Document ID: 429fb328-9cc6-4e9f-8a88-ab13b1ee0d08

152.040.1 - Ordonnance sur la protection des données (OPD)   1  152.040.1  Ordonnance sur la protection des données (OPD)  du 22.10.2008 (état au 01.11.2020)  Le Conseil-exécutif du canton de Berne,  vu  l’article  38  de  la  loi  du  19  février  1986  sur  la  protection  des  données  (LCPD)1), sur proposition de la Direction de la justice, des affaires communales et des af- faires ecclésiastiques,  arrête:  1 Blocage des données  Art.  1 1 L’autorité responsable confirme par écrit  la  décision d’ordonner le blocage  des données (art. 13 LCPD) à la personne qui le requiert. 2 La demande de blocage des données et la confirmation de celui-ci peuvent  être faites par voie électronique, pour autant que l’autorité responsable ait pris  des mesures adéquates afin  a d’assurer l’identification de la personne concernée et b de protéger les données de la personne concernée de tout accès de tiers   non autorisés lors du traitement de la demande.  2 Communication à l’étranger  Art.  2 Publication sous forme électronique 1 Si des données personnelles sont publiées au moyen de services d’informa- tion et de communication automatisés afin d’informer le public, l’autorité res- ponsable s’assure que la base légale autorise également la communication de  données à l’étranger.  1) RSB 152.04  * Tableaux des modifications à la fin du document  08-119      152.040.1  2  Art.  3 Devoir d’information 1 Une fois les garanties au sens de l’article 14a, alinéa 2, lettre a LCPD annon- cées à l’autorité de surveillance, le devoir d’information est réputé également  rempli pour toutes les communications qui se basent sur les mêmes garanties  pour autant que les catégories de destinataires, les finalités du traitement et les  catégories de données communiquées soient similaires. 2 Le devoir d’information est également réputé rempli lorsque les données sont  communiquées au moyen de contrats modèles ou de clauses standards établis  ou reconnus par le Préposé fédéral à la protection des données et à la transpa- rence et que l’autorité responsable informe l’autorité de surveillance qu’elle re- court à ces contrats modèles ou à ces clauses standards. 3 L’autorité responsable prend des mesures pour s’assurer que le ou la destina- taire respecte les garanties.  3 Mesures techniques et organisationnelles  Art.  4 Principe 1 L’autorité responsable qui traite des données personnelles ou qui met à dis- position un réseau télématique assure par des mesures techniques et organi- sationnelles la confidentialité, la disponibilité et l’exactitude des données (art.  17 LCPD). Elle protège notamment les systèmes contre les risques  a de destruction accidentelle ou non autorisée, b de perte accidentelle, c d’erreurs techniques, d de falsification, vol ou utilisation illicite, e de modification, copie, accès ou autre traitement non autorisés. 2 Les mesures doivent être appropriées. Elles tiennent compte en particulier  des critères suivants:  a but du traitement des données, b nature et étendue du traitement des données, c évaluation des risques potentiels pour les personnes concernées, d développement technique. 3 Les risques et les mesures font l’objet d’un examen périodique.       3  152.040.1  Art.  5 Mesures particulières 1 L’autorité responsable prend, en particulier lors de traitements électroniques  de données personnelles,  les mesures techniques et  organisationnelles sui- vantes:  a contrôle des installations à l’entrée: les personnes non autorisées n’ont  pas accès aux locaux et aux installations utilisées pour le traitement de  données personnelles;  b contrôle des supports de données personnelles: les personnes non autori- sées ne peuvent pas lire,  copier,  modifier ou éloigner des supports de  données;  c contrôle du transport: les personnes non autorisées ne peuvent pas lire,  copier, modifier ou effacer des données personnelles lors de leur commu- nication ou lors du transport de support de données;  d contrôle de communication: les destinataires auxquels des données per- sonnelles  sont  communiquées  à  l’aide  d’installations  de  transmission  doivent pouvoir être identifiés;  e contrôle de mémoire: les personnes non autorisées ne peuvent ni intro- duire  des  données personnelles  dans la  mémoire  ni  prendre  connais- sance de données mémorisées, les modifier ou les effacer;  f contrôle d’utilisation: les personnes non autorisées ne peuvent pas utiliser  les  systèmes  de  traitement  automatisé  de  données  personnelles  au  moyen d’installations de transmission;  g contrôle  d’accès:  les  personnes  autorisées  ont  accès  uniquement  aux  données personnelles dont elles ont besoin pour accomplir leurs tâches;  h contrôle de l’introduction: l’identité des personnes introduisant des don- nées personnelles dans le système, ainsi que les données introduites et  le moment de leur introduction peuvent être vérifiés a posteriori.  2 Les fichiers doivent  être  organisés de manière à permettre à la personne  concernée d’exercer ses droits d’accès et de rectification.  