Zweck
Art. 1

Deutsch: Dieses Gesetz bezweckt den Schutz der Grundrechte von Personen, deren Daten bearbeitet werden.

Français: La présente loi vise à protéger les droits fondamentaux des personnes dont les données personnelles font l'objet d'un traitement.
Art. 10

Deutsch: Personendaten, die für den Zweck der Bearbeitung nicht mehr nötig sind, werden vernichtet oder anonymisiert. Die Bestimmungen über die Archivierung bleiben vorbehalten.
Mit geeigneten Schutzmassnahmen können sie insofern für längere Zeit aufbewahrt werden, soweit sie gemäss Artikel 26 ausschliesslich zu Zwecken, die sich nicht auf die Person beziehen, dienen.

Français: Les données personnelles qui ne sont plus nécessaires au regard des finalités du traitement sont détruites ou anonymisées. Sont réservées les dispositions en matière d'archivage.
Moyennant des mesures de protection appropriées, des données peuvent être conservées pour des durées plus longues dans la mesure où, conformément à l'article 26, elles servent exclusivement à des fins ne se rapportant pas à la personne.
Art. 11

Deutsch: Das öffentliche Organ, das besonders schützenswerte Personendaten bearbeitet, Profiling betreibt oder Daten zu Zwecken oder nach Modalitäten, die ein erhöhtes Risiko der Verletzung der Grundrechte mit sich bringt, bearbeitet, muss alle nötigen Massnahmen ergreifen, um dieses Risiko zu verringern.

Français: L'organe public qui traite des données sensibles, exerce des activités de profilage ou traite des données pour des finalités ou selon des modalités présentant un risque accru d'atteinte aux droits fondamentaux doit prendre toutes les dispositions nécessaires pour diminuer les risques.
Art. 12

Deutsch: Der Verantwortliche informiert die betroffene Person angemessen über das Beschaffen von Personendaten.
Wenn die Personendaten direkt bei der betroffenen Person beschafft werden, gibt ihr der Verantwortliche mindestens folgende Informationen:
Werden Personendaten bei einem anderen Organ oder bei Dritten beschafft, so teilt der Verantwortliche der betroffenen Person so bald wie möglich, aber spätestens bei ihrer ersten Verwendung die Informationen nach Absatz 1 und die Art der beschafften Daten mit.

Français: Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles.
Lorsque la collecte de données personnelles s'effectue directement auprès de la personne concernée, le responsable du traitement veille à lui fournir au moins les informations suivantes:
Si les données personnelles sont collectées auprès d'un autre organe ou de tiers, le responsable du traitement communique à la personne concernée, dans les meilleurs délais mais au plus tard lors de leur première utilisation, les informations mentionnées à l'alinéa 1, ainsi que le type de données collectées.
Art. 13

Deutsch: Der Verantwortliche ist von der Informationspflicht entbunden, wenn:
Ausserdem kann unter denselben Voraussetzungen und aus denselben Gründen wie denjenigen nach Artikel 29 Abs. 1 von der Informationspflicht abgewichen werden.

Français: Le responsable de traitement est délié de son devoir d'information dans les cas suivants:
Il peut en outre être dérogé au devoir d'informer aux mêmes conditions et pour les mêmes motifs que ceux indiqués à l'article 29 al. 1.
Art. 14

Deutsch: Personendaten dürfen nur dann systematisch bekanntgegeben, weitergegeben, verbreitet oder zugänglich gemacht werden, wenn es in einer gesetzlichen Bestimmung vorgesehen wird.
Personendaten können im Einzelfall bekanntgegeben werden, wenn:
Im Fall nach Absatz 2 Bst. c wird die betroffene Person vorher aufgefordert, Stellung zu nehmen, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismässigem Aufwand verbunden.
Der Zugang zu Personendaten über ein Abrufverfahren, namentlich ein Online-Zugriff, darf nur gewährt werden, wenn es in einer gesetzlichen Bestimmung vorgesehen wird.

Français: Des données personnelles ne peuvent être communiquées, transmises, diffusées ou rendues accessibles de manière systématique que si une disposition légale le prévoit.
Des données personnelles peuvent être communiquées dans un cas d'espèce si:
Dans le cas prévu à l'alinéa 2 let. c, la personne concernée sera préalablement invitée à se prononcer à moins que cela ne s'avère impossible ou ne nécessite des efforts disproportionnés.
L'accès à des données personnelles au moyen d'une procédure d'appel, notamment un accès en ligne, ne peut être accordé que si une disposition légale le prévoit.
Art. 15

Deutsch: Die Übermittlung von Personendaten einer natürlichen Person an einen ausländischen Staat oder ein internationales Organ ist nur soweit zulässig, als in einem Entscheid des Bundesrats bezeugt wird, dass der Empfängerstaat oder das internationale Organ ein angemessenes Datenschutzniveau gewährleistet.
Fehlt ein solcher Entscheid, so dürfen die Daten nur bekanntgegeben werden, wenn:
Die oder der Öffentlichkeits- und Datenschutzbeauftragte (die oder der Beauftragte) wird vor der Bekanntgabe von Personendaten ins Ausland rechtzeitig über die Garantien nach Absatz 2 Bst. a informiert. Auf Anfrage kann sie oder er jederzeit Informationen erhalten, um zu überprüfen, ob eine Bekanntgabe von Daten ins Ausland den Anforderungen nach den Buchstaben b‒e entspricht.
Nicht als Bekanntgabe ins Ausland wird die einfache Veröffentlichung von Daten auf einer Website, die der Öffentlichkeit offensteht, betrachtet.

Français: Les données personnelles d'une personne physique peuvent être communiquées vers un Etat étranger ou vers un organisme international dans la mesure où il existe une décision du Conseil fédéral attestant que l'Etat ou l'organisme international destinataire des données garantit un niveau de protection adéquat.
En l'absence d'une telle décision, la communication ne peut avoir lieu que si:
Avant la communication des données personnelles à l'étranger, le ou la préposé-e à la transparence et à la protection des données (ci-après: le ou la préposé-e) est informé-e à temps des garanties prévues à l'alinéa 2 let. a. Sur demande, il ou elle peut en tout temps obtenir des informations visant à vérifier qu'une communication de données à l'étranger répond aux exigences formulées aux lettres b à e.
Ne sont pas considérées comme faisant l'objet d'une communication à l'étranger les données qui sont simplement publiées au moyen d'un site Internet ouvert au public.
Art. 16

Deutsch: Die Bekanntgabe wird abgelehnt, eingeschränkt oder mit Auflagen verbunden, wenn:

Français: La communication est refusée, restreinte ou assortie de charges:
Art. 17

Deutsch: Die Bekanntgabe von Personendaten, die bei der Einwohnerkontrolle oder im Kantonalen Bezugssystem eingetragen sind, wird in den entsprechenden Gesetzen geregelt.
Die öffentliche Bekanntgabe von Personendaten richtet sich ausserdem nach der Gesetzgebung über die Information und den Zugang zu Dokumenten.

Français: La communication des données personnelles qui sont inscrites au contrôle des habitants et dans le Référentiel cantonal est régie par les lois y relatives.
La communication de données personnelles au public est régie par la législation sur l'information et l'accès aux documents.
Art. 18

Deutsch: Die Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Daten, kann unter den in diesem Gesetz festgelegten Bedingungen ausgelagert werden.
Die Daten müssen jederzeit auf dem Gebiet der Schweiz oder auf dem Gebiet eines Staates, der ein angemessenes Schutzniveau gewährleistet, bearbeitet werden.
Wenn die Auslagerung eine Delegation von Aufgaben an Dritte im Sinne von Artikel 54 KV [1] zur Folge hat, gelten die besonderen Anforderungen gemäss dieser Bestimmung.
Einmal pro Legislaturperiode legt der Staatsrat im Rahmen seines Richtplans der Digitalisierung eine Bestandesaufnahme zur Auslagerung der Datenbearbeitung vor.

Français: Le traitement de données personnelles, y compris de données sensibles, peut être externalisé aux conditions posées par la présente loi.
Les lieux de traitement doivent être situés en tout temps sur le territoire suisse ou sur le territoire d'un Etat garantissant un niveau de protection des données adéquat.
Lorsque l'externalisation implique une délégation de tâches à des tiers au sens de l'article 54 Cst. [1] , les exigences particulières prévues par cette disposition sont applicables.
Une fois par législature, le Conseil d'Etat présente un état des lieux sur l'externalisation du traitement des données dans le cadre de son plan directeur de la digitalisation.
Art. 19

Deutsch: Das öffentliche Organ, das eine Auslagerung vornimmt, bleibt für den Schutz der Personendaten, insbesondere für die Vertraulichkeit und die Dauerhaftigkeit ihrer Aufbewahrung und Nutzung, verantwortlich. Insbesondere:
Bei der Kantonsverwaltung übernehmen das sachlich zuständige Organ und das Amt, das für die Informatik zuständig ist [2] , gemeinsam die Verantwortung für die Umsetzung und die Kontrolle der Vorschriften über die Auslagerung. Fälle, in denen das sachlich zuständige Organ seine Informatiksysteme ganz oder teilweise autonom verwaltet, bleiben vorbehalten.
Wenn die Auslagerung mehrere verschiedene Organe desselben Gemeinwesens betrifft, wird ein hauptverantwortliches Organ bezeichnet. Im Übrigen gilt Absatz 2.

