Loi sur la protection des données

(LPrD) Du 12.10.2023 (état au 01.01.2024)

1 Dispositions générales

Art. 1 But

1. La présente loi vise à protéger les droits fondamentaux des personnes dont les données personnelles font l'objet d'un traitement.

Art. 2 Champ d'application personnel

1. La loi s'applique aux organes publics suivants:
   1. les organes de l'Etat, des communes et les autres personnes morales de droit public;
   2. les personnes privées et les organes d'institutions privées lorsqu'ils accomplissent des tâches de droit public.
2. Elle s'applique aux Eglises reconnues à moins qu'elles aient adopté des dispositions en matière de protection des données garantissant un niveau de protection adéquat et qu'elles aient institué leur propre autorité de surveillance.

Art. 3 Champ d'application matériel

1. La présente loi s'applique à tous les traitements de données personnelles accomplis par un organe public au sens de l'article 2.
2. Font exception:
   1. les traitements de données effectués dans le cadre de procédures civiles, pénales et de juridiction administrative en cours;
   2. les traitements de données qui servent à l'usage exclusivement personnel de celui ou de celle qui les effectue;
   3. les traitements de données accomplis par un organe public en situation de concurrence économique avec des personnes de droit privé.

Art. 4 Définitions

1. On entend par:
   1. données personnelles: toutes les informations qui se rapportent à une personne identifiée ou identifiable;
   2. personne concernée: la personne physique ou morale au sujet de laquelle des données sont traitées;
   3. données personnelles sensibles (données sensibles):
   les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales; les données sur la santé, la sphère intime ou l'origine raciale ou ethnique; les données génétiques; les données biométriques identifiant une personne physique de manière univoque; les données sur des mesures d'aide sociale; les données sur des poursuites ou des sanctions pénales et administratives. d) traitement: toute opération relative à des données personnelles – quels que soient les moyens et procédés utilisés – notamment la collecte, l'enregistrement, la conservation, l'exploitation, la modification, la communication, l'interconnexion, l'externalisation, l'effacement, l'archivage ou la destruction; e) procédure d'appel: le mode de communication automatisé des données par lequel les destinataires, en vertu d'une autorisation du responsable du traitement, décident de leur propre chef, sans contrôle préalable, du moment et de l'étendue de la communication; f) profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne; g) externalisation: une forme qualifiée de sous-traitance impliquant l'utilisation de ressources informatiques accessibles à distance, via un réseau de communication, pour stocker, traiter et partager des données (informatique en nuage); h) responsable du traitement: l'organe public qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles; i) sous-traitant: la personne privée ou l'organe public qui traite des données personnelles pour le compte du responsable du traitement; j) registre des activités de traitement: répertoire en ligne inventoriant les activités de traitement réalisées par les organes publics; k) violation de la sécurité des données personnelles: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisé à ces données.

2 Principes régissant le traitement de données personnelles

2.1 Conditions générales de licéité du traitement

Art. 5 Base légale

1. L'organe public n'est en droit de traiter des données personnelles que si une disposition légale le prévoit ou si l'accomplissement d'une tâche légale l'exige.
2. Le traitement de données sensibles ne peut avoir lieu que si:
   1. une loi au sens formel le prévoit expressément, ou
   2. l'accomplissement d'une tâche clairement définie dans une loi au sens formel l'exige absolument et la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux des personnes concernées.
3. Les activités de profilage et les traitements de données personnelles, dont les finalités ou les modalités présentent un risque élevé pour les droits fondamentaux des personnes concernées, ne peuvent avoir lieu que si une loi au sens formel le prévoit expressément.
4. Exceptionnellement, une base légale n'est pas exigée pour traiter des données personnelles, y compris sensibles, lorsque le traitement est nécessaire pour sauvegarder les intérêts essentiels de la personne concernée ou d'un tiers.

Art. 6 Consentement

1. En dehors des cas prévus à l'article 5, la personne concernée peut, dans un cas d'espèce, consentir au traitement de ses données personnelles.
2. La personne concernée ne consent valablement que si elle exprime sa volonté librement et après avoir été dûment informée sur les finalités du traitement. Le consentement doit être exprès lorsqu'il porte sur un traitement de données sensibles ou sur des activités de profilage. Toutefois, le consentement est présumé lorsque la personne a elle-même rendu ses données librement accessibles.
3. Tout traitement de données qui ne repose pas sur l'un des fondements prévus à l'article 5 doit s'accompagner d'une mention visible et facilement compréhensible de son caractère facultatif.
4. Lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement doit être en mesure de démontrer l'existence d'un tel consentement.
5. Le consentement peut être révoqué en tout temps et sans motif. La mise en œuvre effective du retrait du consentement peut toutefois requérir un délai raisonnable pour des raisons techniques.