Art.  6 Journalisation 1 L’autorité responsable journalise les traitements automatisés de données per- sonnelles particulièrement dignes de protection ou de données personnelles  pour lesquelles il existe une obligation particulière de garder le secret lorsque  les mesures préventives ne suffisent pas à garantir la protection des données.       152.040.1  4  2 Une journalisation est notamment nécessaire, lorsque, sans cette mesure, il  ne serait pas possible de vérifier a posteriori que les données ont été traitées  conformément aux finalités pour lesquelles elles ont été collectées ou commu- niquées. 3 Les procès-verbaux de journalisation sont  conservés durant  une année et  sous une forme répondant aux exigences de révision. Ils sont accessibles aux  seuls organes chargés de vérifier l’application des dispositions de protection  des données personnelles et ne peuvent être utilisés qu’à cette fin. Les pres- criptions dérogatoires de la législation ou d’autorisations d’exploitation sont ré- servées.  4 Contrôle préalable  Art.  7 Définitions 1 Des moyens techniques présentent des risques particuliers pour les droits et  les libertés des personnes concernées au sens de l’article 17a, alinéa 1, lettre  d LCPD en particulier lorsque des données personnelles  a sont enregistrées sur des supports de données que la personne concer- née porte sur elle;  b sont enregistrées sur des puces RFID (transpondeurs passifs d’identifica- tion par radiofréquence);  c sont transmises par l’intermédiaire de liaisons sans fil, pour autant qu’il ne  s’agisse pas de liaisons radiotéléphoniques et de liaisons sans fil de ter- minaux de paiement dont la sûreté pour les transactions commerciales a  déjà été examinée;  d sont recueillies avec des appareils d’enregistrement et de traitement de  l’image.  2 Il en va de même lorsque  a des  données  personnelles  particulièrement  dignes  de  protection  sont  transférées par l’intermédiaire de réseaux publics;  b un accès limité à des données émanant d’une banque de données per- sonnelles doit être octroyé à des particuliers par l’intermédiaire d’Internet.  3 Une modification est  réputée importante au sens de l’article 17a, alinéa 2  LCPD en particulier lorsque  a les moyens ou le but du traitement des données se modifient considéra- blement ou que  b la modification remplit à elle seule les conditions d’un contrôle préalable.       5  152.040.1  4 La seule modification de l’étendue d’un traitement de données ne constitue  pas une modification importante.  Art.  8 Renonciation au contrôle préalable 1 Les communes et d’autres collectivités de droit communal peuvent renoncer à  un contrôle préalable si  a elles utilisent des systèmes ou des programmes de traitement des don- nées pour lesquels il existe une certification au sens de l’article 11 de la loi  fédérale du 19 juin 1992 sur la protection des données (LPD)1) et que  celle-ci porte aussi bien sur la sécurité informatique que sur la protection  des données ou si  b le traitement des données, y compris les traitements des données archi- vées électroniquement, concerne moins de 500 personnes.  Art.  9 Délégation 1 Pour les projets informatiques du canton et les projets informatiques auxquels  le canton octroie des indemnités en vertu de la législation spéciale, la Direction  des finances réglemente, par une ordonnance de Direction,  a l’analyse de la sécurité informatique et de la protection des données, b le contrôle préalable et la date à laquelle il est effectué, c les consignes de sécurité informatique et de protection des données.  5 Registre des fichiers  Art.  10 1 Ne sont pas inscrits au registre les fichiers qui  a sont utilisés pendant deux ans au plus, b sont conservés aux Archives de l’Etat ou aux archives communales ou c sont accessibles au public sous la forme d’annuaires.  6 Droit d’accès  Art.  11 Modalités 1 Les renseignements sont fournis dans les 30 jours suivant la réception de la  demande. Il en va de même pour une décision restreignant le droit d’accès (art.  21 et 22 LCPD). Si les renseignements ne peuvent pas être donnés dans les  30 jours, l’autorité responsable en avertit la personne requérante et lui indique  le délai dans lequel interviendra la réponse.  1) RS 235.1       152.040.1  6  2 La  demande d’accès  et  la  communication  des  renseignements  demandés  peuvent être faites par voie électronique, pour autant que l’autorité responsable  prenne des mesures adéquates afin  a d’assurer l’identification de la personne concernée et b de protéger les données de la personne concernée de tout accès de tiers   non autorisés lors de la communication des renseignements.  Art.  12 Consultation de données de personnes décédées 1 La consultation des données d’une personne décédée est accordée lorsque  la personne requérante justifie un intérêt à la consultation et qu’aucun intérêt  prépondérant de proches de la personne décédée ou de tiers ne s’y oppose.  