17.15 - Règlement sur la sécurité des données personnelles (RSD)    17.15  Règlement sur la sécurité des données personnelles (RSD)  du 29.06.1999 (version entrée en vigueur le 01.01.2022)  Le Conseil d'Etat du canton de Fribourg  Vu l'article 22 de la loi du 25 novembre 1994 sur la protection des données   (LPrD); Vu les avis de la Commission cantonale de la protection des données et de la  Commission informatique de l'Etat; Sur la proposition de la Direction de la justice, de la police et des affaires mi- litaires,  Arrête:  1 Dispositions générales  Art.  1 Objet et champ d'application 1 Le présent règlement fixe les principes généraux et les exigences minimales  en matière de sécurité des données personnelles. 2 Il s'applique à tout traitement de données personnelles soumis à la loi sur la  protection des données (LPrD). 3 Les dispositions spéciales fédérales ou cantonales relatives à la sécurité de  certaines applications sont réservées.  Art.  2 Définitions 1 Au sens du présent règlement, on entend par: a) sécurité informatique: le domaine de l'informatique visant à assurer la   protection physique des sites de traitement de l'information et des infra- structures de télécommunications, l'intégrité des logiciels de base et des  logiciels d'application, ainsi que l'intégrité, la disponibilité et la confi- dentialité  des  informations,  que  celles-ci  soient  stockées  ou  qu'elles  soient en transit sur les réseaux;  b) journalisation: l'enregistrement, à des fins de contrôle ou de reconstitu- tion, de tout ou partie des activités effectuées sur un système ou sur une  application informatiques;  1    Sécurité des données personnelles – R  17.15  c) procédure d'appel: le mode de communication automatisé des données  par lequel les destinataires, en vertu d'une autorisation du responsable  du fichier, décident de leur propre chef, sans contrôle préalable, du mo- ment et de l'étendue de la communication.  2 Pour le reste, les définitions figurant à l'article 3 LPrD s'appliquent.  2 Règles applicables à toute forme de traitement des données  Art.  3 Principes généraux 1 Les données personnelles doivent être protégées contre toute atteinte à leur  confidentialité et contre tout traitement non autorisé. 2 La protection doit être assurée lors de chaque phase du traitement des don- nées, de la collecte à la destruction; elle doit être assurée à l'égard de toute  personne, à l'intérieur comme à l'extérieur de l'administration. 3 La protection doit être harmonisée avec les mesures visant à assurer la sécu- rité des documents de l'administration en général, ainsi qu'avec les mesures  prises à titre de sécurité informatique.  Art.  4 Responsabilité – De l'organe public 1 L'organe public qui traite des données personnelles est responsable de leur  sécurité. 2 Après avoir procédé à une évaluation des risques encourus par les données  traitées dans l'accomplissement de ses tâches (art. 8 et 9), il prescrit les me- sures propres à assurer leur sécurité (art. 10 et 11). 3 Il vérifie régulièrement l'application, par les utilisateurs et utilisatrices, des  mesures prescrites.  Art.  5 Responsabilité – Des utilisateurs et utilisatrices 1 Les collaborateurs et collaboratrices qui traitent des données personnelles  sont responsables de l'application des mesures prescrites par l'organe dont ils  relèvent. 2 Lorsque les utilisateurs et utilisatrices sont des mandataires non soumis aux  dispositions du présent règlement, leurs responsabilités en matière de sécurité  sont définies dans le contrat mentionné à l'article 18 al. 2 LPrD.  2    Sécurité des données personnelles – R  17.15  Art.  6 Responsabilité – En cas de traitement conjoint 1 Lorsque plusieurs organes publics traitent conjointement des données, la ré- partition des responsabilités en matière de sécurité entre le responsable du fi- chier et les participants au fichier doit figurer dans la déclaration du fichier   (art. 19 al. 2 let. e LPrD).  