Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/07232.jsonl.gz/602

Section 1 Droit d'accès(1 - 2)
Section 1 Droit d'accès(13 - 15)
Section 2 Déclaration des fichiers(16 - 18)
Section 3 Communication à l'étranger(19 - 19)
Section 5 Dispositions particulières(24 - 27)
Chapitre 4 Dispositions finales(36 - 38)
Le Conseil fédéral suisse,
vu les art. 6, al. 3, 7, al. 2, 8, 11a, al. 6, 16, al. 2, 17a et 36, al. 1, 4 et 6, de la loi fédérale du 19 juin 1992 sur la protection des données (LPD)1, vu l'art. 46a de la loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration fédérale (LOGA)2,3
arrête:
1Toute personne qui demande au maître du fichier si des données la concernant sont traitées (art. 8 LPD) doit en règle générale le faire par écrit et justifier de son identité.
2La demande d'accès et la communication des renseignements demandés peuvent être faites par voie électronique, pour autant que le maître du fichier le prévoie expressément et qu'il prenne des mesures adéquates afin:
3D'entente avec le maître du fichier ou sur proposition de celui-ci, la personne concernée peut également consulter ses données sur place. Si elle y a consenti et qu'elle a été identifiée, les renseignements peuvent également lui être fournis oralement.
4Les renseignements sont fournis dans les 30 jours suivant réception de la demande. Il en va de même d'une décision restreignant le droit d'accès (art. 9 et 10 LPD); celle-ci doit être motivée. Si les renseignements ne peuvent être donnés dans les 30 jours, le maître du fichier en avertit le requérant en lui indiquant le délai dans lequel interviendra la réponse.
5Si plusieurs maîtres de fichier gèrent en commun un ou plusieurs fichiers, le droit d'accès peut être exercé auprès de chacun d'eux, à moins que l'un d'eux soit responsable du traitement de l'ensemble des demandes de renseignements. Si le maître de fichier n'est pas autorisé à communiquer le renseignement demandé, il transmet la requête à qui de droit.
6Si le traitement des données faisant l'objet d'une demande d'accès est effectué par un tiers pour le compte du maître de fichier et que ce dernier n'est pas en mesure de fournir le renseignement demandé, il transmet la demande au tiers pour qu'il y donne suite.2
7La consultation des données d'une personne décédée est accordée lorsque le requérant justifie d'un intérêt à la consultation et qu'aucun intérêt prépondérant de proches de la personne décédée ou de tiers ne s'y oppose. Un intérêt est établi en cas de proche parenté ou de mariage avec la personne décédée.
1Une participation équitable aux frais peut exceptionnellement être demandée lorsque:
2Le montant prélevé s'élève à 300 francs au maximum. Le requérant est préalablement informé du montant et peut retirer sa requête dans les dix jours.
1Les fichiers (art. 11a, al. 3, LPD) sont déclarés au Préposé fédéral à la protection des données et à la transparence (préposé) avant d'être opérationnels.1 La déclaration contient les informations suivantes:
1Ne sont pas soumis à déclaration les fichiers couverts par l'art. 11a, al. 5, let. a et c à f, LPD, ainsi que les fichiers suivants (art. 11a, al. 5, let. b, LPD):
2Le maître du fichier prend les mesures nécessaires afin de pouvoir communiquer, sur demande, au préposé ou aux personnes concernées les informations relatives aux fichiers qui ne sont pas soumis à déclaration (art. 3, al. 1).
La publication de données personnelles au moyen de services d'information et de communication automatisés afin d'informer le public n'est pas assimilée à une communication à l'étranger.
1Le maître du fichier informe le préposé, avant la communication à l'étranger, des garanties et des règles de protection des données visées à l'art. 6, al. 2, let. a et g, LPD. S'il n'est pas en mesure d'informer préalablement le préposé, l'information a lieu immédiatement après la communication.
2Une fois les garanties et les règles de protection des données annoncées au préposé, le devoir d'information du maître du fichier est réputé également rempli pour toutes les communications:
3Le devoir d'information est également réputé rempli lorsque des données sont communiquées au moyen de contrats-modèles ou de clauses standards établis ou reconnus par le préposé et que le maître du fichier informe le préposé qu'il recourt à ces contrats-modèles ou à ces clauses standards. Le préposé publie une liste des contrats-modèles ou des clauses standards établis ou reconnus par lui.
