Obligations à respecter

1

NEW !!! Informer la personne concernée de manière adéquate de la collecte de données, que celle-ci soit effectuée auprès d’elle ou non (art. 24 CPDT-JUNE), sauf si l'une des exceptions de l'art. 24a CPDT-JUNE est réalisée.

Pas besoin de le faire si le traitement est prévu par une base légale qui contient toutes les informations légales!!!

2

NEW !!! Effectuer une analyse d'impact lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.

3

NEW !!! Consulter le PPDT lorsque l'entité envisage de sous-traiter à l'étranger  ou avec des risques élevés (art. 23a CPDT-JUNE).

Dans tous les cas, les conditions pour sous-traiter des traitements de données personnelles, sensibles ou non, doivent être respectées. En l'absence d'une base légale exprès, il faut établir un contrat avec le sous-traitant (voir modèle). Ceux-ci doivent se faire en Suisse, excepté si le traitement n’y est possible qu'à un coût disproportionné ou s’il ne peut être effectué qu’à l’étranger  (art. 54 CPDT-JUNE).

4

NEW !!! Annoncer dans les meilleurs délais au PPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 23c CPDT-JUNE).

5

NEW !!! Consulter le PPDT lorsque l'entité envisage un projet de traitement à risque élevé (art. 23a CPDT-JUNE).

6

Consulter le PPDT lorsque l'entité envisage de communiquer des données à l'étranger (art. 27 CDPT-JUNE).

7

S'assurer de ne traiter (récolter, conserver, communiquer, …) des données personnelles que si une base légale le prévoit ou si le traitement sert à l'accomplissement d'une tâche légale. La base légale prévoyant le traitement ou la tâche doit être adoptée par le Grand Conseil/Parlement ou le législatif communal, selon que le responsable du traitement soit une entité cantonale ou communale, pour traiter des données personnelles sensibles (art. 16 CPDT-JUNE).

S'assurer qu'un système d'information permettant l'échange entre plusieurs entités bénéficie d'une base légale suffisante (voir modèle). S'il s'agit de données personnelles sensibles, il en faut une adoptée par l'autorité législative (Grand Conseil/Parlement, Conseil général/Assemblée communale) dont dépend l'entité (art. 16 CPDT-JUNE).

8

Traiter uniquement les données personnelles, sensibles ou non, nécessaires à l’accomplissement des tâches légales et propres à atteindre le but visé (art. 17 CPDT-JUNE).

Traiter uniquement les données personnelles, sensibles ou non, pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. À l’échéance, elles doivent être proposées à l'entité responsable des archives (art. 17 CPDT-JUNE).

S'assurer que les données personnelles traitées, sensibles ou non, sont exactes, conformes à la réalité, complètes et régulièrement mises à jour (art. 19 CPDT-JUNE).

9

Traiter uniquement les données personnelles, sensibles ou non, pour une finalité déterminée et reconnaissable lors de leur collecte, qui est prévue par une base légale ou qui ressort des circonstances (art. 18 CPDT-JUNE).

10

S'assurer que la sécurité est assurée (en principe par le service informatique de l'entité), en prenant des mesures techniques et organisationnelles appropriées, pour tous les traitements effectués avec des données personnelles, sensibles ou non. Par exemple, l'envoi de données personnelles par un e-mail non chiffré, le stockage dans Dropbox, ..., ne respecte pas cette exigence (art. 20 CPDT-JUNE).

Assurer l'intégrité, la disponibilité et la confidentialité des données personnelles traitées (art. 20 CPDT-JUNE).

11

Établir un répertoire interne des fichiers, accessible par tous les administrés (art. 21 CPDT-JUNE).

Les fichiers contenant des données sensibles doivent en plus être obligatoirement annoncés au PPDT.

12

S'assurer qu'un processus existe pour que toute personne puisse obtenir l'accès à ses données personnelles rapidement lorsqu'elle en fait la demande.

Rendre rapidement une prise de position (et pas une décision) motivée sommairement lorsqu’il est refusé à une personne, partiellement ou totalement, l’accès à ses données personnelles ou un autre droit relatif à la protection de ses données personnelles (art. 31 CPDT-JUNE).

13

Lorsqu'une entité envisage une vidéosurveillance (art. 48 CPDT-JUNE), elle doit respecter toutes les exigences figurant dans l'aide-mémoire.

14

La personne responsable d'une entité doit s'assurer que les subalternes respectent également ces obligations (art. 56 CPDT-JUNE).

15

Obtenir l’accord de l'exécutif dont dépend l'entité pour livrer une liste de personnes (ex : personnes ayant atteint 65 ans) à des tiers (ex : association de retraités) (art. 29 CPDT-JUNE).

16

Consulter le PPDT lorsqu’il est envisagé d’offrir un accès en ligne à des données personnelles, sensibles ou non, nécessaires à une autre entité (art. 28 CPDT-JUNE).

17

Il appartient à l'entité de prévoir un processus pour que l'ensemble des employés traitant des données personnelles possède les informations utiles pour respecter les règles de protection de données.

18

Etablir une liste des droits d'accès aux données personnelles

19

Un catalogue de géodonnées doit impérativement être soumis au PPDT dans le canton de Neuchâtel.