Art.  7 Responsabilité – Réserve 1 Les responsabilités particulières en matière de sécurité informatique du Ser- vice de l'informatique et des télécommunications (ci-après: le SITel) ou du  service informatique compétent sont réservées.  Art.  8 Evaluation des risques – En général 1 L'organe public évalue, pour chaque fichier, les risques d'atteinte à la confi- dentialité des données et les risques de traitement non autorisé; suivant les  besoins, il évalue également les risques d'atteinte à l'intégrité et à la disponi- bilité des données. 2 Constituent notamment de tels risques: a) les risques de falsification, de vol ou d'utilisation illicite; b) les risques de modification, de copie ou d'accès non autorisés; c) les risques de perte accidentelle et d'erreurs techniques.  Art.  9 Evaluation des risques – Attribution d'un degré de confidentialité 1 L'organe public attribue à chaque fichier un degré de confidentialité, selon  l'échelle suivante: a) 1er degré: accessible au public; b) 2e degré: à usage interne; c) 3e degré: confidentiel ou secret. 2 Il se fonde sur la nature des données personnelles traitées, sur le but, l'éten- due et les formes du traitement, ainsi que sur les préjudices qu'un usage abu- sif des données peut causer aux personnes concernées. 3 Au besoin, l'attribution d'un degré de confidentialité peut également porter  sur des données ou des catégories de données spécifiques.  Art.  10 Définition des mesures – Autorisations d'accès 1 L'organe public détermine, en fonction des tâches qu'elles sont appelées à  exécuter, les personnes autorisées à accéder aux fichiers ainsi que l'étendue  de leurs accès.  3    Sécurité des données personnelles – R  17.15 2 L'autorisation d'accès peut également, notamment lors d'un traitement infor- matisé des données, porter sur des données ou des catégories de données spé- cifiques.  Art.  11 Définition des mesures – Mesures organisationnelles et tech- niques  1 L'organe public définit, en fonction de l'étendue des risques et du degré de  confidentialité des données, les mesures organisationnelles et techniques ap- propriées; ces mesures peuvent porter aussi bien sur les personnes et les lo- caux que sur le matériel et la sécurité informatique. 2 Les mesures doivent être proportionnées aux circonstances, techniquement  adaptées, économiquement supportables et applicables en pratique.  Art.  12 Réévaluation périodique 1 L'organe public réévalue périodiquement les risques et le choix des mesures,  notamment en fonction des possibilités techniques nouvelles.  Art.  13 Archivage et destruction 1 La sécurité  des  données personnelles  figurant  dans les archives  intermé- diaires doit être assurée. 2 Les documents et autres supports de données personnelles qui ne sont pas  destinés à être versés aux archives sont détruits de façon appropriée. Toute  possibilité de reconstitution des données classées confidentielles ou secrètes  doit être écartée.  3 Règles particulières relatives au traitement informatisé de données  Art.  14 Respect de la sécurité informatique 1 Les systèmes, applications et réseaux informatiques servant au traitement de  données personnelles doivent répondre aux exigences standard de la sécurité  informatique. 2 Ces exigences sont fixées dans la politique de sécurité des systèmes d'infor- mation prévue par les dispositions sur la gestion de l'informatique de l'Etat. 3 La politique de sécurité des systèmes d'information est mise à la disposition  des communes. Elle a force obligatoire pour tous les systèmes communaux  qui sont reliés au réseau de l'administration cantonale.  4    Sécurité des données personnelles – R  17.15  Art.  15 Assistance et conseil 1 Lors d'un traitement informatisé de données, le SITel conseille et assiste les  services et établissements de l'administration cantonale pour toute question  relative à la sécurité des données personnelles. Les compétences particulières  de l'Université et des hautes écoles appartenant à la Haute Ecole spécialisée  de Suisse occidentale en matière informatique sont réservées. 