Art. 7 Finalité

1. Les données personnelles ne peuvent être collectées que pour un usage déterminé et reconnaissable. Elles ne peuvent être traitées ultérieurement que dans ce but ou dans un but qui, selon les règles de la bonne foi, est compatible avec lui.
2. Sont réservés les cas dans lesquels la personne concernée a consenti à un changement de finalité.

Art. 8 Proportionnalité

1. Les données et les modes de traitement doivent être nécessaires, appropriés et non excessifs par rapport au but du traitement.

Art. 9 Exactitude

1. L'organe public qui traite des données personnelles veille à leur exactitude. Il prend toute mesure appropriée permettant de rectifier, d'effacer ou de détruire les données inexactes ou incomplètes au regard de la finalité de leur traitement.

Art. 10 Délai de conservation

1. Les données personnelles qui ne sont plus nécessaires au regard des finalités du traitement sont détruites ou anonymisées. Sont réservées les dispositions en matière d'archivage.
2. Moyennant des mesures de protection appropriées, des données peuvent être conservées pour des durées plus longues dans la mesure où, conformément à l'article 26, elles servent exclusivement à des fins ne se rapportant pas à la personne.

Art. 11 Devoir de diligence accru

1. L'organe public qui traite des données sensibles, exerce des activités de profilage ou traite des données pour des finalités ou selon des modalités présentant un risque accru d'atteinte aux droits fondamentaux doit prendre toutes les dispositions nécessaires pour diminuer les risques.

2.2 Conditions supplémentaires applicables à certaines formes de traitement

Art. 12 Collecte – Devoir d'informer

1. Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles.
2. Lorsque la collecte de données personnelles s'effectue directement auprès de la personne concernée, le responsable du traitement veille à lui fournir au moins les informations suivantes:
   1. le responsable du traitement et ses coordonnées;
   2. la finalité du traitement;
   3. cas échéant, les destinataires ou les catégories de destinataires auxquels les données personnelles sont transmises;
   4. le caractère obligatoire ou facultatif de la collecte des données.
3. Si les données personnelles sont collectées auprès d'un autre organe ou de tiers, le responsable du traitement communique à la personne concernée, dans les meilleurs délais mais au plus tard lors de leur première utilisation, les informations mentionnées à l'alinéa 1, ainsi que le type de données collectées.

Art. 13 Collecte – Exceptions au devoir d'informer

1. Le responsable de traitement est délié de son devoir d'information dans les cas suivants:
   1. lorsque la personne concernée dispose déjà des informations correspondantes;
   2. lorsqu'il est impossible d'informer la personne concernée ou que cela impliquerait des efforts disproportionnés;
   3. lorsque la collecte résulte d'une obligation légale à moins qu'elle ne soit réalisée directement auprès de la personne concernée.
2. Il peut en outre être dérogé au devoir d'informer aux mêmes conditions et pour les mêmes motifs que ceux indiqués à l'article 29 al. 1.

Art. 14 Communication – Conditions

1. Des données personnelles ne peuvent être communiquées, transmises, diffusées ou rendues accessibles de manière systématique que si une disposition légale le prévoit.
2. Des données personnelles peuvent être communiquées dans un cas d'espèce si:
   1. la communication est indispensable à l'accomplissement des tâches légales du responsable du traitement ou du ou de la destinataire des données;
   2. la personne concernée a consenti à la communication;
   3. la personne privée qui demande les données justifie d'un intérêt à la communication primant celui de la personne concernée à ce que les données ne soient pas communiquées.
3. Dans le cas prévu à l'alinéa 2 let. c, la personne concernée sera préalablement invitée à se prononcer à moins que cela ne s'avère impossible ou ne nécessite des efforts disproportionnés.
4. L'accès à des données personnelles au moyen d'une procédure d'appel, notamment un accès en ligne, ne peut être accordé que si une disposition légale le prévoit.