Français: L'organe public qui procède à une externalisation demeure responsable de la protection des données personnelles, en particulier de leur confidentialité ainsi que de la pérennité de leur conservation et de leur exploitation. En particulier:
Au sein de l'administration cantonale, la responsabilité de la mise en œuvre et du suivi des règles en matière d'externalisation est assumée conjointement par l'organe compétent à raison de la matière et par le service en charge de l'informatique [2] . Sont réservés les cas dans lesquels l'organe compétent à raison de la matière gère de manière autonome tout ou partie de ses systèmes informatiques.
Lorsque l'externalisation concerne plusieurs organes différents au sein d'une même collectivité publique, un organe principalement responsable est désigné. L'alinéa 2 s'applique pour le surplus.
Art. 2

Deutsch: Das Gesetz gilt für folgende öffentliche Organe:
Es gilt für anerkannte Kirchen, es sei denn, sie haben Datenschutzbestimmungen erlassen, die ein angemessenes Schutzniveau gewährleisten, und eine eigene Aufsichtsbehörde eingesetzt.

Français: La loi s'applique aux organes publics suivants:
Elle s'applique aux Eglises reconnues à moins qu'elles aient adopté des dispositions en matière de protection des données garantissant un niveau de protection adéquat et qu'elles aient institué leur propre autorité de surveillance.
Art. 20

Deutsch: Die Integrität, die Authentizität, die Verfügbarkeit und die Vertraulichkeit der ausgelagerten Personendaten sowie die Dauerhaftigkeit ihrer Aufbewahrung und Nutzung müssen durch geeignete organisatorische und technische Massnahmen, die der Entwicklung der verfügbaren Technologien angepasst sind, sichergestellt werden.
Die Definition der Sicherheitsmassnahmen berücksichtigt das Risiko, welches das Bearbeiten der fraglichen Daten für die Grundrechte der betroffenen Personen mit sich bringt.
Wenn die Auslagerung Daten betrifft, die für den Betrieb der Verwaltung unentbehrlich sind, muss die Fortführung der ausgelagerten Tätigkeiten bei einem Zwischenfall mit einem angemessenen Dispositiv sichergestellt werden.

Français: L'intégrité, l'authenticité, la disponibilité et la confidentialité des données personnelles externalisées ainsi que la pérennité de leur conservation et de leur exploitation doivent être garanties par des mesures organisationnelles et techniques appropriées et adaptées à l'évolution des technologies disponibles.
La définition des mesures de sécurité tient compte des risques que le traitement des données en question présente pour les droits fondamentaux des personnes concernées.
Lorsque l'externalisation concerne des données indispensables au fonctionnement de l'administration, la continuité des activités externalisées doit, en cas d'incident, être garantie par un dispositif adéquat.
Art. 21

Deutsch: Die Bearbeitung von besonders schützenswerten Personendaten und die Bearbeitung von Daten, die einer gesetzlichen oder vertraglichen Geheimhaltungspflicht unterliegen, darf dann ausgelagert werden, wenn die Vertraulichkeit gegenüber dem Auftragsbearbeiter sichergestellt ist, so dass dieser auf deren Inhalt keinen Zugriff hat.
Wenn der Auftragsbearbeiter aus technischen Gründen unbedingt Zugriff auf die Daten haben muss, werden im Auslagerungsvertrag die nötigen besonderen Anforderungen festgelegt, insbesondere die Verpflichtung des Auftragsbearbeiters, nur mit ausdrücklicher Zustimmung des öffentlichen Organs, das die Daten auslagert, auf den Inhalt der Daten zuzugreifen, und die Pflicht, ein Zugriffsjournal zu führen.
Bei der Auslagerung von Daten, die einer gesetzlichen Geheimhaltungspflicht unterliegen, stellt der Verantwortliche sicher, dass der Auftragsbearbeiter den Status einer Hilfsperson des Geheimnisträgers hat.

Français: Le traitement de données personnelles sensibles et le traitement de données qui font l'objet d'une obligation légale ou contractuelle de garder le secret peuvent être externalisés si la confidentialité à l'égard du sous-traitant est assurée de manière que ce dernier ne puisse avoir accès à leur contenu.
Lorsque le sous-traitant doit impérativement avoir accès aux données pour des raisons techniques, le contrat d'externalisation fixe les exigences particulières nécessaires, en particulier l'engagement du sous-traitant de n'accéder au contenu des données qu'avec le consentement exprès de l'organe public qui procède à l'externalisation et l'obligation de tenir un journal des accès.
Lors de l'externalisation de données soumises à une obligation légale de garder le secret, le responsable du traitement s'assure que le sous-traitant ait le statut d'auxiliaire du détenteur du secret.
Art. 22

Deutsch: Wenn ein Pilotprojekt im Sinne von Artikel 35 des E-Government-Gesetzes vom 18. Dezember 2020 (E-GovG) [3] die Bearbeitung besonders schützenswerter Personendaten oder andere Arten der Bearbeitung im Sinn von Artikel 5 Abs. 3 beinhaltet, so unternimmt das für das Pilotprojekt verantwortliche Organ Folgendes:
Die Unterlagen des Pilotprojekts und der Evaluierungsbericht müssen jeweils mindestens einen Teil enthalten, der sich mit der Bearbeitung von Personendaten und deren Schutz befasst.
Die Aufsichtsbehörde kann zum Inhalt der Unterlagen des Pilotprojekts und des Evaluierungsberichts Stellung nehmen. Ihre Stellungnahme wird dem Staatsrat mitgeteilt.

Français: Lorsqu'un projet pilote au sens de l'article 35 de la loi du 18 décembre 2020 sur la cyberadministration (LCyb) [3] inclut le traitement de données sensibles ou d'autres types de traitement au sens de l'article 5 al. 3, l'organe responsable du projet pilote:
Le dossier du projet pilote et le rapport d'évaluation doivent contenir chacun au minimum une partie consacrée au traitement des données personnelles ainsi qu'à leur protection.
L'Autorité de surveillance peut prendre position sur le contenu du dossier du projet pilote et du rapport d'évaluation. Sa prise de position est communiquée au Conseil d'Etat.
Art. 23

Deutsch: Personendaten unterliegen der Gesetzgebung über die Archivierung; ihre Archivwürdigkeit wird in Zusammenarbeit mit den für das historische Archiv zuständigen Organen bestimmt.

Français: Les données personnelles sont soumises à la législation sur l'archivage; leur valeur archivistique est déterminée en collaboration avec les organes en charge des archives historiques.
Art. 24

Deutsch: Personendaten, deren Aufbewahrung keinem Zweck mehr dient und die nicht archivwürdig sind, werden so bald wie möglich mit geeigneten Mitteln, welche die gesicherte Beseitigung gewährleisten, gelöscht oder vernichtet.
Die Datenträger werden beim Recycling oder beim Ersetzen zerstört, wenn das Risiko besteht, dass unbefugte Personen besonders schützenswerte Personendaten, die gelöscht wurden, einsehen könnten.

Français: Les données personnelles dont la conservation ne poursuit plus aucune finalité et qui n'ont pas de valeur archivistique sont effacées ou détruites dès que possible par des moyens appropriés qui assurent leur élimination sécurisée.
Les supports de données sont détruits au moment de leur recyclage ou de leur remplacement lorsqu'il existe un risque que des données sensibles ayant été effacées puissent être consultées par des personnes non autorisées.
Art. 25

Deutsch: Die Vorschriften über die Videoüberwachung befinden sich in der einschlägigen Gesetzgebung.

Français: Les règles en matière de vidéosurveillance sont énoncées dans la législation y relative.
Art. 26

Deutsch: Die öffentlichen Organe dürfen Personendaten bearbeiten und für nicht personenbezogene Zwecke, namentlich für die Forschung, die Planung und die Statistik, unter folgenden Voraussetzungen bekanntgeben:
Die Artikel 5 Abs. 2 und 3, 7 und 14 Abs. 1 gelten nicht.
Privatpersonen, die von einem öffentlichen Organ Personendaten für die Bearbeitung zu nicht personenbezogenen Zwecken erhalten, verpflichten sich schriftlich, die nötigen Vorsichtsmassnahmen zu ergreifen, um die Persönlichkeit der betroffenen Personen zu schützen.

