Document ID: bbce7bad-00fc-462d-b64d-db5ec5120ff4

17.1 - Loi sur la protection des données (LPrD)    17.1  Loi sur la protection des données (LPrD)  du 25.11.1994 (version entrée en vigueur le 01.01.2022)  Le Grand Conseil du canton de Fribourg  Vu le message du Conseil d'Etat du 13 septembre 1994; Sur la proposition de cette autorité,  Décrète:  1 Dispositions générales  Art.  1 But 1 La  présente  loi  vise  à  protéger  les  droits  fondamentaux  des  personnes  lorsque des organes publics traitent des données à leur sujet.  Art.  2 Champ d'application 1 La présente loi s'applique aux organes publics suivants: a) les organes de l'Etat, des communes et des autres corporations de droit   public ainsi que des établissements de droit public; b) les particuliers  et  les organes  d'institutions privées,  lorsqu'ils  accom-  plissent des tâches de droit public. 2 Elle ne s'applique toutefois pas: a) aux délibérations du Grand Conseil, des assemblées communales ou des   conseils  généraux,  des  assemblées  bourgeoisiales  ainsi  que  de  leurs  commissions;  b) aux procédures civiles, pénales et de juridiction administrative en cours; c) aux  activités  exercées  par  les  entreprises  publiques  en  situation  de   concurrence économique, lorsque celles-ci n'agissent pas en tant qu'or- ganes investis de la puissance publique.  3 Elle ne s'applique aux Eglises reconnues que si celles-ci n'ont pas adopté  des dispositions en la matière.  1    Protection des données – L  17.1  Art.  3 Définitions 1 On entend par: a) données  personnelles  (données),  toutes  les  informations  qui  se  rap-  portent à une personne identifiée ou identifiable; b) personne concernée,  la  personne physique ou morale  au sujet  de la-  quelle des données sont traitées; c) données sensibles, les données personnelles sur:  1. les opinions ou activités religieuses, philosophiques, politiques ou  syndicales,  2. la santé, la sphère intime ou l'appartenance à une race, 3. des mesures d'aide sociale, 4. des sanctions pénales ou administratives et les procédures y rela-  tives; d) traitement, toute opération relative à des données personnelles – quels   que soient les moyens et procédés utilisés –, notamment la collecte, la  conservation, l'hébergement, l'exploitation, la modification, la commu- nication, l'archivage ou la destruction de données;  e) communication, le fait de rendre des données personnelles accessibles,  par exemple en autorisant leur consultation, en les transmettant ou en  les diffusant;  e1) externalisation du traitement, une forme de sous-traitance impliquant la  délocalisation du traitement sur les infrastructures du sous-traitant;  f) fichier, tout ensemble de données personnelles dont la structure permet  de rechercher les données par personne concernée;  g) responsable du fichier, l'organe public qui décide du but et du contenu  du fichier;  h) participant au fichier, l'organe public qui, sans être responsable du fi- chier, est en droit d'introduire des données dans le fichier ou d'y procé- der à des mutations.  i) sous-traitant, la personne privée ou l'organe public relevant d'une autre  collectivité qui traite des données personnelles pour le compte d'un ou  plusieurs responsables du fichier.  2    Protection des données – L  17.1  2 Principes régissant le traitement de données personnelles  2.1 Conditions générales de licéité du traitement  Art.  4 Base légale 1 L'organe public n'est en droit de traiter des données personnelles que si une  disposition légale le prévoit, ou, à défaut, si les dispositions réglant l'accom- plissement de sa tâche l'impliquent.  Art.  5 Finalité 1 Les données personnelles ne peuvent être traitées que dans le but pour le- quel elles ont été collectées ou dans un but qui, selon les règles de la bonne  foi, est compatible avec lui. 2 Sont réservés les cas dans lesquels la personne concernée a consenti à un  changement de finalité.  Art.  6 Proportionnalité 1 Les données et les modes de traitement doivent être nécessaires et appro- priés par rapport au but du traitement.  Art.  7 Exactitude 1 Dans la  mesure où le  but du traitement  l'exige,  les données doivent être  exactes et mises à jour.  Art.  8 Devoir de diligence accru 1 L'organe public qui traite des données sensibles doit prendre toutes les dis- positions nécessaires pour prévenir le risque accru d'atteinte que comporte le  traitement de telles données.  2.2 Conditions supplémentaires applicables à certaines formes de  traitement  Art.  9 Collecte 1 Les données personnelles doivent être recueillies en principe auprès de la  personne concernée. Elles ne peuvent l'être auprès d'un organe public ou d'un  tiers que si une disposition légale le prévoit, si la nature de la tâche l'exige ou  si des circonstances particulières le justifient. 2 La collecte de données doit être reconnaissable comme telle pour la per- sonne auprès de laquelle elle est effectuée.  