Art. 15 Communication – Conditions supplémentaires pour les communications transfrontières

1. Les données personnelles d'une personne physique peuvent être communiquées vers un Etat étranger ou vers un organisme international dans la mesure où il existe une décision du Conseil fédéral attestant que l'Etat ou l'organisme international destinataire des données garantit un niveau de protection adéquat.
2. En l'absence d'une telle décision, la communication ne peut avoir lieu que si:
   1. des garanties suffisantes, notamment contractuelles, conventionnelles, techniques et/ou organisationnelles, permettent d'assurer un niveau de protection adéquat à l'étranger;
   2. la communication est, en l'espèce, indispensable soit à la sauvegarde d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la défense d'un droit en justice;
   3. la personne concernée a, en l'espèce, donné son consentement explicite à la communication;
   4. le traitement est en relation directe avec la conclusion ou l'exécution d'un contrat, et les données traitées concernent une partie au contrat;
   5. la communication est, en l'espèce, nécessaire à la protection de la vie ou de l'intégrité corporelle de la personne concernée ou d'un tiers.
3. Avant la communication des données personnelles à l'étranger, le ou la préposé-e à la transparence et à la protection des données (ci-après: le ou la préposé-e) est informé-e à temps des garanties prévues à l'alinéa 2 let. a. Sur demande, il ou elle peut en tout temps obtenir des informations visant à vérifier qu'une communication de données à l'étranger répond aux exigences formulées aux lettres b à e.
4. Ne sont pas considérées comme faisant l'objet d'une communication à l'étranger les données qui sont simplement publiées au moyen d'un site Internet ouvert au public.

Art. 16 Communication – Restrictions

1. La communication est refusée, restreinte ou assortie de charges:
   1. si un intérêt public prépondérant ou un intérêt digne de protection de la personne concernée ou d'un tiers le commande, ou
   2. si une obligation légale de garder le secret ou une disposition particulière de protection des données l'exige.

Art. 17 Communication – Réserves

1. La communication des données personnelles qui sont inscrites au contrôle des habitants et dans le Référentiel cantonal est régie par les lois y relatives.
2. La communication de données personnelles au public est régie par la législation sur l'information et l'accès aux documents.

Art. 18 Externalisation – Principes

1. Le traitement de données personnelles, y compris de données sensibles, peut être externalisé aux conditions posées par la présente loi.
2. Les lieux de traitement doivent être situés en tout temps sur le territoire suisse ou sur le territoire d'un Etat garantissant un niveau de protection des données adéquat.
3. Lorsque l'externalisation implique une délégation de tâches à des tiers au sens de l'article 54 Cst., les exigences particulières prévues par cette disposition sont applicables.
4. Une fois par législature, le Conseil d'Etat présente un état des lieux sur l'externalisation du traitement des données dans le cadre de son plan directeur de la digitalisation.

Art. 19 Externalisation – Responsabilités

1. L'organe public qui procède à une externalisation demeure responsable de la protection des données personnelles, en particulier de leur confidentialité ainsi que de la pérennité de leur conservation et de leur exploitation. En particulier:
   1. il prend les précautions commandées par les circonstances quant au choix du sous-traitant, à son instruction et à sa surveillance;
   2. il assure la protection et la sécurité des données et de ses propres systèmes d'information par la conclusion d'un contrat qui décrit au minimum:
   l'objet, la nature, la finalité et la durée de l'externalisation; les catégories de données concernées; les obligations et les droits de chaque partie; les droits et les possibilités de contrôle sur le sous-traitant; l'interdiction faite au sous-traitant de sous-traiter à son tour un traitement sans l'autorisation préalable du responsable du traitement; le devoir du sous-traitant d'informer immédiatement le responsable du traitement lorsque, en vertu d'une loi étrangère ou d'une décision de justice, il est tenu de communiquer des données à une autorité étrangère ou risque de devoir le faire. c) il ne confie pas au sous-traitant des traitements qu'il ne serait pas en droit d'effectuer lui-même; d) il veille à ce que les données concernées par une externalisation puissent être récupérés en temps utile, notamment dans le but de changer de sous-traitant, de procéder à leur réinternalisation ou de les verser aux archives historiques; e) il rend le sous-traitant attentif à ses obligations en matière de confidentialité, notamment au regard du secret de fonction et/ou du secret professionnel.
2. Au sein de l'administration cantonale, la responsabilité de la mise en œuvre et du suivi des règles en matière d'externalisation est assumée conjointement par l'organe compétent à raison de la matière et par le service en charge de l'informatique. Sont réservés les cas dans lesquels l'organe compétent à raison de la matière gère de manière autonome tout ou partie de ses systèmes informatiques.
3. Lorsque l'externalisation concerne plusieurs organes différents au sein d'une même collectivité publique, un organe principalement responsable est désigné. L'alinéa 2 s'applique pour le surplus.

Art. 20 Externalisation – Mesures de sécurité

1. L'intégrité, l'authenticité, la disponibilité et la confidentialité des données personnelles externalisées ainsi que la pérennité de leur conservation et de leur exploitation doivent être garanties par des mesures organisationnelles et techniques appropriées et adaptées à l'évolution des technologies disponibles.
2. La définition des mesures de sécurité tient compte des risques que le traitement des données en question présente pour les droits fondamentaux des personnes concernées.
3. Lorsque l'externalisation concerne des données indispensables au fonctionnement de l'administration, la continuité des activités externalisées doit, en cas d'incident, être garantie par un dispositif adéquat.