2 Pour tout ce qui concerne la mise en œuvre de la politique de sécurité des  systèmes  d'information,  les  communes  peuvent  également  bénéficier  des  conseils et de l'assistance du SITel. Celui-ci peut facturer les frais y relatifs. 3 Le SITel, l'Université et les hautes écoles appartenant à la Haute Ecole spé- cialisée de Suisse occidentale collaborent dans ce domaine avec l'Autorité  cantonale de la transparence, de la protection des données et de la médiation.  Art.  16 Applications et fichiers – Conception 1 Les  exigences  liées  à  la  sécurité  des  données  personnelles  doivent  être  prises en considération dès la conception des applications et des fichiers. 2 Les coûts y relatifs doivent être intégrés dans la planification financière des  applications.  Art.  17 Applications et fichiers – Authentification et contrôle des accès 1 L'accès  aux  systèmes  informatiques  permettant  le  traitement  de  données  personnelles doit être protégé par un dispositif comprenant: a) une procédure  d'authentification comprenant  au moins l'identification   des utilisateurs et utilisatrices et l'introduction d'un mot de passe; b) un système de contrôle des accès, fondé sur une définition d'autorisa-  tions individuelles d'accès. 2 L'accès aux applications et/ou aux fichiers doit également être protégé par  un tel dispositif: a) lorsque des données classées confidentielles ou secrètes sont traitées; b) ou que l'autorité cantonale ou communale de surveillance en matière de   protection des données le demande. 3 Les responsables du système, de l'application ou des fichiers définissent les  autorisations individuelles d'accès en fonction des tâches que les utilisateurs  et utilisatrices sont appelés à exécuter. Ils désignent un organe chargé de l'ad- ministration des accès, qui gère les autorisations d'accès et règle les modalités  de la procédure d'authentification sous leur responsabilité.  5    Sécurité des données personnelles – R  17.15  Art.  18 Applications et fichiers – Journalisation 1 Lorsque les mesures préventives ne suffisent pas à garantir la sécurité des  données personnelles, le traitement des données doit faire l'objet d'une procé- dure de journalisation.  Art.  19 Applications et fichiers – Exercice par les personnes concernées  de leurs droits  1 Les applications et fichiers doivent permettre aux personnes d'exercer leur  droit d'accès aux données les concernant (art. 23 à 25 LPrD), ainsi que leurs  droits en cas de traitement illicite (droit à la rectification ou à la destruction  des données ou droit à l'inscription d'une mention appropriée, art. 26 LPrD).  Art.  20 Réseaux et communications – Données confidentielles ou se- crètes  1 Les données personnelles classées confidentielles ou secrètes doivent être  protégées par cryptage ou par d'autres mesures appropriées lors de leur trans- mission et de leur stockage. 2 S'il est impossible de ramener à un niveau raisonnable les risques posés par  le réseau principal, le trafic des données doit être isolé de ce dernier par la  création d'un réseau virtuel ou par une autre mesure adéquate.  Art.  21 Réseaux et communications – Procédure d'appel 1 Lors de la mise en place d'une procédure d'appel, les autorisations indivi- duelles d'accès sont définies par le responsable du fichier, en accord avec les  destinataires des données. 2 Le responsable du fichier veille à ce que les destinataires ne puissent pas  modifier les données ni en entrer de nouvelles et qu'ils n'aient accès qu'aux  données correspondant aux autorisations d'accès. 