Français: Les organes publics sont en droit de traiter des données personnelles et de les communiquer à des fins ne se rapportant pas à la personne – notamment dans le cadre de la recherche, de la planification ou de la statistique – aux conditions suivantes:
Les articles 5 al. 2 et 3, 7 et 14 al. 1 ne sont pas applicables.
Les personnes privées qui reçoivent des données personnelles de la part d'un organe public en vue d'un traitement à des fins ne se rapportant pas à la personne s'engagent par écrit à prendre toutes les précautions nécessaires pour protéger la personnalité des personnes concernées.
Art. 27

Deutsch: Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
Das Auskunftsrecht gilt namentlich für folgende Informationen:
Lässt ein öffentliches Organ Daten durch einen Auftragsbearbeiter bearbeiten, so bleibt es verpflichtet, die Daten bekanntzugeben und die verlangten Auskünfte zu erteilen.
Niemand darf im Voraus auf das Auskunftsrecht verzichten.

Français: Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
Le droit d'accès porte en particulier sur les informations suivantes:
L'organe public qui fait traiter des données par un sous-traitant demeure tenu de communiquer les données et de fournir les renseignements demandés.
Nul ne peut renoncer par avance à son droit d'accès.
Art. 28

Deutsch: Wer das Auskunftsrecht geltend macht, muss seine Identität nachweisen.
Die Auskünfte werden in der Regel schriftlich auf einem physischen Träger oder elektronisch erteilt. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten auch vor Ort einsehen.
Das Verfahren ist kostenlos. Der Staatsrat kann Ausnahmen vorsehen.

Français: La personne qui fait valoir son droit d'accès doit justifier de son identité.
Les renseignements sont, en règle générale, fournis par écrit sur un support physique ou de façon électronique. En accord avec le responsable du traitement, la personne concernée peut également consulter ses données sur place.
La procédure est gratuite. Le Conseil d'Etat peut prévoir des exceptions.
Art. 29

Deutsch: Der Verantwortliche kann die Auskunft verweigern, einschränken oder auf-schieben, wenn und soweit:
Die Bekanntgabe von Daten, die im historischen Archiv abgelegt sind, kann ebenfalls verweigert, eingeschränkt oder aufgeschoben werden, wenn die Behandlung des Gesuchs nicht mit einer rationellen Verwaltungsführung vereinbar ist und die betroffene Person kein schutzwürdiges Interesse geltend macht.
Der Verantwortliche muss angeben, aus welchem Grund er die Auskunft verweigert, einschränkt oder aufschiebt.

Français: Le responsable du traitement peut refuser, restreindre ou différer la communication des données si et dans la mesure où:
La communication des données versées aux archives historiques peut également être refusée, restreinte ou différée lorsque le traitement de la demande est incompatible avec une gestion administrative rationnelle et que la personne concernée ne fait pas valoir un intérêt digne de protection à son exécution.
Le responsable du traitement doit indiquer pour quel motif il refuse, restreint ou diffère la communication des renseignements.
Art. 3

Deutsch: Dieses Gesetz gilt für jegliche Bearbeitung von Personendaten, die von einem öffentlichen Organ im Sinne von Artikel 2 ausgeführt wird.
Ausgenommen sind:

Français: La présente loi s'applique à tous les traitements de données personnelles accomplis par un organe public au sens de l'article 2.
Font exception:
Art. 30

Deutsch: Auf Verlangen gewährt der Verantwortliche kostenlos Einsicht in die Personendaten einer verstorbenen Person, wenn:
Ein Interesse an der Einsichtnahme besteht, wenn ein nahes Verwandtschaftsverhältnis, eine Ehe oder eine eheähnliche Gemeinschaft mit der verstorbenen Person vorliegt.
Für den Zugang zu Daten, die dem Berufsgeheimnis unterliegen, bleibt Artikel 321 StGB [6] vorbehalten.

Français: Sur demande, le responsable du traitement accorde la consultation gratuite des données personnelles d'une personne décédée si:
Un intérêt à la consultation des données est établi en présence d'un lien de parenté proche, d'un mariage ou d'une communauté de vie analogue au mariage avec la personne décédée.
Pour l'accès aux données soumises au secret professionnel, l'article 321 du code pénal suisse [6] est réservé.
Art. 31

Deutsch: Die betroffene Person kann gegen das Bekanntgeben bestimmter Personendaten durch den Verantwortlichen Einsprache einlegen.
Personendaten dürfen trotz Einsprache von Seiten der betroffenen Person bekanntgegeben werden, wenn:
In den Situationen nach Absatz 2 Bst. c wird die betroffene Person soweit möglich vorgängig angehört. Der Verantwortliche entscheidet über die Bekanntgabe mit einem Entscheid.
Die Artikel 11 und 27 Abs. 1 Bst. c und Abs. 2 des Gesetzes vom 9. September 2009 über die Information und den Zugang zu Dokumenten (InfoG) [7] bleiben vorbehalten.

Français: La personne concernée peut s'opposer par avance à ce que le responsable du traitement communique des données personnelles déterminées.
Malgré l'opposition de la personne concernée, la communication peut néanmoins avoir lieu lorsque:
Dans les situations visées à l'alinéa 2 let. c, la personne concernée sera préalablement entendue dans la mesure du possible. Le responsable du traitement statue sur la communication au moyen d'une décision.
Les articles 11 et 27 al. 1 let. c et al. 2 de la loi du 9 septembre 2009 sur l'information et l'accès aux documents (LInf) [7] sont réservés.
Art. 32

Deutsch: Die betroffene Person kann vom Verantwortlichen verlangen, dass er ihr die sie betreffenden Personendaten in einem häufig verwendeten elektronischen Format zur Verfügung stellt, wenn die folgenden Bedingungen erfüllt sind:
Sofern die Voraussetzungen nach Absatz 1 erfüllt sind und kein unverhältnismässiger Aufwand nötig ist, kann die betroffene Person ausserdem vom Verantwortlichen verlangen, dass er die sie betreffenden Personendaten einem anderen Verantwortlichen übermittelt.
Der Verantwortliche händigt die Personendaten kostenlos aus oder übermittelt sie. Die Spezialgesetzgebung bleibt vorbehalten.

Français: La personne concernée peut demander au responsable du traitement qu'il lui remette sous un format électronique couramment utilisé les données personnelles la concernant lorsque les conditions suivantes sont réunies:
Pour autant que les conditions de l'alinéa 1 soient remplies et que cela n'exige pas des efforts disproportionnés, la personne concernée peut en outre demander au responsable du traitement qu'il transmette les données personnelles la concernant à un autre responsable du traitement.
Le responsable du traitement remet ou transmet gratuitement les données personnelles. La législation spéciale est réservée.
Art. 33

Deutsch: Wer ein schutzwürdiges Interesse hat, kann vom Verantwortlichen verlangen, dass er:
Sie oder er kann insbesondere verlangen, dass der Verantwortliche:
Personendaten in Archivbeständen oder in öffentlich zugänglichen Beständen dürfen weder berichtigt noch vernichtet werden. Die betroffene Person oder jede Person, die ein schutzwürdiges Interesse hat, kann jedoch verlangen, dass die Einrichtung den Zugang zu den umstrittenen Daten einschränkt und/oder einen entsprechenden Vermerk anbringt.

Français: Quiconque a un intérêt digne de protection peut exiger du responsable du traitement qu'il:
En particulier, il ou elle peut demander au responsable du traitement qu'il:
Les données personnelles contenues dans des fonds d'archive ou des fonds ouverts au public ne peuvent être ni rectifiées ni détruites. La personne concernée ou toute personne qui dispose d'un intérêt digne de protection peut cependant demander que l'institution limite l'accès aux données litigieuses et/ou insère au dossier l'inscription d'une mention appropriée.
Art. 34

Deutsch: Für Entscheide, die nach diesem Abschnitt getroffen werden, gilt das Gesetz über die Verwaltungsrechtspflege [8] . Gegen diese Entscheide kann Beschwerde eingereicht werden.
Ausser wenn sich die betroffene Person dagegen wehrt, teilt das Organ, das den Entscheid gemäss Absatz 1 gefällt hat, ihn der Aufsichtsbehörde mit.
Die Aufsichtsbehörde kann gegen den Entscheid Beschwerde erheben.

Français: Le code de procédure et de juridiction administrative [8] est applicable aux décisions prises en application de la présente section. Ces décisions sont sujettes à recours.
A moins que la personne concernée ne s'y oppose, l'organe qui a rendu une décision au sens de l'alinéa 1 la communique à l'Autorité de surveillance.
L'Autorité de surveillance a qualité pour recourir contre la décision.
Art. 35

Deutsch: Die Person, die einen Schaden erleidet, weil die Bestimmungen dieses Gesetzes verletzt wurden, kann Schadenersatz- und Genugtuungsansprüche gemäss dem Gesetz über die Haftung der Gemeinwesen und ihrer Amtsträger [9] geltend machen.
Sie kann von der Richterin oder vom Richter verlangen, dass sie oder er das Urteil vollständig oder teilweise veröffentlicht oder Dritten mitteilen lässt.