Art. 21 Externalisation – Mesures relatives aux données sensibles

1. Le traitement de données personnelles sensibles et le traitement de données qui font l'objet d'une obligation légale ou contractuelle de garder le secret peuvent être externalisés si la confidentialité à l'égard du sous-traitant est assurée de manière que ce dernier ne puisse avoir accès à leur contenu.
2. Lorsque le sous-traitant doit impérativement avoir accès aux données pour des raisons techniques, le contrat d'externalisation fixe les exigences particulières nécessaires, en particulier l'engagement du sous-traitant de n'accéder au contenu des données qu'avec le consentement exprès de l'organe public qui procède à l'externalisation et l'obligation de tenir un journal des accès.
3. Lors de l'externalisation de données soumises à une obligation légale de garder le secret, le responsable du traitement s'assure que le sous-traitant ait le statut d'auxiliaire du détenteur du secret.

Art. 22 Projets pilotes incluant le traitement de certaines catégories de données

1. Lorsqu'un projet pilote au sens de l'article 35 de la loi du 18 décembre 2020 sur la cyberadministration (LCyb) inclut le traitement de données sensibles ou d'autres types de traitement au sens de l'article 5 al. 3, l'organe responsable du projet pilote:
   1. transmet le dossier prévu à l'article 35 al. 2 let. d LCyb à l'Autorité cantonale de la transparence, de la protection des données et de la médiation (ci-après: l'Autorité de surveillance) au plus tard un mois avant sa transmission au Conseil d'Etat;
   2. transmet le rapport d'évaluation au sens de l'article 35a al. 2 LCyb à l'Autorité de surveillance au plus tard un mois avant sa transmission au Conseil d'Etat;
   3. prend les mesures nécessaires afin d'assurer la protection des droits fondamentaux et des données personnelles des personnes concernées durant tout le déroulement du projet pilote.
2. Le dossier du projet pilote et le rapport d'évaluation doivent contenir chacun au minimum une partie consacrée au traitement des données personnelles ainsi qu'à leur protection.
3. L'Autorité de surveillance peut prendre position sur le contenu du dossier du projet pilote et du rapport d'évaluation. Sa prise de position est communiquée au Conseil d'Etat.

Art. 23 Archivage

1. Les données personnelles sont soumises à la législation sur l'archivage; leur valeur archivistique est déterminée en collaboration avec les organes en charge des archives historiques.

Art. 24 Effacement et destruction

1. Les données personnelles dont la conservation ne poursuit plus aucune finalité et qui n'ont pas de valeur archivistique sont effacées ou détruites dès que possible par des moyens appropriés qui assurent leur élimination sécurisée.
2. Les supports de données sont détruits au moment de leur recyclage ou de leur remplacement lorsqu'il existe un risque que des données sensibles ayant été effacées puissent être consultées par des personnes non autorisées.

Art. 25 Vidéosurveillance

1. Les règles en matière de vidéosurveillance sont énoncées dans la législation y relative.

2.3 Traitements de données à des fins ne se rapportant pas à la personne

Art. 26 Règles

1. Les organes publics sont en droit de traiter des données personnelles et de les communiquer à des fins ne se rapportant pas à la personne – notamment dans le cadre de la recherche, de la planification ou de la statistique – aux conditions suivantes:
   1. les données sont détruites ou rendues anonymes dès que la finalité du traitement le permet;
   2. le ou la destinataire ne communique les données à des tiers qu'avec le consentement de la personne ou de l'organe qui les lui a transmises;
   3. les données sensibles ne sont transmises à des personnes privées que sous une forme ne permettant pas d'identifier les personnes concernées;
   4. les résultats du traitement sont publiés sous une forme ne permettant pas d'identifier les personnes concernées.
2. Les articles 5 al. 2 et 3, 7 et 14 al. 1 ne sont pas applicables.
3. Les personnes privées qui reçoivent des données personnelles de la part d'un organe public en vue d'un traitement à des fins ne se rapportant pas à la personne s'engagent par écrit à prendre toutes les précautions nécessaires pour protéger la personnalité des personnes concernées.