4Le maître du fichier prend les mesures adéquates pour s'assurer que le destinataire respecte les garanties et les règles de protection des données concernées.
5Le préposé examine les garanties et les règles de protection des données qui lui sont annoncées (art. 31, al. 1, let. e, LPD) et communique le résultat de son examen au maître du fichier dans un délai de 30 jours à compter de la date de leur annonce.
Le préposé publie une liste des Etats qui disposent d'une législation assurant un niveau de protection adéquat.
1La personne privée qui traite des données personnelles ou qui met à disposition un réseau télématique assure la confidentialité, la disponibilité et l'intégrité des données afin de garantir de manière appropriée la protection des données.1 Elle protège les systèmes notamment contre les risques de:
2Les mesures techniques et organisationnelles sont appropriées. Elles tiennent compte en particulier des critères suivants:
3Ces mesures font l'objet d'un réexamen périodique.
1Le maître du fichier prend, en particulier lors de traitements automatisés de données personnelles, des mesures techniques et organisationnelles propres à réaliser notamment les objectifs suivants:
2Les fichiers doivent être organisés de manière à permettre à la personne concernée d'exercer ses droits d'accès et de rectification.
1Le maître du fichier journalise les traitements automatisés de données sensibles ou de profils de la personnalité lorsque les mesures préventives ne suffisent pas à garantir la protection des données. Une journalisation est notamment nécessaire, lorsque, sans cette mesure, il ne serait pas possible de vérifier a posteriori que les données ont été traitées conformément aux finalités pour lesquelles elles ont été collectées ou communiquées. Le préposé peut recommander la journalisation pour d'autres traitements.2
2Les procès-verbaux de journalisation sont conservés durant une année et sous une forme répondant aux exigences de la révision. Ils sont accessibles aux seuls organes ou personnes chargés de vérifier l'application des dispositions de protection des données personnelles, et ils ne sont utilisés qu'à cette fin.
1Le maître d'un fichier automatisé soumis à déclaration (art. 11a, al. 3, LPD) qui n'en est pas exempté en vertu de l'art. 11a, al. 5, let. b à d, LPD élabore un règlement de traitement décrivant en particulier l'organisation interne et les procédures de traitement et de contrôle des données, et comprenant les documents relatifs à la planification, à l'élaboration et à la gestion du fichier et des moyens informatiques.
2Le maître du fichier met régulièrement à jour le règlement de traitement. Il le met, sur demande, à la disposition du préposé ou du conseiller à la protection des données au sens de l'art. 11a, al. 5, let. e, LPD sous une forme qui lui est intelligible.
1Lorsque le maître du fichier entend être délié de son devoir de déclaration en vertu de l'art. 11a, al. 5, let. e, LPD, il est tenu:
2Le maître du fichier peut désigner un collaborateur ou un tiers en qualité de conseiller à la protection des données. Celui-ci ne doit pas exercer d'activités incompatibles avec ses tâches de conseiller à la protection des données et doit avoir les connaissances professionnelles nécessaires.
1Le conseiller à la protection des données a notamment pour tâches:
2Le conseiller à la protection des données:
Les art. 1 et 2 de la présente ordonnance s'appliquent par analogie aux demandes de renseignements adressées à des organes fédéraux.
1Les représentations suisses à l'étranger ainsi que les missions auprès des Communautés européennes et auprès des organisations internationales transmettent les requêtes qui leur sont adressées au service compétent du Département fédéral des affaires étrangères. Le département règle les compétences.1
1 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
2 Nouvelle abréviation selon le ch. 3 de l'annexe 2 à l'O du 24 mai 2006 sur la transparence, en vigueur depuis le 1er juillet 2006 (RO 2006 2331). Il a été tenu compte de cette modification dans tout le présent texte.
3 Abrogée par le ch. I de l'O du 28 sept. 2007, avec effet au 1er janv. 2008 (RO 2007 4993).
4 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
1Ne sont pas soumis à déclaration les fichiers suivants, dans la mesure où ils sont utilisés exclusivement à des fins administratives internes:
2Ne sont pas non plus soumis à déclaration:
3L'organe fédéral responsable prend les mesures nécessaires afin de pouvoir communiquer, sur demande, au préposé ou aux personnes concernées les informations relatives aux fichiers qui ne sont pas soumis à déclaration (art. 16, al. 1).
1Les organes fédéraux responsables prennent, conformément aux art. 8 à 10, les mesures techniques et organisationnelles propres à protéger la personnalité et les droits fondamentaux des personnes dont les données sont traitées. Ils collaborent avec l'Unité de stratégie informatique de la Confédération (USIC) lorsque le traitement des données est automatisé.