Français: La personne qui subit un préjudice en raison d'une violation des dispositions de la présente loi peut faire valoir des prétentions en dommages-intérêts et en réparation du tort moral conformément à la loi sur la responsabilité civile des collectivités publiques et de leurs agents [9] .
Elle peut demander que le ou la juge ordonne la publication ou la communication à des tiers de tout ou partie de son jugement.
Art. 36

Deutsch: Jedes öffentliche Organ, das Personendaten bearbeitet, ist für den Datenschutz verantwortlich.
Bearbeiten mehrere öffentliche Organe zusammen Daten, so ist die Verteilung ihrer Pflichten beim Datenschutz in der Meldung nach Artikel 38 zu regeln, es sei denn, dass sie ausdrücklich aus einer gesetzlichen Bestimmung hervorgeht.
Die Aufteilung der Verantwortung nach Absatz 2 kann der betroffenen Person nicht entgegengehalten werden.

Français: Tout organe public qui traite des données personnelles est responsable de la protection des données.
Lorsque plusieurs organes publics traitent conjointement des données, la répartition de leurs obligations relatives à la protection des données est réglée dans la déclaration prévue à l'article 38, à moins qu'elle ne résulte expressément d'une disposition légale.
La répartition des responsabilités établie conformément à l'alinéa 2 n'est pas opposable à la personne concernée.
Art. 37

Deutsch: Das öffentliche Organ, das Personendaten von einem Auftragsbearbeiter bearbeiten lässt, bleibt für die Verpflichtungen nach der Gesetzgebung über den Datenschutz verantwortlich.
Die Bearbeitung von Personendaten kann einem Auftragsbearbeiter übertragen werden, sofern es in einem Vertrag oder einer Vereinbarung vorgesehen wird und die folgenden Bedingungen erfüllt sind:
Der Verantwortliche muss insbesondere sicherstellen, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.
Der Auftragsbearbeiter kann die gleichen Rechtfertigungsgründe geltend machen wie der Verantwortliche.
Sofern das Gesetz oder eine Vereinbarung zwischen Organen nichts anderes vorsieht, gelten die Vorschriften über die Auftragsbearbeitung nicht zwischen Organen, die derselben Körperschaft angehören. Artikel 36 Abs. 2 ist anwendbar.

Français: L'organe public qui fait traiter des données personnelles par un sous-traitant demeure responsable des obligations prévues par la législation en matière de protection des données.
Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou une convention le prévoie et que les conditions suivantes soient réunies:
Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données.
Le sous-traitant peut faire valoir les mêmes motifs justificatifs que le responsable du traitement.
A moins que la loi ou une convention entre organes n'en dispose autrement, les règles en matière de sous-traitance ne s'appliquent pas entre organes appartenant à une même collectivité. L'article 36 al. 2 est applicable.
Art. 38

Deutsch: Die Aufsichtsbehörde führt ein öffentliches Register der Bearbeitungstätigkeiten, die von den diesem Gesetz unterstellten Organen ausgeführt werden.
Für jede Bearbeitungstätigkeit enthält dieses Register die folgenden Informationen:
Alle Verantwortlichen melden der Aufsichtsbehörde die von ihnen durchgeführten Bearbeitungstätigkeiten und ihre jeweiligen Änderungen.
Bei der gemeinsamen Bearbeitung von Daten richtet der Verantwortliche, der die Erklärung für die Bearbeitung ausfüllt, eine Kopie an die übrigen Verantwortlichen.

Français: L'Autorité de surveillance tient un registre public des activités de traitement accomplies par les organes soumis à la présente loi.
Pour chaque activité de traitement, ce registre contient les informations suivantes:
Chaque responsable du traitement déclare à l'Autorité de surveillance les activités de traitement qu'il accomplit et leurs modifications successives.
En cas de traitements conjoints de données, le responsable du traitement qui remplit la déclaration du traitement adresse une copie de cette dernière aux autres responsables du traitement.
Art. 39

Deutsch: Soweit sie ausschliesslich zu internen Verwaltungszwecken, die für ein öffentliches Organ typisch sind, durchgeführt werden, unterliegen die folgenden Bearbeitungen nicht der Meldepflicht:
Auf Stellungnahme der Aufsichtsbehörde kann der Staatsrat für andere Kategorien der Bearbeitung, die offensichtlich kein Risiko für die Rechte der betroffenen Personen darstellen, Ausnahmen von der Meldepflicht vorsehen.

Français: Dans la mesure où ils sont exécutés exclusivement à des fins administratives internes propres à un organe public déterminé, les traitements suivants ne sont pas soumis à l'obligation de déclarer:
Sur préavis de l'Autorité de surveillance, le Conseil d'Etat peut prévoir des exceptions à l'obligation de déclarer pour d'autres catégories de traitements qui ne présentent manifestement pas de risques pour les droits des personnes concernées.
Art. 4

Deutsch: Die folgenden Ausdrücke bedeuten:

Français: On entend par:
Art. 40

Deutsch: Der Verantwortliche ist verpflichtet, geeignete technische und organisatorische Massnahmen zu treffen, damit bei der Bearbeitung dieses Gesetz und insbesondere die Grundsätze nach Abschnitt 2.1 beachtet werden. Er tut dies bereits bei der Konzeption der Bearbeitung.
Die getroffenen Massnahmen werden mit denjenigen, mit denen die Informationssicherheit der Verwaltung im Allgemeinen sichergestellt werden soll, und mit den Massnahmen zur Informatiksicherheit harmonisiert.
Der Verantwortliche muss durch geeignete Voreinstellungen sicherstellen, dass die Bearbeitung auf das für den verfolgten Zweck erforderliche Mindestmass beschränkt wird.
Die ergriffenen Massnahmen und die Wahl der Einstellungen werden dokumentiert.

Français: Le responsable du traitement est tenu de mettre en place des mesures techniques et organisationnelles appropriées afin que le traitement respecte la présente loi, en particulier les principes énoncés à la section 2.1. Il le fait dès la conception du traitement.
Les mesures mises en place sont harmonisées avec celles visant à assurer la sécurité des informations de l'administration en général, ainsi qu'avec les mesures de sécurité informatique.
Le responsable du traitement est tenu de garantir, par le biais de préréglages appropriés, que le traitement est limité au minimum requis par la finalité poursuivie.
Les mesures mises en place et le choix des réglages sont documentés.
Art. 41

Deutsch: Führt eine neue Bearbeitung von Daten voraussichtlich zu einem erhöhten Risiko für die Grundrechte der betroffenen Person, so muss der Verantwortliche vorgängig eine Datenschutz-Folgenabschätzung durchführen.
Ob das Risiko erhöht ist, hängt von der Art, vom Umfang, von den Umständen und von der Zweckbindung der Bearbeitung ab. Es ist namentlich in folgenden Fällen gegeben:
Die Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken aus technischer und rechtlicher Sicht sowie eine Beschreibung der Massnahmen, die zum Schutz der Grundrechte der betroffenen Personen vorgesehen sind.

Français: Lorsqu'un nouveau traitement de données est susceptible d'engendrer un risque élevé pour les droits fondamentaux de la personne concernée, le responsable du traitement procède préalablement à une analyse d'impact relative à la protection des données personnelles.
L'existence d'un risque élevé dépend de la nature, de l'étendue, des circonstances et de la finalité du traitement. Présentent notamment un risque élevé:
L'analyse d'impact contient une description du traitement envisagé, une évaluation des risques du point de vue technique et juridique ainsi qu'une description des mesures prévues pour protéger les droits fondamentaux des personnes concernées.
Art. 42

Deutsch: Der Verantwortliche hört die Aufsichtsbehörde an, wenn das Ergebnis der Folgenabschätzung bestätigt, dass ein erhöhtes Risiko für die Grundrechte der betroffenen Personen besteht, bei denen besondere Vorsichtsmassnahmen getroffen werden müssen.
Die Aufsichtsbehörde teilt innerhalb von zwei Monaten Einwände und Empfehlungen zur geplanten Bearbeitung mit. Ausnahmsweise kann diese Frist um einen Monat verlängert werden, wenn es sich um eine komplexe Bearbeitung von Daten handelt.
Der Verantwortliche informiert die Aufsichtsbehörde spätestens darüber, welche Folge seinen Empfehlungen gegeben wird, wenn die Bearbeitung, für welche die Folgenabschätzung gemacht wurde, beginnt.

Français: Le responsable du traitement consulte l'Autorité de surveillance lorsque le résultat de l'analyse d'impact confirme l'existence d'un risque élevé pour les droits fondamentaux des personnes concernées nécessitant de prendre des mesures de précaution particulières.
L'Autorité de surveillance communique ses éventuelles objections et recommandations concernant le traitement envisagé dans un délai de deux mois. Exceptionnellement, ce délai peut être prolongé d'un mois, lorsqu'il s'agit d'un traitement de données complexe.
Le responsable du traitement informe l'Autorité de surveillance de la suite donnée au plus tard au moment de débuter le traitement ayant fait l'objet de l'analyse d'impact.
Art. 43

Deutsch: Wenn der Verantwortliche eine Verletzung der Sicherheit der Personendaten feststellt, ergreift er unverzüglich geeignete Massnahmen, um die Verletzung zu beenden und ihre Auswirkungen zu minimieren.
Er hält in einem internen Dokument die Art der Verletzung, die Art der betroffenen Daten und die betroffenen Personenkategorien, die wahrscheinlichen Folgen für letztere und die Massnahmen fest, die ergriffen wurden, um die Situation zu verbessern.
Der Verantwortliche meldet der oder dem Beauftragten so schnell wie möglich Fälle von Verletzungen der Sicherheit von Personendaten, die voraussichtlich ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen.
Der Verantwortliche sorgt dafür, dass der Auftragsbearbeiter ihm unverzüglich jede Verletzung der Sicherheit der Personendaten meldet, die bei ihm aufgetreten ist.