3 Droits de la personne concernée

Art. 27 Droit d'accès – Principes

1. Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2. Le droit d'accès porte en particulier sur les informations suivantes:
   1. le responsable du traitement et ses coordonnées;
   2. les données personnelles traitées;
   3. la finalité et, le cas échéant, les bases juridiques du traitement;
   4. le délai de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer ce dernier;
   5. les informations disponibles sur l'origine des données personnelles;
   6. le cas échéant, la logique et les critères d'une mesure ou d'une décision prise sur la base d'un traitement automatisé de données;
   7. le cas échéant, les destinataires ou les catégories de destinataires auxquels des données ont été ou seront communiquées, ainsi que les informations prévues à l'article 15 al. 3.
3. L'organe public qui fait traiter des données par un sous-traitant demeure tenu de communiquer les données et de fournir les renseignements demandés.
4. Nul ne peut renoncer par avance à son droit d'accès.

Art. 28 Droit d'accès – Modalités

1. La personne qui fait valoir son droit d'accès doit justifier de son identité.
2. Les renseignements sont, en règle générale, fournis par écrit sur un support physique ou de façon électronique. En accord avec le responsable du traitement, la personne concernée peut également consulter ses données sur place.
3. La procédure est gratuite. Le Conseil d'Etat peut prévoir des exceptions.

Art. 29 Droit d'accès – Restrictions

1. Le responsable du traitement peut refuser, restreindre ou différer la communication des données si et dans la mesure où:
   1. une loi au sens formel le prévoit;
   2. un intérêt public prépondérant le commande, notamment si la communication des renseignements risque de compromettre une procédure ou une enquête en cours;
   3. l'intérêt prépondérant d'un tiers le commande;
   4. la demande d'accès est manifestement abusive, notamment en raison de son caractère répétitif.
2. La communication des données versées aux archives historiques peut également être refusée, restreinte ou différée lorsque le traitement de la demande est incompatible avec une gestion administrative rationnelle et que la personne concernée ne fait pas valoir un intérêt digne de protection à son exécution.
3. Le responsable du traitement doit indiquer pour quel motif il refuse, restreint ou diffère la communication des renseignements.

Art. 30 Données des personnes décédées

1. Sur demande, le responsable du traitement accorde la consultation gratuite des données personnelles d'une personne décédée si:
   1. la personne demanderesse a un intérêt à obtenir ces renseignements, et
   2. aucun intérêt public ou privé prépondérant, notamment celui de la personne décédée ou de ses proches, ne s'y oppose.
2. Un intérêt à la consultation des données est établi en présence d'un lien de parenté proche, d'un mariage ou d'une communauté de vie analogue au mariage avec la personne décédée.
3. Pour l'accès aux données soumises au secret professionnel, l'article 321 du code pénal suisse est réservé.

Art. 31 Opposition à la communication de données personnelles

1. La personne concernée peut s'opposer par avance à ce que le responsable du traitement communique des données personnelles déterminées.
2. Malgré l'opposition de la personne concernée, la communication peut néanmoins avoir lieu lorsque:
   1. elle est prévue par la loi;
   2. le défaut de communication risque de compromettre l'accomplissement de tâches de l'organe public;
   3. la personne qui requiert les données est une personne privée et les deux conditions ci-après sont remplies:
   il n'existe aucun obstacle juridique à la communication; le requérant ou la requérante rend vraisemblable que la personne concernée ne s'oppose à la communication que dans le but de l'empêcher de se prévaloir de prétentions juridiques ou de faire valoir d'autres intérêts légitimes.
3. Dans les situations visées à l'alinéa 2 let. c, la personne concernée sera préalablement entendue dans la mesure du possible. Le responsable du traitement statue sur la communication au moyen d'une décision.
4. Les articles 11 et 27 al. 1 let. c et al. 2 de la loi du 9 septembre 2009 sur l'information et l'accès aux documents (LInf) sont réservés.

Art. 32 Portabilité des données

1. La personne concernée peut demander au responsable du traitement qu'il lui remette sous un format électronique couramment utilisé les données personnelles la concernant lorsque les conditions suivantes sont réunies:
   1. le responsable du traitement traite les données personnelles de manière automatisée, et
   2. la législation spéciale prévoit expressément l'existence d'un droit à la portabilité ou le responsable du traitement a, de son propre chef, décidé d'introduire une telle possibilité.
2. Pour autant que les conditions de l'alinéa 1 soient remplies et que cela n'exige pas des efforts disproportionnés, la personne concernée peut en outre demander au responsable du traitement qu'il transmette les données personnelles la concernant à un autre responsable du traitement.
3. Le responsable du traitement remet ou transmet gratuitement les données personnelles. La législation spéciale est réservée.

