Gegenstand und Anwendungsbereich
Art. 1

Deutsch: Dieses Reglement legt die allgemeinen Grundsätze und die Mindestanforderungen für die Sicherheit der Personendaten fest.
Es gilt für jegliche Bearbeitung von Personendaten, die dem Gesetz über den Datenschutz (DSchG) unterstellt ist.
Besondere Bestimmungen des Bundes oder des Kantons über die Sicherheit gewisser Anwendungen bleiben vorbehalten.

Français: Le présent règlement fixe les principes généraux et les exigences minimales en matière de sécurité des données personnelles.
Il s'applique à tout traitement de données personnelles soumis à la loi sur la protection des données (LPrD).
Les dispositions spéciales fédérales ou cantonales relatives à la sécurité de certaines applications sont réservées.
Art. 10

Deutsch: Das öffentliche Organ bestimmt aufgrund ihrer Aufgaben, welche Personen Zugriff auf die Datensammlungen haben wie auch den Umfang ihres Zugriffs.
Eine Zugriffsberechtigung kann auch für bestimmte Daten oder Datenkategorien erteilt werden, insbesondere bei einer automatisierten Bearbeitung der Daten.

Français: L'organe public détermine, en fonction des tâches qu'elles sont appelées à exécuter, les personnes autorisées à accéder aux fichiers ainsi que l'étendue de leurs accès.
L'autorisation d'accès peut également, notamment lors d'un traitement informatisé des données, porter sur des données ou des catégories de données spécifiques.
Art. 11

Deutsch: Das öffentliche Organ bestimmt aufgrund des Ausmasses der Risiken und der Vertraulichkeitsstufe der Daten die geeigneten organisatorischen und technischen Massnahmen; diese können sowohl Personen und Räume als auch das Material und die Informatiksicherheit betreffen.
Die Massnahmen müssen den Umständen angemessen, technisch angepasst, wirtschaftlich tragbar und praktisch durchführbar sein.

Français: L'organe public définit, en fonction de l'étendue des risques et du degré de confidentialité des données, les mesures organisationnelles et techniques appropriées; ces mesures peuvent porter aussi bien sur les personnes et les locaux que sur le matériel et la sécurité informatique.
Les mesures doivent être proportionnées aux circonstances, techniquement adaptées, économiquement supportables et applicables en pratique.
Art. 12

Deutsch: Das öffentliche Organ überprüft periodisch die Risiken und die getroffenen Massnahmen, vor allem in Bezug auf neue technische Möglichkeiten.

Français: L'organe public réévalue périodiquement les risques et le choix des mesures, notamment en fonction des possibilités techniques nouvelles.
Art. 13

Deutsch: Die Sicherheit der Personendaten im Zwischenarchiv muss gewährleistet werden.
Die Dokumente und anderen Träger von Personendaten, die nicht dem Archiv abzuliefern sind, müssen auf geeignete Weise vernichtet werden. Jede Möglichkeit einer Wiederherstellung der als vertraulich oder geheim klassifizierten Daten ist auszuschliessen.

Français: La sécurité des données personnelles figurant dans les archives intermédiaires doit être assurée.
Les documents et autres supports de données personnelles qui ne sont pas destinés à être versés aux archives sont détruits de façon appropriée. Toute possibilité de reconstitution des données classées confidentielles ou secrètes doit être écartée.
Art. 14

Deutsch: Die Informatiksysteme, -anwendungen und -netzwerke, die der Bearbeitung von Personendaten dienen, müssen den Standardanforderungen der Informatiksicherheit genügen.
Diese Anforderungen werden durch die Sicherheitspolitik für die Informationssysteme festgesetzt, das in den Bestimmungen über Planung und Anwendung der Informatik beim Staat vorgesehen ist.
Die Sicherheitspolitik für die Informationssysteme wird den Gemeinden zur Verfügung gestellt. Sie ist für alle Gemeindesysteme verbindlich, die an das Netz der kantonalen Verwaltung angeschlossen sind.

