Préposé à la protection des données et transparence Jura-Neuchâtel

Elaboration de bases légales pour un système d'information

Protection des données

1. Préambule

L'utilisation/la création d'un fichier informatisé (système d'information) accessible par au moins deux entités contenant des données personnelles nécessite l'adoption d'une base légale. Si des données sensibles sont traitées, elle doit être formelles (adoptées par le Parlement/Grand Conseil) et en principe aussi matérielles (adoptées par le Gouvernement/Conseil d'Etat). Si les données ne sont pas sensibles, une base légale matérielle est en principe nécessaire.

Préalablement, il faut s'assurer que les tâches légales de l'entité, notamment les conditions d'octroi de ses prestations et les modalités de ses missions soient suffisamment décrites dans la loi. Ces précisions conditionneront les données pouvant être traitées dans le système d'information, car seules celles nécessaires aux activités de l'entité peuvent être traitées.

Par exemple, si l'entité n'octroie des prestations que jusqu'à l'âge de 35 ans, il n'y pas de raison que le système d'information contienne des dossiers actifs (accessibles par les gestionnaires de dossiers) de personnes ayant atteint cette limite.

Plus précisément, une base légale doit impérativement contenir les éléments suivants :

(exemples au niveau fédéral : 60 ss LEp ; 64a ss LPTh et surtout LSIS)

2. La finalité du fichier informatisé (système d'information)

(art. 18 CPDT-JUNE)

Plus les données sont sensibles, plus l'exigence de précision est grande.

Exemples :

1 La police neuchâteloise est habilitée à collecter et à traiter toutes les données nécessaires à l'accomplissement de ses tâches légales.

(art. 49b LPol, RSN 561.1)

1 La police neuchâteloise exploite des systèmes d'information relatifs à ses missions légales, soit notamment:

a)  la résolution des problèmes de sécurité locaux (police de proximité au sens strict);

b)  la gestion des situations d'urgence et d'assistance en cas de danger grave, d'accidents ou de catastrophes;

c)  la protection de l'Etat;

(art. 49c LPol, RSN 561.1)

 Le service exploite un système d'information automatisé, intitulé "LoRa", permettant notamment:

a)  d'enregistrer les données des titulaires de permis N, F ou S, des bénéficiaires de l’aide d’urgence, des réfugiés titulaires d'un permis B et des apatrides;

b)  d'enregistrer les informations relatives à la procédure d'asile;

c)  d'organiser le suivi des bénéficiaires de prestations d'assistance de manière rationnelle et efficace;

d)  de contrôler la gestion de leurs dossiers;

e)  d'établir des statistiques.

(art. 57 ALAsi, RSN 132.09)

3. L’identité du maître du fichier

Le maître du fichier est l’entité (et non un individu) qui décide du but et du contenu du fichier.

Exemple :

Le département en charge de l'action sociale est le maître de la BACEDOS.

(art. 7 al. 6 LHaCoPS, RSN 831.4).

4. Les entités accédant au système d'information

Il faut indiquer quelles sont les entités qui accèdent aux données du fichier.

Exemple :

1 Les guichets sociaux régionaux et les services compétents pour l'octroi de prestations échangent, par l'intermédiaire de la BACEDOS, les données mentionnées à l'article 7 qui leur sont nécessaires. Ils enregistrent ces données dans la BACEDOS et y accèdent par une communication en ligne.

2 Ces services ont de plus accès directement aux données au sens de l'article 7, alinéa 5, si cet accès est nécessaire à l'accomplissement des tâches qui leur incombent. Sont réservés les accès aux autres données prévus par leur législation.

3 Le Conseil d'Etat est compétent pour établir si et à quelles conditions d'autres autorités octroyant des prestations sociales ont également accès aux données sensibles ou non de la BACEDOS.

5 Les organes responsables de l'organisation, la gestion et l'exploitation de la BACEDOS ont accès à cette base et exploitent les données sensibles ou non qui y sont répertoriées pour l'exécution de leurs tâches.

(art. 8 LHaCoPS, RSN 831.4).

5. Le contenu du système d’information

Il est nécessaire d'énumérer les catégories de données traitées et de préciser si le système contient des données sensibles ou des profils de la personnalité.

Exemples :

2 La BACEDOS répertorie, pour les prestations requises et octroyées au sens de la présente loi, la composition de l'unité économique de référence, le revenu déterminant unifié ainsi que les autres données nécessaires pour l'examen du droit et le calcul des prestations.

3 Elle répertorie les coordonnées personnelles des personnes faisant partie de l'unité économique de référence, les prestations complémentaires AVS/AI ainsi que les prestations accordées ou refusées et indique, le cas échéant, le montant de chacune d'elles et la période pour laquelle elles sont octroyées.

(art. 7 al. 2 et 3 LHaCoPS, RSN 831.4)

6. Les éventuelles restrictions au droit d’accès de la personne concernée

(art. 33 CPDT-JUNE)

Les restrictions prévues doivent être justifiées par un intérêt public ou privé prépondérant et respecter le principe de proportionnalité.

Exemples :

1 Outre les motifs prévus par les règles cantonales sur la protection des données, l'accès aux données de police est refusé ou restreint à l'égard du particulier qui en fait la demande lorsque cela est nécessaire pour :

a)  éviter de nuire aux déroulements d'enquêtes, de recherches ou de procédures judiciaires en cours,

b)  éviter de nuire à la prévention, la détection, à la recherche et à la poursuite d'infractions ou pour exécuter des sanctions pénales,

c)  assurer la protection de la sécurité publique,

d)  assurer la sûreté de l'Etat,

e)  assurer la protection des droits et libertés d'autrui.  