2Ils annoncent, dès le début, au conseiller à la protection des données au sens de l'art. 11a, al. 5, let. e, LPD ou, à défaut, au préposé tout projet de traitement automatisé de données personnelles, afin que les exigences de la protection des données soient immédiatement prises en considération. L'annonce au préposé a lieu par l'intermédiaire de l'USIC lorsqu'un projet doit également être annoncé à cette unité.2
3Le préposé et l'USIC collaborent dans le cadre de leurs activités relatives aux mesures techniques. Le préposé prend l'avis de l'USIC avant de recommander de telles mesures.
4Au demeurant, les instructions édictées par les organes fédéraux en vertu de l'ordonnance du 26 septembre 2003 sur l'informatique dans l'administration fédérale (OIAF)3 sont applicables.4
1 Nouvelle teneur selon le ch. II 7 de l'annexe à l'O du 23 fév. 2000 sur l'informatique dans l'administration fédérale, en vigueur depuis le 1er avril 2000 (RO 2000 1227).
2 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
3 RS 172.010.58
4 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
1Les organes fédéraux responsables établissent un règlement de traitement pour les fichiers automatisés qui répondent à l'un des critères suivants:
2L'organe fédéral responsable précise dans le règlement de traitement son organisation interne. Il y décrit en particulier les procédures de traitement et de contrôle des données et y intègre les documents relatifs à la planification, à l'élaboration et à la gestion du fichier. Le règlement contient les informations nécessaires à la déclaration des fichiers (art. 16) et les indications suivantes:
3Le règlement est régulièrement mis à jour. Il est mis à la disposition des organes chargés du contrôle sous une forme qui leur est intelligible.
2L'organe fédéral qui fait traiter des données personnelles par un tiers demeure responsable de la protection des données. Il veille à ce que les données soient traitées conformément au mandat, notamment quant à leur utilisation et à leur communication.
3Lorsqu'un tiers n'est pas soumis à la LPD, l'organe responsable veille à ce que d'autres dispositions légales assurent une protection équivalente ou, à défaut, garantit une telle protection par des clauses contractuelles.
1La Chancellerie fédérale et chaque département désignent respectivement et au minimum un conseiller à la protection des données. Ce conseiller a pour tâches de:
2Si les organes fédéraux entendent être déliés de leur devoir de déclarer leurs fichiers conformément à l'art. 11a, al. 5, let. e, LPD, les art. 12a et 12b sont applicables.
3Ils communiquent avec le préposé par l'intermédiaire de leur conseiller à la protection des données.
Si une personne interrogée n'est pas tenue de fournir des renseignements, l'organe fédéral qui collecte systématiquement des données personnelles au moyen de questionnaires doit l'informer du caractère facultatif de sa réponse.
1L'organe fédéral qui introduit, pour la gestion de ses fichiers, un numéro personnel d'identification crée un identifiant non signifiant réservé à son champ d'activité. Est un identifiant non signifiant tout ensemble de caractères attribué de manière biunivoque à chaque personne enregistrée dans un fichier et qui ne livre par lui-même aucune information sur la personne.
2L'utilisation d'un numéro personnel d'identification par un autre organe fédéral ou cantonal, ainsi que par une personne privée est soumise à l'autorisation de l'organe concerné.
3L'organe concerné peut donner son accord si les traitements de données prévus sont en relation étroite avec le domaine pour lequel l'identifiant requis a été créé.
4Au demeurant, l'utilisation du numéro AVS est régie par la législation sur l'AVS.
L'organe fédéral responsable indique au destinataire l'actualité et la fiabilité des données personnelles qu'il communique, dans la mesure où ces informations ne ressortent pas des données elles-mêmes ou des circonstances.
1Avant de consulter les unités administratives concernées, l'organe fédéral responsable de l'essai pilote communique au préposé de quelle manière il est prévu d'assurer que les exigences de l'art. 17a LPD sont remplies et l'invite à prendre position.
2Le préposé prend position sur le respect des exigences de l'art. 17a, al. 1 et 2, LPD. A cet effet, l'organe fédéral responsable lui remet tous les documents nécessaires et en particulier:
3Le préposé peut exiger d'autres documents et procéder à des vérifications complémentaires.