3 La procédure d'appel doit être documentée dans un règlement d'utilisation,  qui précise notamment les personnes autorisées à accéder aux données, les  données mises à leur disposition, la fréquence des interrogations, la procé- dure d'authentification, les autres mesures de sécurité ainsi que les mesures  de contrôle. Une copie du règlement est transmise à l'autorité cantonale ou  communale de surveillance en matière de protection des données.  Art.  22 Réseaux et communications – Internet et Intranet 1 Les dispositions de la présente section s'appliquent aussi au traitement de  données effectué sur un réseau de type Internet ou Intranet.  6    Sécurité des données personnelles – R  17.15 2 En accord avec l'Autorité cantonale de la transparence, de la protection des  données et de la médiation, le SITel et l'Université veillent à fournir aux utili- sateurs et utilisatrices qui sont raccordés à ce type de réseau une information  générale sur les risques qui y sont liés, notamment en ce qui concerne la mes- sagerie  électronique;  cette  information  est  également  adressée  aux  com- munes.  Art.  23 Appareils périphériques et maintenance 1 Des  mesures  spéciales  doivent  être  prises  pour  éviter  toute  atteinte à  la  confidentialité et tout traitement non autorisé lors de la sortie des données sur  des appareils périphériques ainsi que lors des opérations de maintenance.  Art.  24 Procédures de journalisation 1 Lorsqu'un système ou une application informatique est doté d'une procédure  de journalisation des événements, les fichiers de journalisation sont soumis  aux règles de la protection des données, notamment en ce qui concerne la dé- claration mentionnée à l'article 19 LPrD. 2 La conservation, l'exploitation et la destruction des fichiers de journalisation  font l'objet d'instructions dans le concept de sécurité informatique prévu par  les dispositions sur la gestion de l'informatique de l'Etat.  4 Surveillance  Art.  25 Contrôle hiérarchique 1 L'autorité supérieure contrôle l'application, par les organes publics qui lui  sont subordonnés, des dispositions du présent règlement.  Art.  26 Contrôle par l'autorité de surveillance 1 L'autorité cantonale ou communale de surveillance en matière de protection  des données exerce la surveillance externe conformément aux articles 29 et  suivants LPrD. 2 L'organe public contrôlé collabore avec l'autorité de surveillance et lui four- nit  tous  les  renseignements  nécessaires,  notamment  ceux  qui  concernent  l'évaluation des risques, la détermination des autorisations d'accès, la défini- tion des mesures organisationnelles et techniques ainsi que les vérifications  effectuées.  Art.  27 Compétences du SITel 1 Les compétences en matière de contrôle de la sécurité informatique du SI- Tel ou, le cas échéant, du service informatique compétent sont réservées.  7    Sécurité des données personnelles – R  17.15 2 Lorsque les contrôles effectués mettent au jour des lacunes dans la sécurité  des données personnelles, le SITel ou le service informatique compétent en  avise le ou la supérieur-e hiérarchique de l'organe public concerné ainsi que  l'autorité cantonale ou communale de surveillance en matière de protection  des données.  Art.  28 Constatations fortuites 1 Les collaborateurs et collaboratrices qui, dans l'accomplissement de leurs  tâches, constatent des lacunes dans la sécurité des données personnelles d'un  autre organe public que celui dont ils relèvent en informent leur chef-fe de  service, qui avise l'organe responsable des données.  5 Dispositions transitoires et finales  Art.  29 Droit transitoire 1 Les  communes  qui  sont  dotées  d'équipements  et  d'applications  informa- tiques anciens et difficilement adaptables aux exigences de la sécurité infor- matique peuvent, jusqu'au remplacement de ces équipements et applications,  se contenter de mesures d'ordre physique pour assurer la sécurité des données  personnelles lors de traitements informatisés.  