3    Protection des données – L  17.1 3 Lorsque des données sont recueillies de manière systématique, notamment  au moyen d'un questionnaire, le but et la base légale du traitement ainsi que  les destinataires des données doivent être indiqués. Dans les autres cas, ces  indications sont fournies sur demande.  Art.  10 Communication ordinaire – Conditions 1 Des données personnelles ne peuvent être communiquées que si une dispo- sition légale le prévoit ou si, dans un cas d'espèce, a) l'organe public qui demande les données en a besoin pour l'accomplis-  sement de sa tâche; b) la personne privée qui demande les données justifie d'un intérêt  à la   communication primant celui  de la personne concernée  à ce que les  données ne soient pas communiquées, ou que  c) la personne concernée a consenti à la communication, ou les circons- tances permettent de présumer un tel consentement.  2 L'accès à des données personnelles au moyen d'une procédure d'appel, no- tamment un accès en ligne, ne peut être accordé à un ou une destinataire que  si une disposition légale le prévoit.  Art.  11 Communication ordinaire – Restrictions 1 La communication est refusée, restreinte ou assortie de charges: a) si un intérêt public important ou un intérêt digne de protection de la per-  sonne concernée ou d'un tiers le commande, ou b) si une obligation de garder le secret l'exige.  Art.  12 Communication ordinaire – Réserve 1 La communication des données personnelles qui sont inscrites au contrôle  des habitants est régie par la loi y relative. 2 La communication de données personnelles au public est en outre régie par  la législation sur l'information et l'accès aux documents.  Art.  12a Communication transfrontière 1 Des données personnelles ne peuvent être communiquées à l'étranger que  dans les Etats qui garantissent un niveau de protection adéquat. 2 Des données  personnelles  peuvent  toutefois  être  communiquées  dans  les  Etats n'offrant pas une telle garantie, lorsque l'une des conditions suivantes  est réalisée: a) des garanties suffisantes, notamment contractuelles, permettent d'assu-  rer un niveau de protection adéquat à l'étranger;  4    Protection des données – L  17.1  b) la personne concernée a, en l'espèce, donné son consentement explicite; c) le traitement est en relation directe avec la conclusion ou l'exécution   d'un contrat, et les données traitées concernent le cocontractant ou la  cocontractante;  d) la communication est, en l'espèce,  indispensable soit à la sauvegarde  d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la  défense d'un droit en justice;  e) la communication est, en l'espèce, nécessaire à la protection de la vie ou  de l'intégrité corporelle de la personne concernée.  3 L'organe public informe le ou la préposé-e cantonal-e à la protection des  données des garanties prises en vertu de l'alinéa 2 let. a avant la communica- tion des données à l'étranger.  Art.  12b Externalisation – Principes 1 Le traitement de données personnelles, y compris de données sensibles, peut  être externalisé aux conditions posées par les présentes dispositions. 2 Les lieux de traitement doivent être  situés en tout temps sur le territoire  suisse ou sur le territoire d'un Etat garantissant un niveau de protection des  données équivalent. 3 Lorsque l'externalisation implique une délégation de tâches à des tiers au  sens de l'article 54 de la Constitution du canton de Fribourg du 16 mai 2004,  les exigences particulières prévues par cette disposition sont applicables. 4 Le Conseil d'Etat présente tous les deux ans à la Commission des finances  et de gestion un rapport sur l'externalisation.  Art.  12c Externalisation – Responsabilités 1 L'organe public qui procède à une externalisation demeure responsable de la  protection des données personnelles, en particulier de leur confidentialité ain- si que de la pérennité de leur conservation et de leur exploitation. En particu- lier: a) il  prend  les  précautions  commandées  par  les  circonstances  quant  au   choix du sous-traitant, à son instruction et à sa surveillance; b) il assure la protection et la sécurité des données et de ses propres sys-  tèmes d'information par la conclusion d'un contrat qui décrit au mini- mum: 1. l'objet, la nature, la finalité et la durée de l'externalisation; 2. les catégories de données concernées; 3. les obligations et les droits de chaque partie;  5    Protection des données – L  17.1  4. les droits et possibilités de contrôle de l'autorité de surveillance en  matière de protection des données;  5. l'interdiction faite  au sous-traitant  de sous-traiter  à  son tour un  traitement sans l'autorisation préalable du responsable du fichier;  6. le  devoir  du  sous-traitant  d'informer  immédiatement  le  respon- sable du fichier lorsque, en vertu d'une loi étrangère ou d'une déci- sion de justice, il est tenu de communiquer des données à une au- torité étrangère ou risque de devoir le faire;  c) il ne confie pas au sous-traitant des traitements qu'il ne serait pas en  droit d'effectuer lui-même;  d) il veille à ce que les données et les outils informatiques concernés par  une externalisation puissent être récupérés  en tout temps, notamment  dans le but de changer de sous-traitant, de procéder à leur réinternalisa- tion ou de les verser aux archives historiques.  