Préposé à la protection des données et transparence Jura-Neuchâtel

Classification des données

Protection des données

Classification schématisée

1. Objectifs de la classification

Cette classification :

  • est définie en tenant compte du cadre légal, des besoins métier et des risques liés à cette information.

  • est décrite en termes de niveau de protection. Celui-ci définit les besoins de sécurité de l’information dans son cycle de vie. Ce niveau de protection détermine les mesures de protection appliquées à la donnée, à l’information, au document ou aux systèmes qui permettent leur enregistrement, leur traitement, leur échange, leur communication et leur archivage.

  • facilite la mise en œuvre des mesures de contrôle.

  • s’applique à tout type de données, quelle que soit la structure de l'information et son support (informatique, vidéo, audio, papier, etc..).

  • permet notamment le marquage de l'information suivant son niveau de protection, afin d'y appliquer les mesures de protection adéquates. Elle vise notamment à minimiser les risques relatifs à la perte de confidentialité, d’intégrité et/ou de disponibilité liés notamment à l'authenticité des données, des informations et des documents, à leur modification, à leur destruction, à leur communication et à leur archivage.

2. Types de données et définitions

2.1. Données publiques

La notion de « donnée publique » couvre l’ensemble des données qui sont ou devraient être (légalement et/ou volontairement) publiées ou tenues à disposition du public. Aucune restriction prévue par les règles de la transparence n’est applicable (art. 69 à 72 CPDT-JUNE).

2.2. Données non personnelles et non publiques

La notion de « donnée personnelles et non publiques » couvre toutes les données qui ne se rapportent pas à une personne identifiée ou identifiable (voir aussi p. 3.3) et dont l’une des restrictions prévues aux articles 69 à 72 CPDT-JUNE est applicable.

Les données non personnelles sont protégées si elles figurent ou figureront dans un document et que ce dernier est :

  1. relatif à une procédure civile, pénale, administrative contentieuse ou un arbitrages pendants (le document doit avoir été élaboré dans le cadre de la procédure en cours);

  2. un procès-verbal d’une séance non publique;

  3. élaboré en dehors de l’accomplissement d’une tâche publique;

  4. rendu inaccessible en vertu d’une loi spéciale;

  5. non définitif;

  6. destiné à l’usage personnel;

  7. l’objet d’une commercialisation;

  8. une aide à la décision (note interne);

ou si son accès :

  1. met en danger la sûreté de l’Etat ou la sécurité publique;

  2. compromet la politique extérieure de l’autorité;

  3. entrave l’exécution de mesures concrètes d’une entité;

  4. affaiblit la position de négociation d’une entité;

  5. influence le processus décisionnel d’une entité;

  6. peut causer une atteinte à la personnalité, à moins que la communication ne soit justifiée par un intérêt public prépondérant;

  7. révèle des secrets professionnels, de fabrication ou d’affaires;

  8. révèle des informations fournies librement par un tiers à une entité qui a garanti le secret.

Sont considérées comme documents toutes les informations détenues par une entité, et ce quel qu’en soit le support.

2.3. Données personnelles

Les données personnelles nécessitent au minimum le niveau de protection « confidentiel », elles peuvent être classées comme sensibles ou non.

2.3.1. Données personnelles non sensibles

La notion de « donnée personnelle non sensible » couvre toutes les informations qui se rapportent à une personne identifiée ou identifiable. Par exemple, numéro de téléphone, adresse e-mail, identifiant d'un compte, plaque d'immatriculation, carte sim, fichiers word/excel/pdf/etc. contenant des noms, photos d'une personne, évaluations scolaires, adresses IP, le suivi d’un utilisateur, contenu d'un compte sur un réseau, boîte e-mail, etc.

Plus d’informations ici .

Les données personnelles ne peuvent être traitées qu’aux conditions prévues par les règles de protection des données (art. 14 à 30 CPDT-JUNE).

Les données personnelles doivent notamment être :

  • Récoltées, stockées, communiquées uniquement si une base légale le prévoit ou si le traitement sert à l'accomplissement d'une tâche légale ;

  • Nécessaires et propres à atteindre le but visé ;

  • Utilisées uniquement dans le but indiqué lors de la collecte, qui est prévu par une base légale ou qui ressort des circonstances ;

  • Exactes, conformes à la réalité et complètes ;

  • Pour l’ensemble des obligations à respecter, voir ici

Les données personnelles ne peuvent être traitées qu’après avoir répondu au questionnaire du PPDT et obtenu une validation par ce biais.