Français: Lorsqu'il constate une violation de la sécurité des données personnelles, le responsable du traitement prend immédiatement les mesures appropriées afin de mettre fin à la violation et d'en minimiser les effets.
Il consigne dans un document interne la nature de la violation, le type de données concernées et les catégories de personnes touchées, les conséquences probables pour ces dernières et les mesures prises pour y remédier.
Le responsable du traitement annonce dans les plus brefs délais au ou à la préposé-e les cas de violation de la sécurité des données personnelles entraînant vraisemblablement un risque élevé pour les droits fondamentaux de la personne concernée.
Le responsable du traitement fait en sorte que le sous-traitant lui annonce sans tarder toute violation de la sécurité des données personnelles survenue chez lui.
Art. 44

Deutsch: Wenn dies aus Gründen der Transparenz erforderlich ist und/oder um der betroffenen Person die Möglichkeit zu geben, geeignete Massnahmen zur Wahrung ihrer Interessen zu ergreifen, informiert der Verantwortliche die betroffene Person über das Auftreten einer Verletzung der Datensicherheit.
In den folgenden Fällen kann er ausnahmsweise die Information der betroffenen Person einschränken, aufschieben oder darauf verzichten:
Wenn eine grosse Anzahl Personen von einer Verletzung der Datensicherheit betroffen ist, kann die Information in Form einer öffentlichen Mitteilung erfolgen. Der Verantwortliche sorgt in diesem Fall dafür, dass die Informationen so umfassend wie möglich sind.
Eine Verletzung der Datensicherheit kann auch auf Ersuchen der oder des Beauftragten gemeldet werden, wenn sie oder er der Meinung ist, dass die Voraussetzungen für eine solche Meldung erfüllt sind.

Français: Lorsque cette mesure s'impose pour des motifs de transparence et/ou pour permettre à la personne concernée de prendre les mesures utiles à la sauvegarde de ses intérêts, le responsable du traitement informe cette dernière de la survenance d'une violation de la sécurité des données.
Exceptionnellement, il peut restreindre l'information de la personne concernée, la différer ou y renoncer, dans les cas suivants:
Lorsque la violation de la sécurité des données touche un grand nombre de personnes, l'information peut avoir lieu sous la forme d'une communication publique. Le responsable du traitement veille dans ce cas à fournir une information aussi complète que possible.
Une annonce de la violation de la sécurité des données peut également avoir lieu sur requête du ou de la préposé-e lorsqu'il ou elle estime que les conditions d'une telle annonce sont réunies.
Art. 45

Deutsch: Jede Direktion bezeichnet mindestens eine Ansprechperson für den Datenschutz. Diese Funktion kann mit anderen Funktionen, insbesondere im Bereich der Informationssicherheit, kombiniert werden.
Die Ansprechperson für den Datenschutz erfüllt insbesondere folgende Aufgaben:
Die Ansprechperson für Datenschutz übt ihre Aufgaben selbstständig aus. Die Verantwortlichen geben ihr von Amtes wegen oder auf Verlangen alle Informationen, die sie für die Erfüllung ihrer Aufgaben braucht.
Die Ansprechpersonen für den Datenschutz bilden untereinander ein Kompetenznetzwerk. Der Staatsrat regelt die Organisation und die Arbeitsweise des Netzwerks.
Der Staatsrat kann die Pflicht zur Bezeichnung einer Ansprechperson für den Datenschutz über die Direktionen hinaus auch auf andere Einheiten der Kantonsverwaltung ausdehnen.

Français: Chaque Direction désigne au minimum un correspondant ou une correspondante à la protection des données. Cette fonction peut être cumulée avec d'autres fonctions, notamment dans le domaine de la sécurité de l'information.
Le correspondant ou la correspondante à la protection des données exerce notamment les tâches suivantes:
Le correspondant ou la correspondante à la protection des données exerce ses fonctions de manière autonome. Les responsables du traitement lui communiquent d'office ou sur demande toutes les informations utiles à l'accomplissement de ses tâches.
Les correspondants et les correspondantes à la protection des données forment entre eux un réseau de compétence. Le Conseil d'Etat règle l'organisation et le fonctionnement du réseau.
Le Conseil d'Etat peut étendre l'obligation de désigner un correspondant ou une correspondante à la protection des données à d'autres entités de l'administration cantonale que les Directions.
Art. 46

Deutsch: Die Aufsicht über den Datenschutz wird auf Kantonsebene und auf Gemeindeebene von der Kantonalen Behörde für Öffentlichkeit, Datenschutz und Mediation (Aufsichtsbehörde) ausgeübt.

Français: La surveillance de la protection des données à l'échelle du canton et des communes est assurée par l'Autorité cantonale de la transparence, de la protection des données et de la médiation (en abrégé: l'Autorité de surveillance).
Art. 47

Deutsch: Die Aufsichtsbehörde setzt sich aus der Kantonalen Öffentlichkeits-, Datenschutz- und Mediationskommission (der Kommission), der oder dem Öffentlichkeits- und Datenschutzbeauftragten (der oder dem Beauftragten) und der kantonalen Mediatorin oder dem kantonalen Mediator zusammen.
Sie erfüllt die Aufgaben, die ihr aufgrund dieses Gesetzes übertragen werden, durch die Kommission und die Beauftragte oder den Beauftragten.
Die Aufgaben, die sie in den Bereichen des Rechts auf Zugang zu amtlichen Dokumenten und der Mediation für Verwaltungsangelegenheiten wahrnimmt, werden in den einschlägigen Gesetzgebungen geregelt.

Français: L'Autorité de surveillance comprend la Commission cantonale de la transparence, de la protection des données et de la médiation (ci-après: la Commission), le ou la préposé-e à la transparence et à la protection des données (en abrégé: le ou la préposé-e) et le médiateur ou la médiatrice cantonal-e.
Elle exerce les tâches qui lui incombent en vertu de la présente loi par l'intermédiaire de la Commission et du ou de la préposé-e.
Les tâches qu'elle exerce dans les domaines du droit d'accès aux documents et de la médiation administrative sont régies par les législations y relatives.
Art. 48

Deutsch: Die kantonale Aufsichtsbehörde erfüllt ihre Aufgaben unabhängig.
Sie ist der Direktion, der sie angehört, administrativ zugewiesen. Sie verfügt über ein eigenes Sekretariat und die notwendigen Ressourcen, um ihre Aufgaben und die Ausübung ihrer Befugnisse effektiv wahrzunehmen.
Die Behörde verfügt über ein Globalbudget, dessen Betrag alljährlich bei der Verabschiedung des Staatsvoranschlags festgelegt wird. Zuvor richtet sie ihren eigenen Voranschlagsantrag an den Staatsrat. Dieser Antrag wird gemäss Artikel 61 Abs. 1 Bst. a des Gesetzes vom 16. Oktober 2001 über die Organisation des Staatsrates und der Verwaltung [10] behandelt.
Die Mitglieder der Behörde unterstehen ebenso wie deren Mitarbeiterinnen und Mitarbeiter dem Amtsgeheimnis und der Schweigepflicht.
Bei ihrem Amtsantritt und bei jeder späteren Änderung der Situation teilen die Mitglieder der Behörde ihre besonderen privaten und öffentlichen Interessenbindungen mit. Artikel 14 Abs. 1 Bst. b und 2 und 3 InfoG [11] gelten sinngemäss.
Für den Ausstand von Mitgliedern der Behörde gelten die Artikel 21–25 des Gesetzes über die Verwaltungsrechtspflege [12] .