Français: Les systèmes, applications et réseaux informatiques servant au traitement de données personnelles doivent répondre aux exigences standard de la sécurité informatique.
Ces exigences sont fixées dans la politique de sécurité des systèmes d'information prévue par les dispositions sur la gestion de l'informatique de l'Etat.
La politique de sécurité des systèmes d'information est mise à la disposition des communes. Elle a force obligatoire pour tous les systèmes communaux qui sont reliés au réseau de l'administration cantonale.
Art. 15

Deutsch: Bei einer automatisierten Datenbearbeitung berät und unterstützt das Amt die Dienststellen und Anstalten der kantonalen Verwaltung in allen Fragen im Zusammenhang mit der Sicherheit der Personendaten. Die besonderen Befugnisse der Universität und der zur Fachhochschule Westschweiz gehörenden Hochschulen im Informatikbereich bleiben vorbehalten.
Bei allen Fragen im Zusammenhang mit der Umsetzung der Sicherheitspolitik für die Informationssysteme können auch die Gemeinden das Amt zur Beratung und Mithilfe beiziehen. Diese kann die daraus entstehenden Kosten in Rechnung stellen.
Das Amt, die Universität und die zur Fachhochschule Westschweiz gehörenden Hochschulen arbeiten in diesem Bereich mit der kantonalen Behörde für Öffentlichkeit, Datenschutz und Mediation zusammen.

Français: Lors d'un traitement informatisé de données, le SITel conseille et assiste les services et établissements de l'administration cantonale pour toute question relative à la sécurité des données personnelles. Les compétences particulières de l'Université et des hautes écoles appartenant à la Haute Ecole spécialisée de Suisse occidentale en matière informatique sont réservées.
Pour tout ce qui concerne la mise en œuvre de la politique de sécurité des systèmes d'information, les communes peuvent également bénéficier des conseils et de l'assistance du SITel. Celui-ci peut facturer les frais y relatifs.
Le SITel, l'Université et les hautes écoles appartenant à la Haute Ecole spécialisée de Suisse occidentale collaborent dans ce domaine avec l'Autorité cantonale de la transparence, de la protection des données et de la médiation.
Art. 16

Deutsch: Die Anforderungen für die Sicherheit der Personendaten müssen bereits beim Konzipieren der Anwendungen und der Datensammlungen berücksichtigt werden.
Die entsprechenden Kosten müssen in die Finanzplanung der Anwendungen einbezogen werden.

Français: Les exigences liées à la sécurité des données personnelles doivent être prises en considération dès la conception des applications et des fichiers.
Les coûts y relatifs doivent être intégrés dans la planification financière des applications.
Art. 17

Deutsch: Der Zugriff auf Informatiksysteme, mit denen Personendaten bearbeitet werden können, muss durch folgende Vorkehrungen geschützt werden:
Der Zugriff auf Anwendungen und/oder Datensammlungen ist ebenfalls durch diese Massnahmen zu schützen, wenn:
Die Verantwortlichen für das System, die Anwendung oder die Datensammlungen bestimmen die individuellen Zugriffsberechtigungen aufgrund der Aufgaben, die die Benutzerinnen und Benutzer erfüllen müssen. Sie bezeichnen ein Organ, das unter ihrer Verantwortung die Zugriffsberechtigungen verwaltet und die Einzelheiten des Authentifikationsverfahrens regelt.

Français: L'accès aux systèmes informatiques permettant le traitement de données personnelles doit être protégé par un dispositif comprenant:
L'accès aux applications et/ou aux fichiers doit également être protégé par un tel dispositif:
Les responsables du système, de l'application ou des fichiers définissent les autorisations individuelles d'accès en fonction des tâches que les utilisateurs et utilisatrices sont appelés à exécuter. Ils désignent un organe chargé de l'administration des accès, qui gère les autorisations d'accès et règle les modalités de la procédure d'authentification sous leur responsabilité.
Art. 18

Deutsch: Gewährleisten die präventiven Massnahmen die Sicherheit der Personendaten nicht hinreichend, so muss die Datenbearbeitung protokolliert werden.