Art. 33 Actions défensives

1. Quiconque a un intérêt digne de protection peut exiger du responsable du traitement qu'il:
   1. s'abstienne de procéder à un traitement illicite;
   2. mette un terme à un traitement illicite;
   3. constate le caractère illicite d'un traitement.
2. En particulier, il ou elle peut demander au responsable du traitement qu'il:
   1. rectifie les données inexactes le ou la concernant ou supprime les données dont la conservation ne poursuit plus aucune finalité;
   2. limite temporairement le traitement de certaines données déterminées le ou la concernant, notamment leur modification ou leur communication à des tiers;
   3. fasse figurer une mention appropriée à propos de données le ou la concernant dont ni l'exactitude ni l'inexactitude ne peuvent être prouvées;
   4. publie une décision qui le ou la concerne ou la communique à des tiers.
3. Les données personnelles contenues dans des fonds d'archive ou des fonds ouverts au public ne peuvent être ni rectifiées ni détruites. La personne concernée ou toute personne qui dispose d'un intérêt digne de protection peut cependant demander que l'institution limite l'accès aux données litigieuses et/ou insère au dossier l'inscription d'une mention appropriée.

Art. 34 Procédure et voies de droit

1. Le code de procédure et de juridiction administrative est applicable aux décisions prises en application de la présente section. Ces décisions sont sujettes à recours.
2. A moins que la personne concernée ne s'y oppose, l'organe qui a rendu une décision au sens de l'alinéa 1 la communique à l'Autorité de surveillance.
3. L'Autorité de surveillance a qualité pour recourir contre la décision.

Art. 35 Réparation du dommage et du tort moral

1. La personne qui subit un préjudice en raison d'une violation des dispositions de la présente loi peut faire valoir des prétentions en dommages-intérêts et en réparation du tort moral conformément à la loi sur la responsabilité civile des collectivités publiques et de leurs agents.
2. Elle peut demander que le ou la juge ordonne la publication ou la communication à des tiers de tout ou partie de son jugement.

4 Mise en œuvre de la protection des données

Art. 36 Responsabilité – En général

1. Tout organe public qui traite des données personnelles est responsable de la protection des données.
2. Lorsque plusieurs organes publics traitent conjointement des données, la répartition de leurs obligations relatives à la protection des données est réglée dans la déclaration prévue à l'article 38, à moins qu'elle ne résulte expressément d'une disposition légale.
3. La répartition des responsabilités établie conformément à l'alinéa 2 n'est pas opposable à la personne concernée.

Art. 37 Responsabilité – Sous-traitance

1. L'organe public qui fait traiter des données personnelles par un sous-traitant demeure responsable des obligations prévues par la législation en matière de protection des données.
2. Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou une convention le prévoie et que les conditions suivantes soient réunies:
   1. seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même;
   2. aucune obligation légale ou contractuelle de garder le secret ne l'interdit;
   3. le sous-traitant n'est pas autorisé à confier à son tour le traitement à un tiers sans l'autorisation préalable du responsable du traitement.
3. Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données.
4. Le sous-traitant peut faire valoir les mêmes motifs justificatifs que le responsable du traitement.
5. A moins que la loi ou une convention entre organes n'en dispose autrement, les règles en matière de sous-traitance ne s'appliquent pas entre organes appartenant à une même collectivité. L'article 36 al. 2 est applicable.

Art. 38 Registre des activités de traitement – Principes

1. L'Autorité de surveillance tient un registre public des activités de traitement accomplies par les organes soumis à la présente loi.
2. Pour chaque activité de traitement, ce registre contient les informations suivantes:
   1. le responsable du traitement auprès duquel les personnes concernées peuvent faire valoir leurs droits à titre principal et ses coordonnées;
   2. le cas échéant, les autres responsables du traitement, leurs coordonnées et la répartition des responsabilités;
   3. le cas échéant, les sous-traitants et leurs coordonnées;
   4. la dénomination, la base légale et la finalité du traitement;
   5. une description des catégories de personnes concernées et des catégories de données personnelles traitées;
   6. les destinataires réguliers de données.
3. Chaque responsable du traitement déclare à l'Autorité de surveillance les activités de traitement qu'il accomplit et leurs modifications successives.
4. En cas de traitements conjoints de données, le responsable du traitement qui remplit la déclaration du traitement adresse une copie de cette dernière aux autres responsables du traitement.