Français: L'Autorité de surveillance est indépendante dans l'exercice de ses fonctions.
Elle est rattachée administrativement à la Direction dont elle relève. Elle a son propre secrétariat et dispose des ressources nécessaires à l'accomplissement effectif de ses fonctions et à l'exercice de ses pouvoirs.
L'Autorité dispose d'une enveloppe budgétaire dont le montant est déterminé chaque année à l'occasion de l'adoption du budget de l'Etat. Elle adresse auparavant sa propre proposition de budget au Conseil d'Etat. Cette proposition est traitée conformément à l'article 61 al. 1 let. a de la loi du 16 octobre 2001 sur l'organisation du Conseil d'Etat et de l'administration [10] .
Les membres de l'Autorité de même que ses collaborateurs et collaboratrices sont soumis au secret de fonction et à l'obligation de discrétion.
Au moment de leur entrée en fonction et lors de chaque changement de situation, les membres de l'Autorité signalent les liens particuliers qui les rattachent à des intérêts privés ou publics. L'article 14 al. 1 let. b et al. 2 et 3 LInf [11] s'appliquent par analogie.
Les articles 21 à 25 du code de procédure et de juridiction administrative du 23 mai 1991 [12] sont applicables à la récusation des membres de l'Autorité.
Art. 49

Deutsch: Die kantonale Öffentlichkeits-, Datenschutz- und Mediationskommission setzt sich aus der Präsidentin oder dem Präsidenten und sechs Mitgliedern zusammen, die vom Grossen Rat auf Vorschlag des Staatsrats gewählt werden.
Die Präsidentin oder der Präsident und die Mitglieder müssen in ihrer Gesamtheit über die Kenntnisse verfügen, die zur Erfüllung der Aufgaben der Kommission erforderlich sind; dieser gehören insbesondere eine Juristin oder ein Jurist, eine Fachperson aus dem Gesundheitswesen, eine Informatik- und Datensicherheitsspezialistin oder ein Informatik- und Datensicherheitsspezialist und eine Fachperson aus dem Medienbereich an.
Das Sekretariat der Kommission wird von der oder dem Beauftragten geführt; für die Dossiers in Zusammenhang mit den Mediationstätigkeiten kann das Sekretariat von der kantonalen Mediatorin oder dem kantonalen Mediator geführt werden.
Wenn nötig kann die Kommission Sachverständige beiziehen oder Drittpersonen zu einer Sitzung oder einem Teil einer Sitzung einladen und ihnen gegebenenfalls beratende Stimme geben.
Im Übrigen regelt die Kommission ihre Organisation und ihre Arbeitsweise.

Français: La Commission cantonale de la transparence, de la protection des données et de la médiation est formée d'un président ou d'une présidente et de six membres, élus par le Grand Conseil à la suite d'une proposition du Conseil d'Etat.
Le président ou la présidente et les membres doivent posséder, dans leur ensemble, les connaissances nécessaires à l'accomplissement des tâches de la Commission; celle-ci comprend, en particulier, un ou une juriste, un ou une professionnel-le de la santé, un ou une spécialiste en informatique et en sécurité des données et un ou une professionnel-le des médias.
Le secrétariat de la Commission est assuré par le ou la préposé‑e; pour les dossiers en lien avec les activités de médiation, le secrétariat peut être assuré par le médiateur ou la médiatrice cantonal‑e.
En cas de besoin, la Commission peut consulter des experts ou des expertes et inviter des tierces personnes à assister à tout ou partie de ses séances et, le cas échéant, à s'y exprimer avec voix consultative.
Pour le surplus, la Commission règle son organisation et son fonctionnement.
Art. 5

Deutsch: Das öffentliche Organ darf Personendaten nur dann bearbeiten, wenn es in einer gesetzlichen Bestimmung vorgesehen wird oder wenn die Erfüllung einer gesetzlichen Aufgabe dies erfordert.
Besonders schützenswerte Personendaten dürfen nur bearbeitet werden, wenn:
Profiling-Aktivitäten und die Bearbeitung von Personendaten, deren Zwecke oder Modalitäten ein hohes Risiko für die Grundrechte der betroffenen Personen bergen, dürfen nur durchgeführt werden, wenn es in einem Gesetz im formellen Sinne ausdrücklich vorgesehen wird.
Ausnahmsweise ist keine gesetzliche Grundlage erforderlich, um Personendaten, einschliesslich besonders schützenswerte, zu bearbeiten, wenn die Bearbeitung nötig ist, um wesentliche Interessen der betroffenen Person oder einer oder eines Dritten zu wahren.

Français: L'organe public n'est en droit de traiter des données personnelles que si une disposition légale le prévoit ou si l'accomplissement d'une tâche légale l'exige.
Le traitement de données sensibles ne peut avoir lieu que si:
Les activités de profilage et les traitements de données personnelles, dont les finalités ou les modalités présentent un risque élevé pour les droits fondamentaux des personnes concernées, ne peuvent avoir lieu que si une loi au sens formel le prévoit expressément.
Exceptionnellement, une base légale n'est pas exigée pour traiter des données personnelles, y compris sensibles, lorsque le traitement est nécessaire pour sauvegarder les intérêts essentiels de la personne concernée ou d'un tiers.
Art. 50

Deutsch: Die Kommission übt die allgemeine Aufsicht auf dem Gebiet des Datenschutzes aus. Sie hat namentlich folgende Befugnisse:
Die Kommission erstattet dem Staatsrat zuhanden des Grossen Rates alljährlich einen Bericht über ihre Tätigkeit und über die Tätigkeit der oder des Beauftragten und der kantonalen Mediatorin oder des kantonalen Mediators. Sie kann, sofern dies durch das öffentliche Interesse gerechtfertigt ist, die Öffentlichkeit über ihre Feststellungen informieren.

Français: La Commission exerce une surveillance générale dans le domaine de la protection des données. Elle a notamment pour attributions:
La Commission adresse chaque année au Grand Conseil, par l'intermédiaire du Conseil d'Etat, un rapport sur son activité ainsi que sur celle du ou de la préposé-e et du médiateur ou de la médiatrice cantonal‑e. Dans la mesure où l'intérêt général le justifie, elle peut informer le public de ses constatations.
Art. 51

Deutsch: Die oder der Öffentlichkeits- und Datenschutzbeauftragte wird vom Staatsrat für eine individuelle Amtszeit von fünf Jahren ernannt. Diese Anstellung kann erneuert werden.
Während der gesamten Dauer ihrer oder seiner Anstellung darf die oder der Beauftragte keine Tätigkeit ausüben, welche die Unabhängigkeit des Amtes beeinträchtigen könnte oder die auf andere Weise mit den Aufgaben der Aufsichtsbehörde unvereinbar wäre. Die Ausübung eines öffentlichen Nebenamtes oder einer nebenberuflichen Erwerbstätigkeit bedarf der Genehmigung durch die Kommission.
Zum Zeitpunkt der Anstellung und während der gesamten Dauer des Dienstverhältnisses muss die oder der Beauftragte über die für die Ausübung ihrer oder seiner Aufgaben erforderlichen Qualifikationen und/oder Erfahrungen verfügen.
Soweit in diesem Gesetz oder in der dazugehörigen Ausführungsverordnung nichts anderes bestimmt wird, wird das Dienstverhältnis der oder des Beauftragten in der Gesetzgebung über das Staatspersonal geregelt. Die jährliche Beurteilung im Sinne dieser Gesetzgebung wird von der Kommission durchgeführt.

Français: Le ou la préposé-e à la transparence et à la protection des données est nommé-e pour une période individuelle de 5 ans par le Conseil d'Etat. Cet engagement est reconductible.
Durant toute la durée de son engagement, le ou la préposé-e ne peut exercer aucune activité susceptible de porter atteinte à l'indépendance de sa fonction ou qui serait d'une autre manière incompatible avec les tâches de l'Autorité de surveillance. L'exercice d'une charge publique accessoire ou d'une activité lucrative accessoire est soumis à autorisation de la Commission.
Au moment de son engagement et durant toute la durée de ses rapports de service, le ou la préposé-e doit posséder les qualifications et/ou l'expérience nécessaires à l'exercice de ses fonctions.
Pour autant que la présente loi ou son ordonnance d'exécution n'en dispose pas autrement, les rapports de fonction du ou de la préposé-e sont régis par la législation sur le personnel de l'Etat. Son évaluation annuelle au sens de cette législation est réalisée par la Commission.
Art. 52

Deutsch: Die Amtszeit der oder des Beauftragten wird stillschweigend verlängert. Der Staatsrat kann jedoch spätestens sechs Monate vor Ablauf der Amtszeit einen Entscheid über die Nichterneuerung treffen. Er bittet zu diesem Zweck um die Stellungnahme der Kommission. Diesem Entscheid müssen triftige Gründe zugrunde liegen.
Die oder der Beauftragte kann den Staatsrat unter Einhaltung einer dreimonatigen Kündigungsfrist ersuchen, die Amtszeit auf das Ende eines Monats zu beenden.
Die oder der Beauftragte wird in folgenden Fällen des Amtes enthoben:
Der Entscheid, die Beauftragte oder den Beauftragten gemäss Absatz 3 Bst. b des Amtes zu entheben, liegt in der Kompetenz des Staatsrats. Dieser Entscheid kann auf Veranlassung des Staatsrats oder der Kommission getroffen werden. In jedem Fall holt der Staatsrat die Stellungnahme der Kommission ein.