Français: Lorsque les mesures préventives ne suffisent pas à garantir la sécurité des données personnelles, le traitement des données doit faire l'objet d'une procédure de journalisation.
Art. 19

Deutsch: Die Anwendungen und Datensammlungen müssen es den betroffenen Personen ermöglichen, ihr Auskunftsrecht über sie betreffende Daten (Art. 23–25 DSchG) wie auch ihre Rechte bei unrechtmässiger Bearbeitung auszuüben (Recht auf Berichtigung oder Vernichtung der Daten oder Recht auf Anbringen eines entsprechenden Vermerks, Art. 26 DSchG).

Français: Les applications et fichiers doivent permettre aux personnes d'exercer leur droit d'accès aux données les concernant (art. 23 à 25 LPrD), ainsi que leurs droits en cas de traitement illicite (droit à la rectification ou à la destruction des données ou droit à l'inscription d'une mention appropriée, art. 26 LPrD).
Art. 2

Deutsch: In diesem Reglement bedeuten die folgenden Ausdrücke:
Im Übrigen gelten die Definitionen nach Artikel 3 DSchG.

Français: Au sens du présent règlement, on entend par:
Pour le reste, les définitions figurant à l'article 3 LPrD s'appliquent.
Art. 20

Deutsch: Die als vertraulich oder geheim klassifizierten Personendaten müssen bei der Übertragung und bei der Speicherung durch Verschlüsselung oder andere geeignete Massnahmen geschützt werden.
Ist es unmöglich, die netzwerkbedingten Risiken auf ein vertretbares Mass zu senken, so muss der Datenverkehr durch Schaffung eines vom Hauptnetz getrennten virtuellen Netzes oder eine andere geeignete Massnahme isoliert werden.

Français: Les données personnelles classées confidentielles ou secrètes doivent être protégées par cryptage ou par d'autres mesures appropriées lors de leur transmission et de leur stockage.
S'il est impossible de ramener à un niveau raisonnable les risques posés par le réseau principal, le trafic des données doit être isolé de ce dernier par la création d'un réseau virtuel ou par une autre mesure adéquate.
Art. 21

Deutsch: Wird ein Abrufverfahren eingerichtet, so werden die individuellen Zugriffsberechtigungen vom Verantwortlichen der Datensammlung und von der Empfängerin oder dem Empfänger der Daten im gegenseitigen Einvernehmen festgelegt.
Der Verantwortliche der Datensammlung sorgt dafür, dass die Empfängerin oder der Empfänger die Daten nicht verändern und keine neuen Daten hinzufügen kann und nur zu den Daten Zugriff hat, für die sie oder er zugriffsberechtigt ist.
Das Abrufverfahren muss in einem Benutzerreglement dokumentiert werden, das insbesondere Folgendes präzisiert: die Personen, die Zugriff auf die Daten haben, die verfügbaren Daten, die Abfragehäufigkeit, das Authentifikationsverfahren, die weiteren Sicherheitsmassnahmen sowie die Kontrollmassnahmen. Eine Kopie des Reglements wird der zuständigen Aufsichtsbehörde für Datenschutz zugestellt.

Français: Lors de la mise en place d'une procédure d'appel, les autorisations individuelles d'accès sont définies par le responsable du fichier, en accord avec les destinataires des données.
Le responsable du fichier veille à ce que les destinataires ne puissent pas modifier les données ni en entrer de nouvelles et qu'ils n'aient accès qu'aux données correspondant aux autorisations d'accès.
La procédure d'appel doit être documentée dans un règlement d'utilisation, qui précise notamment les personnes autorisées à accéder aux données, les données mises à leur disposition, la fréquence des interrogations, la procédure d'authentification, les autres mesures de sécurité ainsi que les mesures de contrôle. Une copie du règlement est transmise à l'autorité cantonale ou communale de surveillance en matière de protection des données.
Art. 22

Deutsch: Die Bestimmungen dieses Abschnitts gelten auch für die Bearbeitung von Daten über ein Netz wie Internet oder Intranet.
Im Einvernehmen mit der kantonalen Behörde für Öffentlichkeit, Datenschutz und Mediation sorgen das Amt und der Informatikdienst der Universität dafür, dass den Benutzerinnen und Benutzern eines solchen Netzes eine allgemeine Information über die damit verbundenen Risiken abgegeben wird, insbesondere was die E-Mail betrifft; diese Information wird auch den Gemeinden zugestellt.