2 Lorsque l'externalisation concerne plusieurs organes différents au sein d'une  même collectivité publique, un organe principalement responsable est dési- gné. 3 Au sein de l'administration cantonale, la responsabilité de la mise en œuvre  et du suivi des règles de la présente section est assumée conjointement par  l'organe compétent à raison de la matière et par le service en charge de l'in- formatique 1). Sont réservés les cas dans lesquels l'organe compétent à raison  de la matière gère de manière autonome ses systèmes informatiques.  Art.  12d Externalisation – Mesures de sécurité 1 L'intégrité,  l'authenticité,  la disponibilité et la confidentialité des données  personnelles externalisées ainsi que la pérennité de leur conservation et de  leur exploitation doivent être garanties par des mesures organisationnelles et  techniques appropriées et adaptées à l'évolution des technologies disponibles. 2 La définition des mesures de sécurité tient compte des risques que le traite- ment des données en question présente pour la personnalité et les droits fon- damentaux des personnes concernées. 3 Lorsque l'externalisation concerne des données indispensables au fonction- nement de l'administration, la continuité des activités externalisées doit, en  cas d'incident, être garantie par un dispositif adéquat.  1) Actuellement: Service de l'informatique et des télécommunications.  6    Protection des données – L  17.1  Art.  12e Externalisation – Mesures relatives aux données sensibles 1 Le  traitement  de  données  personnelles  sensibles  qui  présente  un  risque  concret d'atteinte aux droits des personnes concernées et le traitement de don- nées qui font l'objet d'une obligation légale ou contractuelle de garder le se- cret peuvent être externalisés si la confidentialité à l'égard du sous-traitant est  assurée de manière que ce dernier ne puisse avoir accès à leur contenu. 2 Lorsque le sous-traitant doit impérativement avoir accès aux données pour  des raisons techniques, le contrat d'externalisation fixe les exigences particu- lières nécessaires, en particulier l'engagement du sous-traitant de n'accéder au  contenu des données qu'avec le consentement exprès de l'organe public qui  procède à l'externalisation et l'obligation de tenir un journal des accès.  Art.  12f Essais pilotes 1 Sur la base d'un dossier dûment établi et  après consultation de l'Autorité  cantonale de la transparence et de la protection des données, le Conseil d'Etat  peut autoriser par voie d'ordonnance le traitement automatisé de données sen- sibles si cela paraît indispensable pour réaliser un essai pilote ou préparer une  application pendant la procédure d'adoption ou d'adaptation de sa base légale. 2 Une phase d'essai peut être considérée comme indispensable pour traiter les  données: a) si  l'accomplissement  des  tâches  nécessite  l'introduction  d'innovations   techniques dont les effets doivent être évalués; b) si l'accomplissement des tâches nécessite la prise de mesures organisa-  tionnelles ou techniques importantes dont l'efficacité doit être exami- née, notamment dans le cadre d'une collaboration entre les organes fé- déraux et les cantons.  3 L'organe responsable transmet, au plus tard deux ans après la mise en œuvre  de la phase d'essai, un rapport d'évaluation au Conseil d'Etat et à l'autorité de  surveillance. Dans ce rapport, il lui propose la poursuite ou l'interruption du  traitement. 4 Si le Conseil d'Etat autorise la poursuite du traitement, il engage immédiate- ment la procédure législative pour donner une base légale formelle au traite- ment de ces données.  Art.  13 Destruction 1 Les données personnelles doivent être détruites dès que l'organe public n'en  a plus besoin. 2 Sont réservées les dispositions cantonales et communales sur l'archivage des  documents administratifs.  7    Protection des données – L  17.1  Art.  13a Vidéosurveillance 1 Les dispositions spéciales de la législation sur la vidéosurveillance sont ré- servées.  2.3 Traitement de données à des fins ne se rapportant pas à des  personnes  Art.  14 Collecte auprès d'un organe public 1 Lorsque des données personnelles doivent être recueillies en vue d'un traite- ment à des fins ne se rapportant pas à des personnes, notamment d'un traite- ment à des fins de statistique, de recherche ou de planification, elles peuvent   être obtenues auprès de l'organe public qui les détient.  Art.  15 Licéité du traitement 1 Tout organe public est en droit, dans l'accomplissement de sa tâche, de trai- ter à des fins ne se rapportant pas à des personnes les données personnelles  qu'il détient. 2 Il est en droit de communiquer ces données à un autre organe public en vue  d'un traitement à des fins ne se rapportant pas à des personnes si: a) ce traitement entre dans les attributions de l'organe  qui demande les   données, et que b) ces fins ne sont pas manifestement incompatibles avec les fins pour les-  quelles les données ont été initialement recueillies. Sont réservées les restrictions à la communication prévues à l'article 11.  