Français: La période de fonction du ou de la préposé-e est reconduite tacitement. Toutefois, le Conseil d'Etat peut, au plus tard six mois avant l'échéance de la période de fonction, rendre une décision de non-reconduction. Il demande à cet effet le préavis de la Commission. Cette décision doit être fondée sur de justes motifs.
Moyennant un préavis de trois mois, le ou la préposé-e peut demander au Conseil d'Etat de mettre fin à la période de fonction pour la fin d'un mois.
Le ou la préposé-e peut être révoqué-e de ses fonctions dans les cas suivants:
La décision de relever le ou la préposé-e de ses fonctions conformément à l'alinéa 3 let. b est de la compétence du Conseil d'Etat. Cette décision peut être prise à l'initiative du Conseil d'Etat ou de la Commission. Dans tous les cas, le Conseil d'Etat sollicite le préavis de la Commission.
Art. 53

Deutsch: Ist die oder der Beauftragte dauerhaft verhindert, so ernennt der Staatsrat eine Person ad interim. Das Bezeichnungsverfahren wird gemeinsam von der Kommission und der Direktion, der die Behörde zugewiesen ist, durchgeführt.
Bei punktueller Verhinderung wird er oder sie von einer Person, die von der Kommission dazu bestimmt wird, vertreten.

Français: En cas d'empêchement durable du ou de la préposé-e, le Conseil d'Etat désigne une personne ad interim. La procédure de désignation est menée conjointement par la Commission et la Direction à laquelle l'Autorité est rattachée.
En cas d'empêchement ponctuel, il ou elle est remplacé‑e par une personne désignée à cet effet par la Commission.
Art. 54

Deutsch: Die oder der Beauftragte hat namentlich folgende Aufgaben:

Français: Le ou la préposé-e a notamment pour tâches:
Art. 55

Deutsch: Die Aufsichtsbehörde stellt durch geeignete Kontrollmassnahmen, insbesondere in Bezug auf die Datensicherheit, sicher, dass die Beachtung und die richtige Anwendung der kantonalen Datenschutzbestimmungen innerhalb ihrer Behörde gewährleistet ist.

Français: L'Autorité de surveillance s'assure, par des mesures de contrôle appropriées portant notamment sur la sécurité des données personnelles, du respect et de la bonne application des dispositions cantonales de protection des données en son sein.
Art. 56

Deutsch: Die oder der Beauftragte ist befugt, von Amtes wegen oder auf Klage hin eine Kontrolle bei einem Verantwortlichen oder einem Auftragsbearbeiter durchzuführen, um zu prüfen, ob er die Datenschutzbestimmungen einhält.
Sie oder er kann namentlich Auskünfte einholen, die Herausgabe von Akten verlangen, Inspektionen durchführen und sich Datenbearbeitungen vorführen lassen.
Gegenüber der kantonalen Aufsichtsbehörde können weder das Amtsgeheimnis noch weitere Geheimhaltungspflichten geltend gemacht werden. Das Berufsgeheimnis bleibt vorbehalten.
Wenn die oder der Beauftragte aufgrund einer Klage der betroffenen Person eine Kontrolle durchführt, informiert sie oder er diese Person über die Folge, die ihrer Klage gegeben wurde, und das Ergebnis einer allfälligen Untersuchung. Die betroffene Person hat keine Parteistellung im Verfahren.

Français: Le ou la préposé-e est habilité-e à effectuer d'office ou sur plainte un contrôle auprès d'un responsable du traitement ou d'un sous-traitant afin de vérifier qu'il respecte les dispositions de protection des données.
Il ou elle peut notamment demander des renseignements, exiger la production de documents, procéder à des inspections et se faire présenter des traitements de données.
Le secret de fonction et les autres obligations de confidentialité ne peuvent pas lui être opposés. Le secret professionnel demeure toutefois réservé.
Lorsque le ou la préposé-e procède à un contrôle sur la base d'une plainte de la personne concernée, il ou elle informe cette dernière des suites données à sa plainte et du résultat d'une éventuelle enquête. La personne concernée n'a pas qualité de partie à la procédure.
Art. 57

Deutsch: Bei einer Verletzung oder einer möglichen Verletzung der Datenschutzvorschriften kann die oder der Beauftragte eine Empfehlung an das betroffene öffentliche Organ richten und es auffordern, innert einer bestimmten Frist die nötigen Abhilfemassnahmen zu treffen.
Handelt es sich um eine unterstellte Verwaltungseinheit, so ergeht die Empfehlung direkt an das hierarchisch übergeordnete Organ.
Das Organ, an das die Empfehlung gerichtet wird, gibt innert der von der oder dem Beauftragen gesetzten Frist eine Stellungnahme zur Folge ab, die es der Empfehlung leisten will, und teilt die Stellungnahme der oder dem Beauftragten mit. Eine fehlende Stellungnahme wird als Ablehnung der Empfehlung betrachtet.
Wird die Empfehlung ganz oder teilweise abgelehnt, so kann die oder der Beauftragte den Fall zum Entscheid an die Kommission weiterleiten.
Wenn das öffentliche Organ im Laufe des Verfahrens die notwendigen Massnahmen zur Wiederherstellung eines datenschutzkonformen Zustandes getroffen hat, stellt die oder der Beauftragte das Verfahren ein und verzichtet auf eine Empfehlung.

Français: En cas de violation ou de risque de violation des prescriptions sur la protection des données, le ou la préposé-e peut adresser une recommandation à l'organe public concerné l'invitant à prendre, dans un délai déterminé, les mesures nécessaires pour remédier à la situation.
Lorsque l'organe concerné est une unité subordonnée, la recommandation est directement adressée à l'organe hiérarchiquement supérieur.
L'organe destinataire de la recommandation adopte, dans le délai imparti par le ou la préposé-e, une détermination sur la suite qu'il entend donner à la recommandation et la communique au ou à la préposé-e. L'absence de détermination est considérée comme un rejet de la recommandation.
En cas de rejet, total ou partiel, de la recommandation, le ou la préposé-e peut transmettre l'affaire à la Commission pour qu'elle rende une décision.
Lorsque, durant la procédure, l'organe public a pris les mesures nécessaires au rétablissement d'une situation conforme aux prescriptions de protection des données, le ou la préposé-e met un terme à la procédure et renonce à émettre une recommandation.
Art. 58

Deutsch: Die Kommission fällt in den Angelegenheiten, welche die oder der Beauftragte ihr gemäss Artikel 57 Abs. 4 übermittelt, einen Entscheid.
Wenn ein Organ, das diesem Gesetz unterstellt ist, die Bestimmungen über den Datenschutz nicht beachtet, kann die Kommission verfügen, dass die ganze Bearbeitung oder ein Teil davon ausgesetzt, geändert oder eingestellt wird und dass alle Personendaten oder ein Teil davon gelöscht oder vernichtet werden.
Im Falle einer unmittelbar drohenden ernsthaften Bedrohung oder einer Datenschutzverletzung, welche die Rechte einer oder mehrerer betroffener Personen ernsthaft beeinträchtigen könnte, kann die Kommission von Amtes wegen oder auf Verlangen der oder des Beauftragten dringende vorsorgliche Massnahmen verfügen, um die strittige Datenbearbeitung einzuschränken oder auszusetzen, bis sie in der Sache entschieden hat.
Die oder der Beauftragte wirkt mit beratender Stimme am Verfahren vor der Kommission mit. Sie oder er kann mit der Instruktion der Angelegenheit beauftragt werden.
Wenn das betroffene öffentliche Organ im Laufe des Verfahrens die nötigen Massnahmen zur Wiederherstellung eines datenschutzkonformen Zustands ergriffen hat, kann die Kommission das Verfahren einstellen oder lediglich eine Verwarnung aussprechen

Français: La Commission statue dans les affaires que le ou la préposé-e lui transmet conformément à l'article 57 al. 4.
Lorsqu'un organe soumis à la présente loi ne respecte pas des dispositions de protection des données, la Commission peut ordonner la suspension, la modification ou la cessation de tout ou partie du traitement ainsi que l'effacement ou la destruction de tout ou partie des données personnelles.
En cas de menace grave imminente ou de violation de la protection des données susceptible de causer une atteinte grave aux droits d'une ou plusieurs personnes concernées, la Commission peut ordonner, d'office ou sur demande du ou de la préposé-e, des mesures provisionnelles urgentes pour limiter ou suspendre le traitement des données litigieux jusqu'à ce qu'elle se soit prononcée sur le fond.
Le ou la préposé-e participe avec voix consultative à la procédure devant la Commission. Il ou elle peut être chargé-e de l'instruction de l'affaire.
Lorsque, durant la procédure, l'organe public concerné a pris les mesures nécessaires au rétablissement d'une situation conforme aux prescriptions de protection des données, la Commission peut classer l'affaire ou se limiter à prononcer un avertissement
Art. 59

Deutsch: Das Verfahren wird im Gesetz über die Verwaltungsrechtspflege [13] geregelt. Das betroffene Organ hat insbesondere das Recht, angehört zu werden; Artikel 58 Abs. 3 bleibt vorbehalten.
Das öffentliche Organ, gegen das sich ein Entscheid der Kommission richtet, kann gegen diesen Entscheid Beschwerde einlegen.