Art.  30 Modification 1 L'arrêté du 22 décembre 1987 concernant la gestion de l'informatique dans  l'administration cantonale, l'enseignement et les établissements de l'Etat (RSF  122.96.11) est modifié comme il suit: ...  Art.  31 Entrée en vigueur et publication 1 Le présent règlement entre en vigueur le 1er janvier 2000. 2 Il est publié dans la Feuille officielle, inséré dans le Bulletin des lois et im- primé en livrets.  8    Sécurité des données personnelles – R  17.15  Tableau des modifications – Par date d'adoption  Adoption Elément touché Type de  modification  Entrée en  vigueur  Source (ROF depuis 2002)  29.06.1999 Acte acte de base 01.01.2000 BL/AGS 1999 f 216 / d 219 14.11.2002 Art. 7 modifié 01.01.2003 2002_120 14.11.2002 Art. 15 modifié 01.01.2003 2002_120 14.11.2002 Art. 22 modifié 01.01.2003 2002_120 14.11.2002 Art. 27 modifié 01.01.2003 2002_120 03.12.2002 Art. 15 modifié 01.01.2003 2002_132 03.12.2002 Art. 22 modifié 01.01.2003 2002_132 14.12.2010 Art. 15 modifié 01.01.2011 2010_144 14.12.2010 Art. 22 modifié 01.01.2011 2010_144 03.11.2015 Art. 14 modifié 03.11.2015 2015_111 03.11.2015 Art. 15 modifié 03.11.2015 2015_111 04.06.2019 Art. 13 titre modifié 01.07.2019 2019_043 04.06.2019 Art. 13 al. 1 modifié 01.07.2019 2019_043 31.01.2022 Art. 15 al. 3 modifié 01.01.2022 2022_010 31.01.2022 Art. 22 al. 2 modifié 01.01.2022 2022_010  Tableau des modifications – Par article  Elément touché Type de  modification  Adoption Entrée en  vigueur  Source (ROF depuis 2002)  Acte acte de base 29.06.1999 01.01.2000 BL/AGS 1999 f 216 / d 219 Art. 7 modifié 14.11.2002 01.01.2003 2002_120 Art. 13 titre modifié 04.06.2019 01.07.2019 2019_043 Art. 13 al. 1 modifié 04.06.2019 01.07.2019 2019_043 Art. 14 modifié 03.11.2015 03.11.2015 2015_111 Art. 15 modifié 14.11.2002 01.01.2003 2002_120 Art. 15 modifié 03.12.2002 01.01.2003 2002_132 Art. 15 modifié 14.12.2010 01.01.2011 2010_144 Art. 15 modifié 03.11.2015 03.11.2015 2015_111 Art. 15 al. 3 modifié 31.01.2022 01.01.2022 2022_010 Art. 22 modifié 14.11.2002 01.01.2003 2002_120 Art. 22 modifié 03.12.2002 01.01.2003 2002_132 Art. 22 modifié 14.12.2010 01.01.2011 2010_144 Art. 22 al. 2 modifié 31.01.2022 01.01.2022 2022_010 Art. 27 modifié 14.11.2002 01.01.2003 2002_120  9   	1 Dispositions générales 	Art. 1 Objet et champ d'application 	Art. 2 Définitions  	2 Règles applicables à toute forme de traitement des données 	Art. 3 Principes généraux 	Art. 4 Responsabilité – De l'organe public 	Art. 5 Responsabilité – Des utilisateurs et utilisatrices 	Art. 6 Responsabilité – En cas de traitement conjoint 	Art. 7 Responsabilité – Réserve 	Art. 8 Evaluation des risques – En général 	Art. 9 Evaluation des risques – Attribution d'un degré de confidentialité 	Art. 10 Définition des mesures – Autorisations d'accès 	Art. 11 Définition des mesures – Mesures organisationnelles et techniques 	Art. 12 Réévaluation périodique 	Art. 13 Archivage et destruction  	3 Règles particulières relatives au traitement informatisé de données 	Art. 14 Respect de la sécurité informatique 	Art. 15 Assistance et conseil 	Art. 16 Applications et fichiers – Conception 	Art. 17 Applications et fichiers – Authentification et contrôle des accès 	Art. 18 Applications et fichiers – Journalisation 	Art. 19 Applications et fichiers – Exercice par les personnes concernées de leurs droits 	Art. 20 Réseaux et communications – Données confidentielles ou secrètes 	Art. 21 Réseaux et communications – Procédure d'appel 	Art. 22 Réseaux et communications – Internet et Intranet 	Art. 23 Appareils périphériques et maintenance 	Art. 24 Procédures de journalisation  	4 Surveillance 	Art. 25 Contrôle hiérarchique 	Art. 26 Contrôle par l'autorité de surveillance 	Art. 27 Compétences du SITel 	Art. 28 Constatations fortuites  	5 Dispositions transitoires et finales 	Art. 29 Droit transitoire 	Art. 30 Modification 	Art. 31 Entrée en vigueur et publication   		2022-08-15T17:33:15+0200 	"1701 Freiburg" 	"Gesetzessammlung des Kantons Freiburg"