Art.  16 Conditions particulières 1 Dès que le but du traitement le permet, les données personnelles traitées à  des fins ne se rapportant pas à des personnes doivent être rendues anonymes,  ou à tout le moins être utilisées sans référence directe aux personnes concer- nées. 2 Les résultats du traitement doivent être publiés sous une forme ne permet- tant pas d'identifier les personnes concernées.  3 Mise en œuvre de la protection des données  Art.  17 Responsabilité – En général 1 Tout organe public qui traite des données personnelles est responsable de la  protection des données.  8    Protection des données – L  17.1 2 Lorsque plusieurs organes publics traitent conjointement des données, la ré- partition de leurs obligations relatives à la protection des données est réglée  dans la déclaration prévue à l'article 19.  Art.  18 Responsabilité – Sous-traitance 1 L'organe public qui fait traiter des données personnelles par un sous-traitant  demeure responsable de la protection des données. Il doit notamment donner  au sous-traitant les instructions nécessaires et veiller à ce que ce dernier n'uti- lise les données ou ne les communique que pour l'exécution du mandat. 2 Lorsque le ou la mandataire n'est pas soumis-e à la présente loi, l'organe pu- blic assure la protection des données par un contrat, à moins que d'autres dis- positions légales n'offrent une protection suffisante.  Art.  19 Déclaration des fichiers – Principe 1 Avant d'ouvrir un fichier, son responsable doit le déclarer à l'autorité de sur- veillance. 2 La déclaration contient les informations suivantes: a) le nom et l'adresse du responsable du fichier; b) la dénomination, la base légale et le but du fichier; c) le cercle et le nombre approximatif des personnes concernées; d) la liste des données qui seront enregistrées; e) les participants au fichier et la répartition des responsabilités; f) les destinataires réguliers de données. En  outre,  lorsque  des  données  sensibles  sont  traitées,  la  déclaration  doit  contenir une justification de la nécessité de leur traitement, à moins que celle- ci ne résulte manifestement de la tâche à accomplir. 3 Le responsable du fichier adresse une copie de la déclaration aux collectivi- tés dont des organes participent au fichier.  Art.  20 Déclaration des fichiers – Exceptions 1 N'ont pas à être déclarés, s'ils ne contiennent pas de données sensibles: a) les fichiers renfermant uniquement des informations accessibles au pu-  blic; b) les fichiers d'enregistrement de la correspondance; c) les fichiers d'adresses; d) les fichiers de fournisseurs et de clients;  9    Protection des données – L  17.1  e) les fichiers qui sont exclusivement des instruments de travail person- nels.  2 En outre, le Conseil d'Etat peut, après avoir pris l'avis de la Commission  cantonale de la transparence, de la protection des données et de la médiation,  prévoir des exceptions à l'obligation de déclarer pour d'autres catégories de  fichiers qui ne présentent manifestement pas de risques pour les droits des  personnes concernées.  Art.  21 Registre des fichiers 1 L'autorité de surveillance tient un registre qui contient l'ensemble des décla- rations de fichier. 2 Les communes qui n'ont pas leur propre autorité de surveillance conservent,  également sous la forme d'un registre, une copie des déclarations effectuées  au sujet de leurs fichiers et des fichiers auxquels elles participent. 3 Les registres sont publics et peuvent être consultés gratuitement.  Art.  22 Mesures organisationnelles et techniques 1 L'organe public qui traite des données personnelles doit prendre les mesures  d'organisation et les mesures techniques appropriées  contre tout traitement  non autorisé des données. 2 Le Conseil d'Etat détermine, après avoir pris l'avis de la Commission canto- nale de la transparence, de la protection des données et de la médiation, les  exigences minimales en la matière.  Art.  22a Procédure en cas de non-respect des prescriptions 1 En cas de violation ou de risque de violation des prescriptions sur la protec- tion des données, l'autorité de surveillance invite l'organe public concerné à  prendre, dans un délai déterminé, les mesures nécessaires pour remédier à la  situation. 2 Toutefois, lorsque l'organe concerné est une unité subordonnée, l'invitation  est directement adressée à l'organe hiérarchiquement supérieur. 3 Le destinataire de la recommandation adopte, dans le délai imparti par l'au- torité de surveillance, une décision sur la suite qu'il entend donner à la recom- mandation. La décision est communiquée à l'autorité de surveillance. L'ab- sence de décision est considérée comme une décision de rejet. 4 La décision de rejet, total ou partiel, de la recommandation est sujette à re- cours. Les dispositions du code de procédure et de juridiction administrative  sont  applicables  par  analogie.  