Français: La procédure est régie par le code de procédure et de juridiction administrative [13] . Sous réserve de l'article 58 al. 3, l'organe concerné bénéficie, en particulier, du droit d'être entendu.
L'organe public visé par une décision de la Commission a qualité pour recourir contre celle-ci.
Art. 6

Deutsch: Ausser in den Fällen nach Artikel 5 kann die betroffene Person im Einzelfall in die Bearbeitung ihrer Personendaten einwilligen.
Die betroffene Person willigt nur gültig ein, wenn sie ihren Willen frei ausdrückt und nachdem sie in angemessener Weise über den Zweck der Bearbeitung aufgeklärt wurde. Die Einwilligung muss ausdrücklich sein, wenn sie sich auf die Bearbeitung besonders schützenswerter Personendaten oder auf Profiling-Aktivitäten bezieht. Die Einwilligung wird jedoch vermutet, wenn die Person ihre Daten selbst frei zugänglich gemacht hat.
Jede Bearbeitung von Daten, die nicht auf den Grundlagen nach Artikel 5 beruht, muss von einem sichtbaren und leicht verständlichen Hinweis auf ihren freiwilligen Charakter begleitet werden.
Wenn sich die Bearbeitung auf die Einwilligung der betroffenen Person stützt, muss der Verantwortliche in der Lage sein, das Vorhandensein einer solchen Einwilligung zu beweisen.
Die Einwilligung kann jederzeit ohne Angabe von Gründen widerrufen werden. Aus technischen Gründen kann aber für die tatsächliche Umsetzung der Widerrufung der Einwilligung eine vernünftige Frist nötig sein.

Français: En dehors des cas prévus à l'article 5, la personne concernée peut, dans un cas d'espèce, consentir au traitement de ses données personnelles.
La personne concernée ne consent valablement que si elle exprime sa volonté librement et après avoir été dûment informée sur les finalités du traitement. Le consentement doit être exprès lorsqu'il porte sur un traitement de données sensibles ou sur des activités de profilage. Toutefois, le consentement est présumé lorsque la personne a elle-même rendu ses données librement accessibles.
Tout traitement de données qui ne repose pas sur l'un des fondements prévus à l'article 5 doit s'accompagner d'une mention visible et facilement compréhensible de son caractère facultatif.
Lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement doit être en mesure de démontrer l'existence d'un tel consentement.
Le consentement peut être révoqué en tout temps et sans motif. La mise en œuvre effective du retrait du consentement peut toutefois requérir un délai raisonnable pour des raisons techniques.
Art. 60

Deutsch: Bei der Ausübung ihrer Funktionen kann die Aufsichtsbehörde mit den kantonalen, eidgenössischen und ausländischen Behörden, die mit dem Datenschutz beauftragt sind, zusammenarbeiten.
Sie kann zur Erfüllung ihrer jeweiligen gesetzlichen Aufgaben mit anderen Behörden, die mit dem Datenschutz beauftragt sind, Informationen oder Personendaten austauschen, sofern die folgenden Bedingungen erfüllt sind:
Bevor die Behörde Informationen, die Berufs-, Fabrikations- oder Geschäftsgeheimnisse enthalten können, an eine andere Behörde, die mit dem Datenschutz beauftragt ist, weiterleitet, informiert sie die Inhaberinnen und Inhaber dieser Geheimnisse und fordert sie auf, Stellung zu nehmen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismässigen Aufwand verbunden.

Français: Dans l'exercice de ses fonctions, l'Autorité de surveillance peut coopérer avec les autorités cantonales, fédérales et étrangères chargées de la protection des données.
Elle peut échanger des informations ou des données personnelles avec une autre autorité chargée de la protection des données pour l'accomplissement de leurs tâches légales respectives, pour autant que les conditions suivantes soient réunies:
Avant de transmettre à une autre autorité chargée de la protection des données des informations susceptibles de contenir des secrets professionnels, de fabrication ou d'affaires, l'Autorité informe les personnes détentrices de ces secrets et les invite à prendre position, à moins que cela ne s'avère impossible ou ne nécessite des efforts disproportionnés.
Art. 61

Deutsch: Der Staatsrat erlässt die nötigen Bestimmungen zur Umsetzung dieses Gesetzes. Diese betreffen namentlich:

Français: Le Conseil d'Etat adopte les dispositions nécessaires à la mise en œuvre de la présente loi. Celles-ci concernent notamment:
Art. 62

Deutsch: Für die Bearbeitungen, die bereits am Laufen sind, wenn dieses Gesetz in Kraft tritt, verfügen die Verantwortlichen über eine Frist von zwei Jahren, um die neu vorgeschriebenen Anforderungen zu erfüllen. Die Artikel 43 und 44 sind direkt anwendbar.
Sofern die Zweckbindung des Bearbeitens unverändert bleibt und keine neuen Daten beschafft werden, welche die Durchführung einer Folgenabschätzung rechtfertigen, gelten die Artikel 41 und 42 nicht für Bearbeitungen, die vor dem Inkrafttreten dieses Gesetzes begonnen wurden.
Die Bearbeitungen, die abgeschlossen sind, wenn dieses Gesetz in Kraft tritt, werden im alten Recht geregelt, ausser was die Rechte der betroffenen Person angeht (3. Abschnitt).
Die Artikel 12, 13, 40, 41 und 42 gelten für Bearbeitungstätigkeiten, die durch die Richtlinie (EU) 2016/680 [14] ab dem Inkrafttreten dieses Gesetzes geregelt sind.

Français: Pour les traitements déjà en cours au moment de l'entrée en vigueur de la présente loi, les responsables de traitements disposent d'un délai de deux ans pour se mettre en conformité avec les nouvelles exigences prescrites. Les articles 43 et 44 sont directement applicables.
Pour autant que les finalités du traitement restent inchangées et que de nouvelles données ne soient pas collectées justifiant la réalisation d'une analyse d'impact, les articles 41 et 42 ne sont pas applicables aux traitements qui ont débuté avant l'entrée en vigueur de la présente loi.
Les traitements achevés au moment de l'entrée en vigueur de la présente loi sont régis par l'ancien droit, sauf en ce qui concerne les droits de la personne concernée (section 3).
Les articles 12, 13, 40, 41 et 42 sont applicables aux activités de traitement régis par la directive (UE) 2016/680 [14] dès l'entrée en vigueur de la présente loi.
Art. 63

Deutsch: Die Direktionen verfügen über eine Frist von zwei Jahren ab Inkrafttreten dieses Gesetzes, um die Gesetzgebung, für die sie zuständig sind, an die Anforderungen von Artikel 5 anzupassen.

Français: Les Directions disposent d'un délai de deux ans à compter de l'entrée en vigueur de la présente loi pour adapter la législation dont elles sont en charge aux exigences de l'article 5.
Art. 64

Deutsch: Bei Inkrafttreten des Gesetzes passt die Anstellungsbehörde den Arbeitsvertrag der Stelleninhaberin oder des Stelleninhabers im Einklang mit der Personalgesetzgebung an die Anforderungen des neuen Gesetzes an.
Wird der Vorschlag zur Umwandlung des Arbeitsvertrags abgelehnt, so wird die Situation gemäss den Bestimmungen über die Abschaffung von Stellen im Sinne der Personalgesetzgebung geregelt.

Français: Au moment de l'entrée en vigueur de la loi, l'autorité d'engagement adapte le contrat de travail de la personne en poste aux exigences de la nouvelle loi conformément à la législation sur le personnel.
En cas de refus de la proposition visant à transformer le contrat de travail, la situation est réglée conformément aux dispositions en matière de suppression de poste au sens de la législation sur le personnel.
Art. 7

Deutsch: Personendaten dürfen nur für eine bestimmte und erkennbare Verwendung beschafft werden. Sie dürfen später nur zu diesem Zweck oder zu einem Zweck, der mit diesem nach Treu und Glauben vereinbar ist, bearbeitet werden.
Die Fälle, in denen die betroffene Person in eine Änderung der Zweckbestimmung eingewilligt hat, bleiben vorbehalten.

Français: Les données personnelles ne peuvent être collectées que pour un usage déterminé et reconnaissable. Elles ne peuvent être traitées ultérieurement que dans ce but ou dans un but qui, selon les règles de la bonne foi, est compatible avec lui.
Sont réservés les cas dans lesquels la personne concernée a consenti à un changement de finalité.
Art. 8

Deutsch: Die Daten und die Art ihrer Bearbeitung müssen für den Zweck der Bearbeitung nötig, geeignet und nicht übertrieben sein.

Français: Les données et les modes de traitement doivent être nécessaires, appropriés et non excessifs par rapport au but du traitement.
Art. 9

Deutsch: Das öffentliche Organ, das Personendaten bearbeitet, achtet darauf, dass diese richtig sind. Es ergreift alle geeigneten Massnahmen, um falsche oder für den Zweck, für den sie beschafft und bearbeitet werden, unvollständige Daten zu berichtigen, zu ergänzen, zu löschen oder zu vernichten.

Français: L'organe public qui traite des données personnelles veille à leur exactitude. Il prend toute mesure appropriée permettant de rectifier, d'effacer ou de détruire les données inexactes ou incomplètes au regard de la finalité de leur traitement.