Les collaborateurs-trices ne peuvent traiter que les données personnelles qui leur sont nécessaires pour l’accomplissement de leurs tâches. Ils/Elles ne sont pas en droit d’échanger de telles données avec des collègues pour qui elles ne seraient pas nécessaires

2.3.2. Données personnelles sensibles

Il s’agit de données personnelles particulièrement protégées car elles concernent :

  1. Les opinions ou les activités religieuses, philosophiques, politiques ou syndicales;

  2. La santé (anamnèse, diagnostic, prescription, etc.), la sphère intime, l'origine ou l'ethnie;

  3. Les données biométriques et génétiques;

  4. Les mesures d'aide sociale ou d'assistance;

  5. Les poursuites ou sanctions pénales et administratives;

La protection particulière conférée à ces données implique que leur utilisation soit expressément prévue dans une loi adoptée par un organe législatif.

3. Niveau des besoins de protection

3.1. Définition des niveaux de protection RCJU

La définition des niveaux de protection se fait selon l’autorisation de distribution et la catégorisation de la donnée.

Public – Les données peuvent être partagées à grande échelle sans restrictions particulières.

  • Le risque est nul ou mineur pour les personnes physiques ou morales,

  • Des mesures de protection minimales doivent être mises en œuvre, protégeant notamment l'information contre une modification involontaire ou malveillante (intégrité de niveau faible).

Interne – Le partage des données est réservé au service ou au département concerné, et n’est pas destiné au public.

  • Les personnes physiques ou morales peuvent être affectées par la divulgation ou la perte d'intégrité des informations,

  • Des mesures de protection standards sont mises en œuvre, protégeant notamment l'information contre toute divulgation ou modification involontaire ou malveillante (intégrité de niveau moyen à fort).

Confidentiel – Le partage des données est limité aux collaborateurs-trices les nécessitant pour l’accomplissement de leurs tâches ou dans le cadre de leur fonction.

  • La situation physique, morale, juridique ou économique de personnes physiques ou morales ou la réputation de l'État peut être affectée,

  • Des mesures de protection importantes, basées sur les meilleures pratiques, doivent être mises en œuvre (intégrité de niveau moyen à fort).

Secret – Le partage de la donnée est réservé aux personnes expressément désignées.

  • La vie de la personne concernée ou la sûreté de l'État peut être mise en danger,

  • Des mesures de protection renforcées spécifiques, organisationnelles et/ou techniques, doivent être mises en œuvre.

4. Conséquences des niveaux de classification

4.1. Classification « Public »

  • Intranet => publication autorisée

  • Internet => publication autorisée

  • Impression => autorisée

  • Envoi par courriel => autorisé

  • Application mobile => SMS/Signal/Threema/Whatsapp autorisée

  • Classement => non chiffré

  • Stockage cloud => autorisé

4.2. Classification « Interne »

  • Intranet => uniquement dans le cadre d'un groupe d'usagers fermé

  • Internet => pas de publication

  • Impression => autorisée

  • Envoi par courriel => autorisé

  • Application mobile => SMS/Signal/Threema autorisée

  • Classement => non chiffré

  • Stockage cloud => en principe non autorisé (possible uniquement avec une validation préalable du PPDT)

4.3. Classification « Confidentiel » et « Secret »

  • Intranet => pas de publication

  • Internet => pas de publication

  • Envoi par courriel interne => autorisé

  • Envoi par courriel vers l’externe => uniquement de manière chiffré (par ex. au moyen d’Incamail ou HIN)

  • Application mobile => SMS/Signal/Threema interdite

  • Classement => chiffré (par ex. au moyen de 7zip à l’aide d’un mot de passe)

  • Stockage cloud => en principe non autorisé (possible uniquement avec une validation préalable du PPDT)

Ce site n'utilise que deux cookies: Un pour indiquer temporairement aux serveurs la langue que vous avez choisie lors de la configuration de vos outils informatiques. Un autre pour rappeler aux serveurs votre choix d'accepter les présentes conditions, afin d’éviter de reposer la question à la prochaine visite. En poursuivant la consultation de notre site, vous acceptez l’utilisation des cookies aux fins énoncées ci-dessus, ainsi que l'enregistrement temporaire sur les serveurs de quelques données personnelles à des fins techniques. En savoir plus.