Français: Les dispositions de la présente section s'appliquent aussi au traitement de données effectué sur un réseau de type Internet ou Intranet.
En accord avec l'Autorité cantonale de la transparence, de la protection des données et de la médiation, le SITel et l'Université veillent à fournir aux utilisateurs et utilisatrices qui sont raccordés à ce type de réseau une information générale sur les risques qui y sont liés, notamment en ce qui concerne la messagerie électronique; cette information est également adressée aux communes.
Art. 23

Deutsch: Es sind besondere Massnahmen zu ergreifen, um zu vermeiden, dass es bei der Datenausgabe auf peripheren Geräten und bei Wartungsarbeiten zu Verletzungen der Vertraulichkeit oder zu einer unerlaubten Bearbeitung kommt.

Français: Des mesures spéciales doivent être prises pour éviter toute atteinte à la confidentialité et tout traitement non autorisé lors de la sortie des données sur des appareils périphériques ainsi que lors des opérations de maintenance.
Art. 24

Deutsch: Wird ein Informatiksystem oder eine Informatikanwendung mit einem Verfahren zur Protokollierung der Vorgänge ausgerüstet, so unterliegen die Protokolldateien den Datenschutzbestimmungen, insbesondere was die Anmeldung nach Artikel 19 DSchG betrifft.
Für die Aufbewahrung, die Auswertung und die Vernichtung der Protokolldateien werden im Informatiksicherheitskonzept, das in den Bestimmungen über Planung und Anwendung der Informatik beim Staat vorgesehen ist, Weisungen erlassen.

Français: Lorsqu'un système ou une application informatique est doté d'une procédure de journalisation des événements, les fichiers de journalisation sont soumis aux règles de la protection des données, notamment en ce qui concerne la déclaration mentionnée à l'article 19 LPrD.
La conservation, l'exploitation et la destruction des fichiers de journalisation font l'objet d'instructions dans le concept de sécurité informatique prévu par les dispositions sur la gestion de l'informatique de l'Etat.
Art. 25

Deutsch: Die vorgesetzte Behörde kontrolliert die Anwendung der Bestimmungen dieses Reglements durch die öffentlichen Organe, die ihr unterstehen.

Français: L'autorité supérieure contrôle l'application, par les organes publics qui lui sont subordonnés, des dispositions du présent règlement.
Art. 26

Deutsch: Die zuständige Aufsichtsbehörde für Datenschutz übt die externe Kontrolle gemäss den Artikeln 29 ff. DSchG aus.
Das kontrollierte öffentliche Organ arbeitet mit der Aufsichtsbehörde zusammen und liefert ihr sämtliche nötigen Angaben, vor allem diejenigen für die Risikobeurteilung, die Festlegung der Zugriffsberechtigungen, die Bestimmung der organisatorischen und technischen Massnahmen und die durchgeführten Überprüfungen.

Français: L'autorité cantonale ou communale de surveillance en matière de protection des données exerce la surveillance externe conformément aux articles 29 et suivants LPrD.
L'organe public contrôlé collabore avec l'autorité de surveillance et lui fournit tous les renseignements nécessaires, notamment ceux qui concernent l'évaluation des risques, la détermination des autorisations d'accès, la définition des mesures organisationnelles et techniques ainsi que les vérifications effectuées.
Art. 27

Deutsch: Die Befugnisse des Amtes oder gegebenenfalls des zuständigen Informatikdienstes bei der Kontrolle der Informatiksicherheit bleiben vorbehalten.
Wenn die durchgeführten Kontrollen Lücken in der Sicherheit der Personendaten zutage bringen, so erstattet das Amt oder der zuständige Informatikdienst der oder dem direkten Vorgesetzten sowie der zuständigen Aufsichtsbehörde für Datenschutz Meldung.

