Communications de données à des entités autonomes (2014.0714)

Les administrations cantonales et communales peuvent communiquer des données à une entité autonome soumise à la CPDT-JUNE (voir article 2 let. e et f CPDT-JUNE et la liste des entités concernées) sous réserve du respect de quelques conditions.

Selon l'article 25 CPDT-JUNE, l'administration cantonale / communale est en droit de communiquer des données, d'office ou sur requête, s'il existe une base légale ou si l'accomplissement par l'entité autonome (voir article 2 let. e et f CPDT-JUNE et la liste des entités concernées) de tâches légales clairement définies l'exige.

S'il n'existe pas de base légale permettant expressément la communication, il faut que les tâches légales de l'entité autonome soient clairement mentionnées, notamment au registre du commerce,  dans les statuts, dans une délégation de compétences écrite (mandat de prestation) ou/et dans une base légale.

En plus de ces conditions fondamentales, il faut encore :

• qu'il ne s'agisse pas de données sensibles au sens de l'article 14 let. a CPDT-JUNE (sauf s'il existe une loi adoptée par l'organe législatif dont dépend l'administration);

• que seules les données nécessaires et aptes à remplir les tâches de l'entité autonome soient communiquées. De plus, les personnes qui ne sont pas concernées par un dossier ne doivent pas accéder aux données y relatif;

• que les données livrées respectent le principe de l'exactitude. Autrement dit, ces données doivent reposer sur des faits relativement avérés. Il est contraire  à la CPDT-JUNE d'affirmer par exemple "On a entendu que l'entreprise Y. avait peut-être, éventuellement, tout d'un coup, des soucis avec son directeur";

• que la sécurité des données communiquées soit assurée. Il faut par exemple éviter que les données soient stockées dans un Cloud étranger ou autre système d'information peu sûr.

Il est dans l'intérêt des administrations cantonales / communales de respecter ces conditions car elles sont responsables des communications de données qu'elles effectuent et du respect des conditions mentionnées. Par exemple, si elles communiquent des données qui se retrouvent dans un Cloud étranger (Drop Box par exemple…) sans avoir pris un minimum de précautions préalables, leur responsabilité pourrait être engagée.