2 Aucun droit d'accès n'est accordé aux fichiers auxquels il est attribué un caractère confidentiel au sens de l'article 49c alinéa 3 de la présente loi.

3 En cas de refus fondé sur l'alinéa 2 du présent article, le requérant peut s'adresser au préposé cantonal à la gestion de l'information, afin que celui-ci vérifie la légalité du fichier dont l'accès a été refusé.

(art. 49i LPol, RSN 561.1)

7. L’accès en ligne

(art. 28 CPDT-JUNE)

Conformément à cette disposition, si une entité en a régulièrement besoin pour l'accomplissement des tâches légales qui lui incombent, l'exécutif cantonal concerné peut rendre accessibles en ligne les données nécessaires, après consultation du préposé.

La décision devra indiquer les catégories des données accessibles en ligne et la finalité de l’accès en ligne.

Un renvoi exprès à cette obligation dans la loi n'est jamais inutile.

8. La communication de données sensibles ou de profils de la personnalité

(art. 25 CPDT-JUNE)

La disposition doit mentionner à qui et quelles catégories de données le maître de fichier peut communiquer, ainsi que la finalité de la communication. Elle doit également préciser s’il s’agit d’une communication en "libre-service" ou sur demande.

Exemple :

Le service peut communiquer, sur demande et dans des cas d'espèce, des données saisies dans le système "LoRa" aux autorités fédérales, cantonales ou communales qui en ont besoin pour l'accomplissement de leurs tâches légales.

(art. 58 ALAsi, RSN 132.09)

Le service peut communiquer en ligne à la police neuchâteloise les données suivantes: le nom, le prénom, la date de naissance et le sexe de la personne concernée, le type de son statut, ainsi que, le cas échéant, la date de l'entrée en force de la décision en matière d'asile.

(art. 59 ALAsi, RSN 132.09).

9. Un renvoi aux principes généraux de la CPDT-JUNE

Il n'est pas inutile de faire un renvoi exprès aux principes généraux de la protection des données contenus dans la CPDT-JUNE. Trop souvent, seule la loi spéciale est scrupuleusement appliquée, sans se préoccuper du respect des principes généraux.

Exemple :

1 Le traitement des données de police est régi par les dispositions du présent chapitre.

2 Les règles cantonales sur la protection des données s'appliquent pour le surplus.

(art. 49a LPol, RSN 561.1).

10. L'architecture du système d'information

La disposition légale doit permettre à la personne concernée de savoir si le système d'information est connecté avec d'autres systèmes d'information. Le cas échant, les détails de ces échanges seront mentionnés.

Exemple :

5 Elle répertorie de même les données nécessaires contenues dans les registres d'impôt ainsi que celles figurant dans la base de données des personnes.

(art. 7 al. 5 LHaCoPS, RSN 831.4).

11. Conservation, archivage et destruction des données

Les durées et modalités d'archivage et destruction doivent être adaptées à chaque cas de figure. Les données ne peuvent être conservées que le temps durant lequel elles sont nécessaires à la gestion des dossiers.

Exemples :

1 Les données sont conservées tant qu'elles sont nécessaires.

2 Les données qui ne sont plus nécessaires sont effacées.

3 Les données visées à l'alinéa 2 sont proposées aux archives de l'Etat avec les documents qui s'y rattachent.

4 Les données que les archives de l'Etat jugent sans valeur archivistique sont détruites.

(art. 49 LACDM, RSN 214.10).

Les données sensibles et les profils de personnalité ne peuvent être conservés plus de dix ans.

(art. 46 LACDM, RSN 214.10).

12. Devoir d'information lors de la collecte

(art. 24 CPDT-JUNE)

Dans la mesure où la loi renseigne clairement sur ces 3 sujets :

  1. L’identité et les coordonnées du responsable du traitement;

  2. La finalité du traitement;

  3. Le cas échéant les destinataires ou les catégories de destinataires auxquels des données sont transmises.

L’art. 24a CPDT-JUNE dispense les entités de prévoir une information active, au sens de l'art. 24 CPDT-JUNE, en supplément de la loi.

13. Délégation au Gouvernement/Conseil d'Etat pour l'élaboration de règles matérielles (précisions)

Il doit être prévu que le Gouvernement/Conseil d'Etat élaborera les règles mentionnant les modalités relatives notamment aux :

  • droits d'accès,

  • modalités des communications,

  • mesures de protection techniques et organisationnelles,

  • modalités concernant l'exercice du droit d'accès,

  • modalités de l'accès en ligne,

  • détails sur la responsabilité des entités,

  • catalogues des données traitées dans le système,

  • précisions sur l'architecture du système d'information (mention des interconnections éventuelles entre plusieurs systèmes),

  • délais de conservation, archivage et destruction des données.

         Exemples :

Pour chaque fichier, le Conseil d'Etat définit :

a)  la responsabilité pour les traitements de données;

b)  le catalogue des données traitées;

c)  les organes habilités à traiter ces données et les modalités d'accès;

d)  les mesures nécessaires pour garantir la protection et la sécurité des données;

e)  la durée et les modalités de conservation des données;

f)   leur archivage et leur destruction.

(art. 52 LACDM, RSN  214.10).

Ce site utilise plusieurs cookies pour indiquer temporairement aux serveurs la langue que vous avez choisie lors de la configuration de vos outils informatiques, ainsi que pour rappeler aux serveurs votre choix d'accepter les présentes conditions pour éviter de reposer la question à la prochaine visite. En poursuivant, vous acceptez l’utilisation de ces cookies aux fins énoncées ci-dessus. En savoir plus.