4L'organe fédéral responsable informe le préposé de toute modification essentielle portant sur le respect des conditions de l'art. 17a LPD. Le cas échéant, le préposé prend à nouveau position.
5La prise de position du préposé est annexée à la proposition adressée au Conseil fédéral.
L'organe fédéral responsable soumet pour avis au préposé le projet de rapport d'évaluation à l'intention du Conseil fédéral (art. 17a, al. 4, LPD). La prise de position du préposé est portée à la connaissance du Conseil fédéral.
1Le registre des fichiers géré par le préposé contient les informations énoncées aux art. 3 et 16.
2Le registre est accessible en ligne au public. Sur demande, le préposé communique gratuitement des extraits du registre.
3Le préposé tient une liste des maîtres de fichiers qui sont déliés de leur devoir de déclarer leurs fichiers en vertu de l'art. 11a, al. 5, let. e et f, LPD. Cette liste est accessible en ligne au public.
4Si le maître du fichier ne déclare pas son fichier ou le fait de manière incomplète, le préposé l'invite à s'acquitter de son obligation dans un délai déterminé. A l'expiration du délai et sur la base des informations dont il dispose, le préposé peut procéder d'office à l'enregistrement du fichier ou recommander la cessation du traitement des données.
1Le siège du préposé et de son secrétariat est à Berne.
1Le préposé communique avec le Conseil fédéral par l'intermédiaire du chancelier de la Confédération.1 Celui-ci transmet au Conseil fédéral tous les rapports et propositions du préposé, même s'il ne peut y adhérer.
2Le préposé communique directement avec les autres unités administratives, les tribunaux fédéraux, les autorités étrangères de protection des données et toutes les autres autorités ou personnes privées soumises à la législation fédérale sur la protection des données ou à celle sur le principe de la transparence dans l'administration.3
1 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
2 Introduit par le ch. I de l'O du 4 juin 2010, en vigueur depuis le 1er déc. 2010 (RO 2010 3399).
3 Nouvelle teneur selon le ch. II 24 de l'O du 8 nov. 2006 portant adaptation d'ordonnances du Conseil fédéral à la révision totale de la procédure fédérale, en vigueur depuis le 1er janv. 2007 (RO 2006 4705).
1Les organes fédéraux communiquent au préposé tous leurs projets législatifs concernant le traitement de données personnelles, la protection des données et l'accès aux documents officiels.1 En matière de protection des données, les départements et la Chancellerie fédérale lui communiquent leurs décisions sous forme anonyme, ainsi que leurs directives.2
2Le préposé doit avoir à sa disposition la documentation nécessaire à son activité. Il gère un système d'information autonome pour la documentation, l'enregistrement, la gestion, l'indexation et le contrôle de la correspondance et des dossiers, ainsi que pour la publication en ligne d'informations d'intérêt général et du registre des fichiers.3
1 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
2 Nouvelle teneur selon le ch. 3 de l'annexe 2 à l'O du 24 mai 2006 sur la transparence, en vigueur depuis le 1er juillet 2006 (RO 2006 2331).
3 Nouvelle teneur selon le ch. I de l'O du 28 sept. 2007, en vigueur depuis le 1er janv. 2008 (RO 2007 4993).
4 Nouvelle teneur selon le ch. II 24 de l'O du 8 nov. 2006 portant adaptation d'ordonnances du Conseil fédéral à la révision totale de la procédure fédérale, en vigueur depuis le 1er janv. 2007 (RO 2006 4705).
2Aucun émolument ne peut être prélevé auprès des autorités fédérales ou cantonales.
1Lorsqu'en application des art. 27 et 29 LPD le préposé est amené à éclaircir les faits, notamment pour apprécier la licéité d'un traitement, il peut demander au maître du fichier des informations relatives notamment:
2Lorsque des données sont communiquées à l'étranger, le préposé peut demander des informations complémentaires ayant trait notamment aux possibilités de traitement des données par le destinataire ou aux mesures de protection des données.
1Le Tribunal administratif fédéral peut exiger que des traitements de données lui soient présentés.
2Il communique ses décisions au préposé.
1Les fichiers en exploitation à l'entrée en vigueur de la LPD et de la présente ordonnance doivent être annoncés au préposé d'ici au 30 juin 1994.
2Les mesures techniques et organisationnelles (art. 8 à 11, 20, 21) doivent être prises dans un délai de cinq ans à compter de la date de l'entrée en vigueur de la présente ordonnance pour l'ensemble des traitements automatisés de données et des fichiers existants.