Art. 39 Registre des activités de traitement – Exceptions

1. Dans la mesure où ils sont exécutés exclusivement à des fins administratives internes propres à un organe public déterminé, les traitements suivants ne sont pas soumis à l'obligation de déclarer:
   1. les annuaires publics de données personnelles;
   2. l'enregistrement et la gestion de la correspondance;
   3. la tenue de listes d'adresses;
   4. la tenue de listes de fournisseurs et fournisseuses et de clients et clientes;
   5. la tenue et la gestion des pièces comptables lorsqu'elles contiennent des données personnelles;
   6. la gestion et la tenue des documents qui ont été déposés aux archives historiques;
   7. les activités de traitement concernant des fins ne se rapportant pas aux personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique.
2. Sur préavis de l'Autorité de surveillance, le Conseil d'Etat peut prévoir des exceptions à l'obligation de déclarer pour d'autres catégories de traitements qui ne présentent manifestement pas de risques pour les droits des personnes concernées.

Art. 40 Mesures organisationnelles et techniques

1. Le responsable du traitement est tenu de mettre en place des mesures techniques et organisationnelles appropriées afin que le traitement respecte la présente loi, en particulier les principes énoncés à la section 2.1. Il le fait dès la conception du traitement.
2. Les mesures mises en place sont harmonisées avec celles visant à assurer la sécurité des informations de l'administration en général, ainsi qu'avec les mesures de sécurité informatique.
3. Le responsable du traitement est tenu de garantir, par le biais de préréglages appropriés, que le traitement est limité au minimum requis par la finalité poursuivie.
4. Les mesures mises en place et le choix des réglages sont documentés.

Art. 41 Analyse d'impact – Principes

1. Lorsqu'un nouveau traitement de données est susceptible d'engendrer un risque élevé pour les droits fondamentaux de la personne concernée, le responsable du traitement procède préalablement à une analyse d'impact relative à la protection des données personnelles.
2. L'existence d'un risque élevé dépend de la nature, de l'étendue, des circonstances et de la finalité du traitement. Présentent notamment un risque élevé:
   1. les traitements de données sensibles à grande échelle;
   2. les activités de profilage;
   3. la surveillance systématique de grandes parties du domaine public;
   4. les traitements d'une ampleur ou d'une intensité particulière recourant à des technologies, à des mécanismes ou à des procédures accentuant le risque d'atteinte aux droits fondamentaux des personnes concernées.
3. L'analyse d'impact contient une description du traitement envisagé, une évaluation des risques du point de vue technique et juridique ainsi qu'une description des mesures prévues pour protéger les droits fondamentaux des personnes concernées.

Art. 42 Analyse d'impact – Consultation de l'Autorité de surveillance

1. Le responsable du traitement consulte l'Autorité de surveillance lorsque le résultat de l'analyse d'impact confirme l'existence d'un risque élevé pour les droits fondamentaux des personnes concernées nécessitant de prendre des mesures de précaution particulières.
2. L'Autorité de surveillance communique ses éventuelles objections et recommandations concernant le traitement envisagé dans un délai de deux mois. Exceptionnellement, ce délai peut être prolongé d'un mois, lorsqu'il s'agit d'un traitement de données complexe.
3. Le responsable du traitement informe l'Autorité de surveillance de la suite donnée au plus tard au moment de débuter le traitement ayant fait l'objet de l'analyse d'impact.

Art. 43 Violations de la sécurité des données – Mesures à prendre

1. Lorsqu'il constate une violation de la sécurité des données personnelles, le responsable du traitement prend immédiatement les mesures appropriées afin de mettre fin à la violation et d'en minimiser les effets.
2. Il consigne dans un document interne la nature de la violation, le type de données concernées et les catégories de personnes touchées, les conséquences probables pour ces dernières et les mesures prises pour y remédier.
3. Le responsable du traitement annonce dans les plus brefs délais au ou à la préposé-e les cas de violation de la sécurité des données personnelles entraînant vraisemblablement un risque élevé pour les droits fondamentaux de la personne concernée.
4. Le responsable du traitement fait en sorte que le sous-traitant lui annonce sans tarder toute violation de la sécurité des données personnelles survenue chez lui.

Art. 44 Violations de la sécurité des données – Annonce à la personne concernée

1. Lorsque cette mesure s'impose pour des motifs de transparence et/ou pour permettre à la personne concernée de prendre les mesures utiles à la sauvegarde de ses intérêts, le responsable du traitement informe cette dernière de la survenance d'une violation de la sécurité des données.
2. Exceptionnellement, il peut restreindre l'information de la personne concernée, la différer ou y renoncer, dans les cas suivants:
   1. les intérêts prépondérants d'un tiers l'exigent;
   2. un intérêt public prépondérant l'exige, en particulier la sécurité intérieure ou l'ordre public;
   3. l'information est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative en cours;
   4. le devoir d'informer est impossible à respecter ou nécessite des efforts disproportionnés.
3. Lorsque la violation de la sécurité des données touche un grand nombre de personnes, l'information peut avoir lieu sous la forme d'une communication publique. Le responsable du traitement veille dans ce cas à fournir une information aussi complète que possible.
4. Une annonce de la violation de la sécurité des données peut également avoir lieu sur requête du ou de la préposé-e lorsqu'il ou elle estime que les conditions d'une telle annonce sont réunies.