Français: Les compétences en matière de contrôle de la sécurité informatique du SITel ou, le cas échéant, du service informatique compétent sont réservées.
Lorsque les contrôles effectués mettent au jour des lacunes dans la sécurité des données personnelles, le SITel ou le service informatique compétent en avise le ou la supérieur-e hiérarchique de l'organe public concerné ainsi que l'autorité cantonale ou communale de surveillance en matière de protection des données.
Art. 28

Deutsch: Stellen Mitarbeiterinnen oder Mitarbeiter bei der Erfüllung ihrer Aufgaben Lücken bei der Sicherheit der Personendaten eines anderen öffentlichen Organs als ihres eigenen fest, so informieren sie ihre Dienstchefin oder ihren Dienstchef; diese beziehungsweise dieser erstattet dem für die Daten verantwortlichen Organ Meldung.

Français: Les collaborateurs et collaboratrices qui, dans l'accomplissement de leurs tâches, constatent des lacunes dans la sécurité des données personnelles d'un autre organe public que celui dont ils relèvent en informent leur chef-fe de service, qui avise l'organe responsable des données.
Art. 29

Deutsch: Gemeinden mit alter Hardware und Software, die sich nur schwer an die Anforderungen der Informatiksicherheit anpassen lassen, können sich bis zum Auswechseln ihrer Hardware und Software mit physischen Massnahmen zur Gewährleistung der Sicherheit der Personendaten bei der automatisierten Bearbeitung begnügen.

Français: Les communes qui sont dotées d'équipements et d'applications informatiques anciens et difficilement adaptables aux exigences de la sécurité informatique peuvent, jusqu'au remplacement de ces équipements et applications, se contenter de mesures d'ordre physique pour assurer la sécurité des données personnelles lors de traitements informatisés.
Art. 3

Deutsch: Die Personendaten müssen gegen jede Verletzung der Vertraulichkeit und gegen jede unerlaubte Bearbeitung geschützt werden.
Der Schutz ist in allen Phasen der Datenbearbeitung, von der Beschaffung bis zur Vernichtung, sicherzustellen; er ist gegenüber jeder Person innerhalb und ausserhalb der Verwaltung sicherzustellen.
Der Schutz muss auf die Massnahmen zur Sicherheit der Verwaltungsdokumente im Allgemeinen wie auch auf die Massnahmen zur Informatiksicherheit abgestimmt werden.

Français: Les données personnelles doivent être protégées contre toute atteinte à leur confidentialité et contre tout traitement non autorisé.
La protection doit être assurée lors de chaque phase du traitement des données, de la collecte à la destruction; elle doit être assurée à l'égard de toute personne, à l'intérieur comme à l'extérieur de l'administration.
La protection doit être harmonisée avec les mesures visant à assurer la sécurité des documents de l'administration en général, ainsi qu'avec les mesures prises à titre de sécurité informatique.
Art. 30

Deutsch: Der Beschluss vom 22. Dezember 1987 über die Planung und Anwendung der Informatik in der Kantonsverwaltung, im Unterrichtswesen und in den kantonalen Anstalten (SGF 122.96.11) wird wie folgt geändert:

Français: L'arrêté du 22 décembre 1987 concernant la gestion de l'informatique dans l'administration cantonale, l'enseignement et les établissements de l'Etat (RSF 122.96.11) est modifié comme il suit:
Art. 31

Deutsch: Dieses Reglement tritt am 1. Januar 2000 in Kraft.
Es wird im Amtsblatt veröffentlicht, in die Amtliche Gesetzessammlung aufgenommen und im Sonderdruck herausgegeben.

Français: Le présent règlement entre en vigueur le 1 er janvier 2000.
Il est publié dans la Feuille officielle, inséré dans le Bulletin des lois et imprimé en livrets.
Art. 4

Deutsch: Das öffentliche Organ, das Personendaten bearbeitet, ist für ihre Sicherheit verantwortlich.
Nach einer Beurteilung der Risiken, die für die in Erfüllung seiner Aufgaben bearbeiteten Daten bestehen (Art. 8 f.), ordnet es die geeigneten Massnahmen an, damit die Sicherheit gewahrt bleibt (Art. 10 f.).
Es kontrolliert regelmässig die Anwendung der angeordneten Massnahmen durch die Benutzerinnen und Benutzer.