Toutefois,  seule  l'autorité  de  surveillance  a  qualité pour recourir.  10    Protection des données – L  17.1 5 Lorsque la décision émane d'un organe pour lequel le code de procédure et  de juridiction administrative ne prévoit pas de voie de droit, le recours est   adressé au Tribunal cantonal.  4 Droits des personnes concernées  Art.  23 Droit d'accès – Principes 1 Toute personne peut demander au responsable d'un fichier si des données la  concernant y sont traitées. 2 Le  responsable  du  fichier  communique  au  requérant  ou  à  la  requérante  toutes les données le ou la concernant qui sont contenues dans le fichier. Sur  demande, il lui communique en outre les informations sur le fichier énumé- rées à l'article 19 al. 2. 3 L'organe public qui fait traiter des données par un tiers demeure tenu de  communiquer les données et de fournir les informations demandées.  Art.  24 Droit d'accès – Modalités 1 La personne qui fait valoir son droit d'accès doit justifier de son identité. 2 Les  renseignements  sont,  en  règle  générale,  fournis  par  écrit.  En accord  avec le responsable du fichier, la personne concernée peut également consul- ter ses données sur place. 3 Lorsqu'il s'agit de données sur la santé, la communication peut être faite par  un ou une médecin désigné-e par la personne concernée. Les dispositions de  la loi du 16 novembre 1999 sur la santé sont réservées. 4 La procédure est gratuite. Le Conseil d'Etat peut prévoir des exceptions.  Art.  25 Droit d'accès – Restrictions 1 Le responsable du fichier peut refuser, restreindre ou différer la communica- tion des renseignements si et dans la mesure où: a) un intérêt  public  le  commande,  notamment  si  la  communication  des   renseignements  risque  de  compromettre  une  procédure  d'enquête  en  cours;  b) l'intérêt digne de protection d'un tiers l'exige. 2 La communication peut également être refusée lorsqu'elle concerne des do- cuments déposés  aux archives  cantonales  ou communales,  à moins que la  personne concernée ne fasse valoir un intérêt digne de protection. 3 Le responsable du fichier doit indiquer pour quel motif il refuse, restreint ou  diffère la communication des renseignements.  11    Protection des données – L  17.1  Art.  26 Droits en cas d'atteinte 1 La personne qui y a un intérêt légitime peut exiger de l'organe public qu'il: a) s'abstienne de procéder à un traitement illicite; b) supprime les effets d'un traitement illicite; c) constate le caractère illicite du traitement. 2 Elle peut en particulier demander que l'organe public: a) rectifie  les  données  la  concernant,  les  détruise  ou s'abstienne  de  les   communiquer à des tiers; b) fasse  figurer  une mention appropriée  en regard  des  données  dont  ni   l'exactitude ni l'inexactitude ne peuvent être prouvées; c) publie sa décision ou la communique à des tiers. 3 Les documents déposés aux archives cantonales ou communales ne peuvent  être ni rectifiés ni détruits. La personne concernée peut cependant demander  l'inscription d'une mention appropriée.  Art.  27 Procédure et voies de droit 1 Les décisions prises en application des articles 23 à 26 le sont selon les  prescriptions du code de procédure et de juridiction administrative. Elles sont  sujettes à recours conformément à ce code. 2 En outre, les dispositions suivantes sont applicables: a) les organes publics communiquent également les décisions précitées à   l'autorité de surveillance; b) l'autorité de surveillance a qualité pour recourir contre ces décisions.  Art.  28 Réparation du dommage et du tort moral 1 La personne qui subit un préjudice en raison d'une violation des dispositions  de la présente loi peut faire valoir des prétentions en dommages-intérêts et en  réparation du tort moral conformément à la loi sur la responsabilité civile des  collectivités publiques et de leurs agents. 2 Elle peut demander que le ou la juge ordonne la publication ou la communi- cation à des tiers de tout ou partie de son jugement.  5 Surveillance  Art.  29 En général 1 La surveillance de la protection des données est assurée par l'Autorité canto- nale de la transparence, de la protection des données et de la médiation.   12    Protection des données – L  17.1 2 Les communes peuvent instituer leur propre autorité de surveillance qui as- sume, sur le plan communal, les mêmes tâches que l'autorité cantonale. 3 L'autorité communale est indépendante dans l'exercice de ses attributions et  dispose des moyens nécessaires à l'accomplissement de ses tâches. A défaut,  la surveillance est exercée par l'autorité cantonale.  Art.  29a Autorité cantonale 1 L'Autorité cantonale de la transparence, de la protection des données et de la  médiation  comprend  une  commission,  un  ou  une  préposé-e  à  la  transpa- rence, un ou une préposé-e à la protection des données et un médiateur ou  une médiatrice cantonal-e. 2 Elle exerce les tâches qui lui incombent en vertu de la présente loi par l'in- termédiaire de la Commission cantonale et du ou de la préposé-e à la protec- tion des données. 