Un intérêt est établi en cas de proche parenté, de mariage ou de partenariat  enregistré avec la personne décédée. Des obligations particulières de garder le  secret sont réservées.  7 Autorité de surveillance de la protection des données, organes  de contact pour la protection des données  Art.  13 Documentation 1 Les autorités responsables communiquent  à l’autorité  de surveillance tous  leurs projets législatifs et d’autres mesures au sens de l’article 34, alinéa 1,  lettre k LCPD, qui concernent le traitement de données personnelles et la pro- tection des données. 2 En matière de protection des données, les Directions et la Chancellerie d’Etat   communiquent à l’autorité cantonale de surveillance leurs décisions et leurs  décisions sur recours sous une forme anonymisée.  Art.  14 Communes, compétence en matière d’autorisation de dépenses 1 A moins  que  les  communes et  les  autres  collectivités  de  droit  communal  n’adoptent une réglementation dérogatoire, leurs autorités de surveillance dis- posent annuellement de la compétence en matière d’autorisation de dépenses  suivante:  a 1000 francs pour les petites collectivités au sens de l’article 64a de l’or- donnance sur les communes1),  b 5000 francs pour les communes de 10 000 habitants au plus et pour les  autres collectivités de droit communal,  c 10 000 francs pour les communes de plus de 10 000 habitants.  1) RSB 170.111       7  152.040.1  Art.  15 Organe de contact pour la protection des données 1 La Chancellerie d’Etat et chaque Direction désignent au minimum un organe  de contact pour la protection des données. Celuici a pour tâches de  a conseiller  les unités administratives en matière  de protection des don- nées;  b transmettre les questions auxquelles il n’est pas en mesure de répondre à  l’autorité cantonale de surveillance de la protection des données;  c soutenir les organes responsables ainsi que les utilisateurs; d promouvoir l’information et la formation des collaborateurs; e concourir  à  l’application  des  prescriptions  relatives  à  la  protection  des   données. 2 Si les Directions et la Chancellerie d’Etat ne désignent aucun autre organe,  leurs services juridiques ou les juristes des offices assument la fonction d’or- gane de contact. 3 L’Office des affaires communales et de l’organisation du territoire de la Direc- tion de l’intérieur et de la justice conseille les collectivités de droit communal  sur les questions de protection des données d’ordre général. Pour les ques- tions spécifiques, les conseils relèvent des services juridiques compétents des  Directions et de la Chancellerie d’Etat  ou des juristes des offices.  L’autorité  cantonale de surveillance de la protection des données demeure l’interlocutrice  des services de surveillance de la protection des données des collectivités de  droit communal. *  8 Procédure et protection juridique  Art.  16 Compétences des autorités de la juridiction administrative 1 Les compétences des autorités de la juridiction administrative sont régies en  principe par les dispositions de la loi du 23 mai 1989 sur la procédure et la juri - diction administratives1). 2 Les décisions des établissements et des collectivités du canton et celles de  personnes privées qui assument des tâches publiques cantonales sont suscep- tibles de recours auprès de la Direction qui assume la surveillance ou auprès  de celle dont le champ d’activité est le plus proche de l’objet du dossier. 3 Les décisions des organes du Grand Conseil peuvent être déférées au plé- num.  1) RSB 155.21       152.040.1  8  9. Dispositions finales  Art.  17 Modification d’actes législatifs 1 Les actes législatifs suivants sont modifiés:  1. Ordonnance du 26 octobre 1994 sur l’information du public (ordonnance  sur l’information; OIn)1)  2. Ordonnance du 26 juin 1996 sur les procédures de consultation et de co- rapport (OPC)2)  3. Ordonnance du 18 octobre 1995 sur l’organisation et les tâches de la Di- rection de la justice, des affaires communales et des affaires ecclésias- tiques (Ordonnance d’organisation JCE, OO JCE)3)  4. Ordonnance du 22 février 1995 fixant les émoluments de l’administration  cantonale (Ordonnance sur les émoluments; OEmo)4)  5. Ordonnance du 30 novembre 2005 sur les soins hospitaliers (OSH)5)  Art.  18 Entrée en vigueur 1 La présente ordonnance entre en vigueur le 1er janvier 2009.  Berne, le 22 octobre 2008 Au nom du Conseil-exécutif, la présidente: Egger-Jenzer le chancelier: Nuspliger  1) RSB 107.111 2) RSB 152.025 3) RSB 152.221.131 4) RSB 154.21 5) Abrogée par O du 23. 10. 2013 sur les soins hospitaliers (OSH); RSB 812.112       9  152.040.1  Tableau des modifications par date de décision  Décision Entrée en vi- gueur  Elément Modification Référence ROB  22.10.2008 01.01.2009 Texte législatif première version 08-119 02.09.2020 01.11.2020 Art. 15 al. 3 modifié 20-091       152.040.1  10  Tableau des modifications par disposition  Elément Décision Entrée en vi- gueur  Modification Référence ROB  Texte législatif 22.10.2008 01.01.2009 première version 08-119 Art. 15 al. 3 02.09.2020 01.11.2020 modifié 20-091