Français: L'organe public qui traite des données personnelles est responsable de leur sécurité.
Après avoir procédé à une évaluation des risques encourus par les données traitées dans l'accomplissement de ses tâches (art. 8 et 9), il prescrit les mesures propres à assurer leur sécurité (art. 10 et 11).
Il vérifie régulièrement l'application, par les utilisateurs et utilisatrices, des mesures prescrites.
Art. 5

Deutsch: Die Mitarbeiterinnen und Mitarbeiter, die Personendaten bearbeiten, sind verantwortlich für die Durchführung der Massnahmen, die vom Organ, dem sie angehören, angeordnet wurden.
Sind die Benutzerinnen und Benutzer beauftragte Dritte, die den Bestimmungen dieses Reglements nicht unterstellt sind, so werden ihre Verantwortlichkeiten im Bereich der Sicherheit im Vertrag, der in Artikel 18 Abs. 2 DSchG vorgesehen ist, festgelegt.

Français: Les collaborateurs et collaboratrices qui traitent des données personnelles sont responsables de l'application des mesures prescrites par l'organe dont ils relèvent.
Lorsque les utilisateurs et utilisatrices sont des mandataires non soumis aux dispositions du présent règlement, leurs responsabilités en matière de sécurité sont définies dans le contrat mentionné à l'article 18 al. 2 LPrD.
Art. 6

Deutsch: Bearbeiten mehrere öffentliche Organe zusammen Daten, so muss die Verteilung der Verantwortlichkeiten im Bereich der Sicherheit zwischen dem Verantwortlichen der Datensammlung und den daran Beteiligten in der Anmeldung der Datensammlung geregelt werden (Art. 19 Abs. 2 Bst. e DSchG).

Français: Lorsque plusieurs organes publics traitent conjointement des données, la répartition des responsabilités en matière de sécurité entre le responsable du fichier et les participants au fichier doit figurer dans la déclaration du fichier (art. 19 al. 2 let. e LPrD).
Art. 7

Deutsch: Die besonderen Verantwortlichkeiten des Amtes für Informatik und Telekommunikation (das Amt) oder des zuständigen Informatikdienstes im Bereich der Informatiksicherheit bleiben vorbehalten.

Français: Les responsabilités particulières en matière de sécurité informatique du Service de l'informatique et des télécommunications (ci-après: le SITel) ou du service informatique compétent sont réservées.
Art. 8

Deutsch: Das öffentliche Organ beurteilt für jede Datensammlung, wie hoch das Risiko ist, dass die Vertraulichkeit der Daten verletzt wird und dass die Daten unerlaubt bearbeitet werden; je nach Bedarf beurteilt es auch die Risiken einer Verletzung der Integrität und der Verfügbarkeit der Daten.
Solche Risiken sind insbesondere:

Français: L'organe public évalue, pour chaque fichier, les risques d'atteinte à la confidentialité des données et les risques de traitement non autorisé; suivant les besoins, il évalue également les risques d'atteinte à l'intégrité et à la disponibilité des données.
Constituent notamment de tels risques:
Art. 9

Deutsch: Das öffentliche Organ weist jeder Datensammlung eine Vertraulichkeitsstufe zu. Es gilt die folgende Skala:
Das Organ stützt sich dabei auf die Art der bearbeiteten Personendaten, den Zweck, den Umfang und die Formen der Bearbeitung sowie die Nachteile, die eine missbräuchliche Verwendung der Daten für die Betroffenen haben kann.
Wenn nötig, kann auch bestimmten Daten oder Datenkategorien eine Vertraulichkeitsstufe zugewiesen werden.

Français: L'organe public attribue à chaque fichier un degré de confidentialité, selon l'échelle suivante:
Il se fonde sur la nature des données personnelles traitées, sur le but, l'étendue et les formes du traitement, ainsi que sur les préjudices qu'un usage abusif des données peut causer aux personnes concernées.
Au besoin, l'attribution d'un degré de confidentialité peut également porter sur des données ou des catégories de données spécifiques.