3 Les tâches qu'elle exerce dans les domaines du droit d'accès aux documents  et de la médiation administrative sont régies par les législations y relatives.  Art.  30 Commission cantonale – Composition, organisation et fonction- nement  1 La Commission cantonale de la transparence, de la protection des données  et  de la  médiation est  formée d'un président ou d'une présidente et  de six  membres, élus par le Grand Conseil à la suite d'une proposition du Conseil  d'Etat. Son secrétariat  est assuré conjointement par le ou la préposé-e à la  protection des données et le ou la préposé-e à la transparence; pour les dos- siers en lien avec les activités de médiation, le secrétariat peut être assuré  par le médiateur ou la médiatrice cantonal-e. 2 Le président ou la présidente et les membres doivent posséder, dans leur en- semble, les connaissances nécessaires à l'accomplissement des tâches de la  Commission; celle-ci comprend en particulier un ou une professionnel-le de  la santé, un ou une spécialiste en informatique et au moins un ou une profes - sionnel-le des médias. 3 En cas de besoin, la Commission peut consulter des experts ou des expertes   et inviter des tierces personnes à assister à tout ou partie de ses séances et, le   cas échéant, à s'y exprimer avec voix consultative. 4 Pour le surplus, la Commission règle son organisation et son fonctionne- ment.  13    Protection des données – L  17.1  Art.  30a Commission cantonale – Attributions 1 La Commission exerce une surveillance générale dans le domaine de la pro- tection des données. Elle a notamment pour tâches: a) d'assurer la coordination entre les exigences de la protection des don-  nées et l'exercice du droit d'accès aux documents officiels; abis) de diriger l'activité du ou de la préposé-e à la protection des données; ater) de mener la procédure de nomination du ou de la préposé-e à la protec-  tion des données pour le Conseil d'Etat et de préaviser à son intention la  ou les candidatures qu'elle privilégie;  b) de donner son avis sur les projets d'actes législatifs touchant à la protec- tion des données ainsi que dans les cas prévus par la loi;  c) de mettre en œuvre la procédure prévue à l'article 22a en cas de viola- tion ou de risque de violation des prescriptions sur la protection des  données;  d) d'interjeter les recours prévus à l'article 27 al. 2; e) d'exercer  la  haute  surveillance  sur  les  autorités  communales  de  sur-  veillance, dont elle reçoit le rapport d'activité. 2 La Commission adresse chaque année au Grand Conseil, par l'intermédiaire  du Conseil d'Etat, un rapport sur son activité ainsi que sur celle des deux pré- posé-e-s et du médiateur ou de la médiatrice cantonal-e. Elle peut, dans la  mesure où l'intérêt général le justifie, informer le public de ses constatations.  Art.  31 Préposé-e cantonal-e à la protection des données 1 Le ou la préposé-e cantonal-e à la protection des données est nommé-e par  le Conseil d'Etat, sur le préavis de la Commission. 2 Il ou elle a pour tâches: a) de contrôler l'application de la législation relative à la protection des   données, notamment en procédant systématiquement à des vérifications  auprès des organes concernés;  b) de conseiller les organes concernés, notamment lors de l'étude de pro- jets de traitement;  c) de renseigner les personnes concernées sur leurs droits; d) d'exécuter les travaux qui lui sont confiés par la Commission; e) de faire rapport à la Commission sur son activité et ses constatations; f) de collaborer avec le préposé fédéral à la protection des données et à la   transparence ainsi qu'avec les autorités de surveillance de la protection  des données des autres cantons et avec celles de l'étranger;  14    Protection des données – L  17.1  g) d'examiner l'adéquation du niveau de protection assuré à l'étranger, au  sens de l'article 12a al. 3.  3 Le ou la préposé-e recueille  les informations nécessaires  à l'accomplisse- ment de ses tâches. Il ou elle peut notamment demander des renseignements,  exiger la production de documents, procéder à des inspections et se faire pré- senter des traitements de données. Le secret de fonction ne peut lui être oppo- sé.  Art.  32 Dispositions communes 1 L'Autorité cantonale de la transparence, de la protection des données et de la  médiation est indépendante dans l'exercice de ses attributions. 2 Elle est rattachée administrativement à la Direction dont elle relève 2). 3 Elle  dispose  d'une  enveloppe  budgétaire  dont  le  montant  est  déterminé  chaque année à l'occasion de l'adoption du budget de l'Etat. 4 Les membres de l'Autorité cantonale  sont soumis au secret de fonction et à  l'obligation de discrétion. 5 Ils signalent, au moment de leur entrée en fonction et lors de chaque modifi- cation, les liens particuliers qui les rattachent à des intérêts privés ou publics. 6 Les articles 21 à 25 du code de procédure et de juridiction administrative  sont applicables à la récusation des membres de l'Autorité cantonale .  