Les principes de loi

Le principe de finalité dispose qu’un traitement de données n’est autorisé que dans le but indiqué lors de la collecte de donnée.

Le principe de finalité s’applique à la collecte de données personnelles, et aux traitements qui s'ensuivent.

Le principe de proportionnalité dispose qu’un traitement de données n’est autorisé que s’il est proportionnel au sens large du terme. Pour réaliser cette exigence, le traitement de données doit répondre aux critères de l’aptitude, de la nécessité, et de la proportionnalité au sens strict du terme.

L’aptitude exige que le traitement de données doive être apte à atteindre le but visé.

La nécessité exige que le traitement de données n’use que des moyens nécessaires au but du traitement, soit les moyens les moins intrusifs possibles et sur le nombre le plus limité de données.

La proportionnalité au sens strict du terme exige que le traitement de données présente un rapport raisonnable entre le but poursuivi et l’atteinte à la personnalité. En d’autres termes, le traitement doit demeurer dans un rapport raisonnable entre le résultat légitime recherché et le moyen utilisé, tout en préservant le plus possible le droit des personnes concernées.

Le principe d’exactitude dispose qu’un traitement de données n’est autorisé que si les données personnelles collectées sont exactes, à jour et complètes au regard des finalités du traitement.

Ce sont aux entités définies par l’art. 3 al. 2 LPrD de vérifier l’exactitude des données personnelles collectées et donc, notamment, aux personnes morales auxquelles le canton ou une commune confie des tâches publiques, dans l’exécution desdites tâches.

Le responsable du traitement doit prendre toute mesure appropriée permettant d'effacer ou de rectifier les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées.

Toute personne concernée peut requérir la rectification des données inexactes.

Le principe de sécurité exige que le responsable du traitement prenne les mesures techniques ou organisationnelles (MTO) pour garantir la sécurité des fichiers et des données personnelles, notamment contre leur perte, leur destruction, et tout traitement illicite.

Par exemple :

• une mesure technique de sécurité peut être la pseudonomysation ou l’anonymisation de données,
• une mesure organisationnelle de sécurité peut être d’empêcher l’accès au bâtiment, à l’infrastructure, mettre en place de cybersécurité contre le piratage.

Le principe de conservation dispose que les données personnelles collectées doivent être détruites ou rendues anonymes dès qu’elles ne sont plus nécessaires à la réalisation de la tâche pour laquelle elles ont été collectées.

Des exceptions sont réservées par les bases légales spécifiques à la conservation des données.

Le principe du consentement se lit en alternative du principe de légalité. Pour être valable, le consentement doit être donné par une personne qui exprime sa volonté librement et après avoir été dûment informée.

Lorsque la collecte des données concerne plusieurs finalités en même temps, le consentement doit être en plus spécifique.

Lorsque la collecte des données concerne des données sensibles ou s’effectue pour un profil de la personnalité, le consentement doit être en plus explicite (acte concluant).