doit être adoptée par le Grand Conseil/Parlement ou le législatif communal, selon que le responsable du traitement soit une entité cantonale ou communale, pour traiter des données personnelles sensibles.
Traiter uniquement les données personnelles, sensibles ou non, nécessaires à l’accomplissement des tâches légales et propres à atteindre le but visé.
Traiter uniquement les données personnelles, sensibles ou non, dans le but qui est indiqué lors de leur collecte, qui est prévu par une base légale ou qui ressort des circonstances.
S'assurer que la sécurité est assurée (en principe par le service informatique de l'entité), en prenant des mesures organisationnelles et techniques appropriées, pour tous les traitements effectués avec des données personnelles, sensibles ou non. Par exemple, l'envoi de données personnelles par un e-mail non chiffré, le stockage dans dropbox, ..., ne respecte pas cette exigence,
S'assurer que les données personnelles traitées, sensibles ou non, sont exactes, conformes à la réalité, complètes et régulièrement mises à jour.
Assurer l'intégrité, la disponibilité et la confidentialité des données personnelles traitées.
S'assurer qu'un système d'information permettant l'échange entre plusieurs entités bénéficie d'une base légale suffisante (voir modèle). S'il s'agit de données personnelles sensibles, il en faut une adoptée par l'autorité législative (Grand Conseil/Parlement, Conseil général/Assemblée communale) dont dépend l'entité.
Si les conditions pour externaliser des traitements de données personnelles, sensibles ou non, sont remplies, établir un contrat avec le sous-traitant (voir modèle). Ceux-ci doivent se faire en Suisse lorsque les données personnelles, sensibles ou non, sont soumises au secret de fonction.
Etablir un répertoire interne des fichiers, accessible par tous les administrés.
Annoncer au PPDT les fichiers contenant des données personnelles sensibles à l’aide de ce formulaire.
Ne conserver les données personnelles que le temps nécessaire à l’accomplissement des tâches légales. À l’échéance, elles doivent être proposées à l'entité responsable des archives.
S'assurer qu'un processus existe pour que toute personne puisse obtenir l'accès à ses données personnelles rapidement lorsqu'elle en fait la demande.
Rendre rapidement une prise de position (et pas une décision) motivée sommairement lorsqu’il est refusé à une personne, partiellement ou totalement, l’accès à ses données personnelles ou un autre droit relatif à la protection de ses données personnelles.
Consulter le PPDT lorsque l'entité envisage d'installer une vidéosurveillance.
Consulter le PPDT lorsque l'entité envisage de faire adopter/réviser une base légale ayant un impact sur la protection des données et la transparence.
Consulter le PPDT lorsqu’il est envisagé d’offrir un accès en ligne à des données personnelles, sensibles ou non, nécessaires à une autre entité.
Obtenir l’accord de l'exécutif dont dépend l'entité pour livrer une liste de personnes (ex : personnes ayant atteint 65 ans) à des tiers (ex : association de retraité.e.s).
Enfin, il est conseillé d'aller parcourir la/les pages relative(s) à votre domaine d'activité pour avoir plus de détails.
Evolutions possibles du droit cantonal à l'horizon 2020
Données biométriques et génétiques entrent dans la catégorie sensible
Utilisation du terme profilage au lieu de profile de la personnalité
Utilisation du terme responsable de traitement et plus de maître de fichier
Loi obligatoire pour les traitements de données sensibles
Soumission au PPDT de tout projet de traitement comportant des risques élevés pour la personnalité
Analyse d’impact préalable s'il y a des risques élevés pour la personnalité
Obligation d’annonce au PPDT des violations de sécurité des données
Répartition des responsabilités pour traitements conjoints
Suppression de la communication du nom, prénom, date de naissance par «l’ensemble des services»
Devoir d’informer accru
Principales nouveautés RGPD/LPD
pas directement applicables aux entités
Système de contrôle interne garantissant la conformité (art. 32 ch. 1 let. d RGPD)
Délégué à la protection des données (art. 37 RGPD)
Analyse d’impact (art. 35 ss RGPD)
Devoir d’information plus élevé (art. 12 à 14 RGPD)
Mesures techniques et organisationnelles de sécurité plus élevées (art. 32 RGPD)
Communiquer les brèches de sécurités dans les 72 heures (art. 33 RGPD)
Privacy «by design» (art. 25 RGPD)
Registre des activités de traitement (art. 30 RGPD)
Droit à l’oubli renforcé (art. 17 RGPD)
Informations sur le droit d’accès renforcées (art. 15 RGPD)
Exigences plus élevées pour les sous-traitances et transferts (art. 24-27 et 44-49 RGPD)
Renforcement des principes et de la protection des données sensibles (art. 5 à 9 RGPD)
Conditions spécifiques pour les enfants (art. 8 et 9 RGPD)
Sanctions (art. 83 RGPD)
Class Action (art. 80 RGPD)
Code de conduite pour la bonne application (pas obligatoire) (art. 40 RGPD)
Autorités et organismes publics exemptés de :
Désigner un représentant dans l’UE (art. 27 ch. 1 et 2 let. b RGPD)
Portabilité des données (art. 20 ch.1 et 3 RGPD)