6 Dispositions transitoires et finales  Art.  33 Droit transitoire – Déclaration des fichiers existants 1 Les organes publics qui tiennent un fichier au moment de l'entrée en vigueur  de la présente loi disposent d'un délai d'une année pour procéder à la déclara- tion prévue à l'article 19.  Art.  34 Droit transitoire – Communes sans fichiers automatisés 1 Tant qu'une commune ne dispose d'aucun fichier automatisé, ses organes ne  sont pas soumis à l'obligation de déclarer leurs fichiers à l'autorité de sur- veillance.  Art.  34a Droit transitoire – Contrats d'externalisation 1 Pour autant que besoin, les contrats d'externalisation conclus avant l'entrée  en vigueur de la modification du 18 décembre 2020 de la présente loi sont  adaptés aux exigences des articles 12b et suivants lors de leur renouvelle- ment, mais au plus tard dans un délai de cinq ans.  2) Actuellement: Chancellerie d'Etat.  15    Protection des données – L  17.1  Art.  35 Modifications – Loi sur le contrôle des habitants 1 La loi du 23 mai 1986 sur le contrôle des habitants (RSF 114.21.1) est mo- difiée comme il suit: ...  Art.  36 Modifications – Loi sur le statut du personnel de l'Etat 1 La loi du 22 mai 1975 sur le statut du personnel de l'Etat (RSF 122.70.1) est  modifiée comme il suit: ...  Art.  37 Modifications – Loi sur les communes 1 La loi du 25 septembre 1980 sur les communes (RSF 140.1) est modifiée  comme il suit: ...  Art.  38 Modifications – Loi concernant les rapports entre les Eglises et  l'Etat  1 La loi du 26 septembre 1990 concernant  les rapports entre les Eglises et  l'Etat (RSF 190.1) est modifiée comme il suit: ...  Art.  39 Modifications – Loi sur la police cantonale 1 La loi du 15 novembre 1990 sur la police cantonale (RSF 551.1) est modi- fiée comme il suit: ...  Art.  40 Modifications – Loi sur les impôts communaux et paroissiaux 1 La  loi  du  10  mai  1963 sur  les  impôts  communaux  et  paroissiaux  (RSF  632.1) est modifiée comme il suit: ...  Art.  41 Entrée en vigueur 1 Le Conseil d'Etat est chargé de l'exécution de la présente loi, dont il fixe la  date de l'entrée en vigueur. 3)  3) Date d'entrée en vigueur: 1er juillet 1995 (ACE 21.03.1995).  16    Protection des données – L  17.1  Tableau des modifications – Par date d'adoption  Adoption Elément touché Type de  modification  Entrée en  vigueur  Source (ROF depuis 2002)  25.11.1994 Acte acte de base 01.07.1995 BL/AGS 1994 f 599 / d 604 16.11.1999 Art. 24 modifié 01.01.2001 BL/AGS 1999 f 430 / d 439 14.11.2002 Art. 32 modifié 01.01.2003 2002_120 08.05.2008 Art. 10 modifié 01.12.2008 2008_053 08.05.2008 Art. 12a introduit 01.12.2008 2008_053 08.05.2008 Art. 18 modifié 01.12.2008 2008_053 08.05.2008 Art. 22a introduit 01.12.2008 2008_053 08.05.2008 Art. 23 modifié 01.12.2008 2008_053 08.05.2008 Art. 24 modifié 01.12.2008 2008_053 08.05.2008 Art. 27 modifié 01.12.2008 2008_053 08.05.2008 Art. 28 modifié 01.12.2008 2008_053 08.05.2008 Art. 29 modifié 01.12.2008 2008_053 08.05.2008 Art. 30 modifié 01.12.2008 2008_053 08.05.2008 Art. 30a introduit 01.12.2008 2008_053 08.05.2008 Art. 31 modifié 01.12.2008 2008_053 08.05.2008 Art. 32 modifié 01.12.2008 2008_053 09.09.2009 Art. 12 modifié 01.01.2011 2009_096 09.09.2009 Art. 29 modifié 01.01.2011 2009_096 09.09.2009 Art. 29a introduit 01.01.2011 2009_096 09.09.2009 Art. 30 modifié 01.01.2011 2009_096 09.09.2009 Art. 30a modifié 01.01.2011 2009_096 09.09.2009 Art. 31 modifié 01.01.2011 2009_096 09.09.2009 Art. 32 modifié 01.01.2011 2009_096 07.12.2010 Art. 13a introduit 01.01.2012 2010_149 17.06.2011 Art. 20 modifié 01.01.2011 2009_096a 17.06.2011 Art. 22 modifié 01.01.2011 2009_096a 17.06.2011 Art. 30 modifié 01.01.2011 2009_096a 05.10.2016 Art. 30 modifié 01.01.2017 2016_125 18.12.2020 Art. 3 al. 1, d) modifié 01.03.2021 2020_195 18.12.2020 Art. 3 al. 1, e1) introduit 01.03.2021 2020_195 18.12.2020 Art. 3 al. 1, i) introduit 01.03.2021 2020_195 18.12.2020 Art. 12b introduit 01.03.2021 2020_195 18.12.2020 Art. 12c introduit 01.03.2021 2020_195 18.12.2020 Art. 12d introduit 01.03.2021 2020_195 18.12.2020 Art. 12e introduit 01.03.2021 2020_195 18.12.2020 Art. 12f introduit 01.03.2021 2020_195 18.12.2020 Art. 18 titre modifié 01.03.2021 2020_195 18.12.2020 Art. 18 al. 1 modifié 01.03.2021 2020_195 18.12.2020 Art. 34a introduit 01.03.2021 2020_195 07.10.2021 Art. 20 al. 2 modifié 01.01.2022 2021_121 07.10.2021 Art. 22 al. 2 modifié 01.01.2022 2021_121 07.10.2021 Art. 29 al. 1 modifié 01.01.2022 2021_121 07.10.2021 Art. 29a al. 1 modifié 01.01.2022 2021_121 07.10.2021 Art. 29a al. 3 modifié 01.01.2022 2021_121 07.10.2021 Art. 30 al. 1 modifié 01.01.2022 2021_121 07.10.2021 Art. 30a al. 1, ater) introduit 01.01.2022 2021_121 07.10.2021 Art. 30a al. 2 modifié 01.01.2022 2021_121 07.10.2021 Art. 32 al. 1 modifié 01.01.2022 2021_121  17    Protection des données – L  17.1  Tableau des modifications – Par article  Elément touché Type de  modification  Adoption Entrée en  vigueur  Source (ROF depuis 2002)  Acte acte de base 25.11.1994 01.07.1995 BL/AGS 1994 f 599 / d 604 Art. 3 al. 1, d) modifié 18.12.2020 01.03.2021 2020_195 Art. 3 al. 1, e1) introduit 18.12.2020 01.03.2021 2020_195 Art. 3 al. 1, i) introduit 18.12.2020 01.03.2021 2020_195 Art. 10 modifié 08.05.2008 01.12.2008 2008_053 Art. 12 modifié 09.09.2009 01.01.2011 2009_096 Art. 12a introduit 08.05.2008 01.12.2008 2008_053 Art. 12b introduit 18.12.2020 01.03.2021 2020_195 Art. 12c introduit 18.12.2020 01.03.2021 2020_195 Art. 12d introduit 18.12.2020 01.03.2021 2020_195 Art. 12e introduit 18.12.2020 01.03.2021 2020_195 Art. 12f introduit 18.12.2020 01.03.2021 2020_195 Art. 13a introduit 07.12.2010 01.01.2012 2010_149 Art. 18 modifié 08.05.2008 01.12.2008 2008_053 Art. 18 titre modifié 18.12.2020 01.03.2021 2020_195 Art. 18 al. 1 modifié 18.12.2020 01.03.2021 2020_195 Art. 20 modifié 17.06.2011 01.01.2011 2009_096a Art. 20 al. 2 modifié 07.10.2021 01.01.2022 2021_121 Art. 22 modifié 17.06.2011 01.01.2011 2009_096a Art. 22 al. 2 modifié 07.10.2021 01.01.2022 2021_121 Art. 22a introduit 08.05.2008 01.12.2008 2008_053 Art. 23 modifié 08.05.2008 01.12.2008 2008_053 Art. 24 modifié 16.11.1999 01.01.2001 BL/AGS 1999 f 430 / d 439 Art. 24 modifié 08.05.2008 01.12.2008 2008_053 Art. 27 modifié 08.05.2008 01.12.2008 2008_053 Art. 28 modifié 08.05.2008 01.12.2008 2008_053 Art. 29 modifié 08.05.2008 01.12.2008 2008_053 Art. 29 modifié 09.09.2009 01.01.2011 2009_096 Art. 29 al. 1 modifié 07.10.2021 01.01.2022 2021_121 Art. 29a introduit 09.09.2009 01.01.2011 2009_096 Art. 29a al. 1 modifié 07.10.2021 01.01.2022 2021_121 Art. 29a al. 3 modifié 07.10.2021 01.01.2022 2021_121 Art. 30 modifié 08.05.2008 01.12.2008 2008_053 Art. 30 modifié 09.09.2009 01.01.2011 2009_096 Art. 30 modifié 17.06.2011 01.01.2011 2009_096a Art. 30 modifié 05.10.2016 01.01.2017 2016_125 Art. 30 al. 1 modifié 07.10.2021 01.01.2022 2021_121 Art. 30a introduit 08.05.2008 01.12.2008 2008_053 Art. 30a modifié 09.09.2009 01.01.2011 2009_096 Art. 30a al. 1, ater) introduit 07.10.2021 01.01.2022 2021_121 Art. 30a al. 2 modifié 07.10.2021 01.01.2022 2021_121 Art. 31 modifié 08.05.2008 01.12.2008 2008_053 Art. 31 modifié 09.09.2009 01.01.2011 2009_096 Art. 32 modifié 14.11.2002 01.01.2003 2002_120 Art. 32 modifié 08.05.2008 01.12.2008 2008_053 Art. 32 modifié 09.09.2009 01.01.2011 2009_096 Art. 32 al. 1 modifié 07.10.2021 01.01.2022 2021_121 Art. 34a introduit 18.12.2020 01.03.2021 2020_195  18   	1 Dispositions générales 	Art. 1 But 	Art. 2 Champ d'application 	Art. 3 Définitions  	2 Principes régissant le traitement de données personnelles 	2.1 Conditions générales de licéité du traitement 	Art. 4 Base légale 	Art. 5 Finalité 	Art. 6 Proportionnalité 	Art. 7 Exactitude 	Art. 8 Devoir de diligence accru  	2.2 Conditions supplémentaires applicables à certaines formes de traitement 	Art. 9 Collecte 	Art. 10 Communication ordinaire – Conditions 	Art. 11 Communication ordinaire – Restrictions 	Art. 12 Communication ordinaire – Réserve 	Art. 12a Communication transfrontière 	Art. 12b Externalisation – Principes 	Art. 12c Externalisation – Responsabilités 	Art. 12d Externalisation – Mesures de sécurité 	Art. 12e Externalisation – Mesures relatives aux données sensibles 	Art. 12f Essais pilotes 	Art. 13 Destruction 	Art. 13a Vidéosurveillance  	2.3 Traitement de données à des fins ne se rapportant pas à des personnes 	Art. 14 Collecte auprès d'un organe public 	Art. 15 Licéité du traitement 	Art. 16 Conditions particulières   	3 Mise en œuvre de la protection des données 	Art. 17 Responsabilité – En général 	Art. 18 Responsabilité – Sous-traitance 	Art. 19 Déclaration des fichiers – Principe 	Art. 20 Déclaration des fichiers – Exceptions 	Art. 21 Registre des fichiers 	Art. 22 Mesures organisationnelles et techniques 	Art. 22a Procédure en cas de non-respect des prescriptions  	4 Droits des personnes concernées 	Art. 23 Droit d'accès – Principes 	Art. 24 Droit d'accès – Modalités 	Art. 25 Droit d'accès – Restrictions 	Art. 26 Droits en cas d'atteinte 	Art. 27 Procédure et voies de droit 	Art. 28 Réparation du dommage et du tort moral  	5 Surveillance 	Art. 29 En général 	Art. 29a Autorité cantonale 	Art. 30 Commission cantonale – Composition, organisation et fonctionnement 	Art. 30a Commission cantonale – Attributions 	Art. 31 Préposé-e cantonal-e à la protection des données 	Art. 32 Dispositions communes  	6 Dispositions transitoires et finales 	Art. 33 Droit transitoire – Déclaration des fichiers existants 	Art. 34 Droit transitoire – Communes sans fichiers automatisés 	Art. 34a Droit transitoire – Contrats d'externalisation 	Art. 35 Modifications – Loi sur le contrôle des habitants 	Art. 36 Modifications – Loi sur le statut du personnel de l'Etat 	Art. 37 Modifications – Loi sur les communes 	Art. 38 Modifications – Loi concernant les rapports entre les Eglises et l'Etat 	Art. 39 Modifications – Loi sur la police cantonale 	Art. 40 Modifications – Loi sur les impôts communaux et paroissiaux 	Art. 41 Entrée en vigueur   		2022-08-15T21:28:38+0200 	"1701 Freiburg" 	"Gesetzessammlung des Kantons Freiburg"