Art. 45 Correspondants et correspondantes en matière de protection des données

1. Chaque Direction désigne au minimum un correspondant ou une correspondante à la protection des données. Cette fonction peut être cumulée avec d'autres fonctions, notamment dans le domaine de la sécurité de l'information.
2. Le correspondant ou la correspondante à la protection des données exerce notamment les tâches suivantes:
   1. il ou elle sensibilise les responsables de traitements au domaine de la protection des données;
   2. il ou elle conseille et assiste les responsables de traitements sur demande de ceux-ci ou si une affaire l'exige;
   3. il ou elle participe avec le responsable du traitement à la réalisation des analyses d'impact relatives à la protection des données prévues à l'article 41;
   4. il ou elle est l'interlocuteur ou l'interlocutrice privilégié-e de l'Autorité de surveillance pour toutes les questions de protection des données;
   5. il ou elle accomplit toutes les autres tâches que la loi lui confie.
3. Le correspondant ou la correspondante à la protection des données exerce ses fonctions de manière autonome. Les responsables du traitement lui communiquent d'office ou sur demande toutes les informations utiles à l'accomplissement de ses tâches.
4. Les correspondants et les correspondantes à la protection des données forment entre eux un réseau de compétence. Le Conseil d'Etat règle l'organisation et le fonctionnement du réseau.
5. Le Conseil d'Etat peut étendre l'obligation de désigner un correspondant ou une correspondante à la protection des données à d'autres entités de l'administration cantonale que les Directions.

5 Surveillance

Art. 46 En général

1. La surveillance de la protection des données à l'échelle du canton et des communes est assurée par l'Autorité cantonale de la transparence, de la protection des données et de la médiation (en abrégé: l'Autorité de surveillance).

5.1 Autorité de surveillance

Art. 47 Organisation

1. L'Autorité de surveillance comprend la Commission cantonale de la transparence, de la protection des données et de la médiation (ci-après: la Commission), le ou la préposé-e à la transparence et à la protection des données (en abrégé: le ou la préposé-e) et le médiateur ou la médiatrice cantonal-e.
2. Elle exerce les tâches qui lui incombent en vertu de la présente loi par l'intermédiaire de la Commission et du ou de la préposé-e.
3. Les tâches qu'elle exerce dans les domaines du droit d'accès aux documents et de la médiation administrative sont régies par les législations y relatives.

Art. 48 Statut

1. L'Autorité de surveillance est indépendante dans l'exercice de ses fonctions.
2. Elle est rattachée administrativement à la Direction dont elle relève. Elle a son propre secrétariat et dispose des ressources nécessaires à l'accomplissement effectif de ses fonctions et à l'exercice de ses pouvoirs.
3. L'Autorité dispose d'une enveloppe budgétaire dont le montant est déterminé chaque année à l'occasion de l'adoption du budget de l'Etat. Elle adresse auparavant sa propre proposition de budget au Conseil d'Etat. Cette proposition est traitée conformément à l'article 61 al. 1 let. a de la loi du 16 octobre 2001 sur l'organisation du Conseil d'Etat et de l'administration.
4. Les membres de l'Autorité de même que ses collaborateurs et collaboratrices sont soumis au secret de fonction et à l'obligation de discrétion.
5. Au moment de leur entrée en fonction et lors de chaque changement de situation, les membres de l'Autorité signalent les liens particuliers qui les rattachent à des intérêts privés ou publics. L'article 14 al. 1 let. b et al. 2 et 3 LInf s'appliquent par analogie.
6. Les articles 21 à 25 du code de procédure et de juridiction administrative du 23 mai 1991 sont applicables à la récusation des membres de l'Autorité.

Art. 49 Commission – Composition et organisation

1. La Commission cantonale de la transparence, de la protection des données et de la médiation est formée d'un président ou d'une présidente et de six membres, élus par le Grand Conseil à la suite d'une proposition du Conseil d'Etat.
2. Le président ou la présidente et les membres doivent posséder, dans leur ensemble, les connaissances nécessaires à l'accomplissement des tâches de la Commission; celle-ci comprend, en particulier, un ou une juriste, un ou une professionnel-le de la santé, un ou une spécialiste en informatique et en sécurité des données et un ou une professionnel-le des médias.
3. Le secrétariat de la Commission est assuré par le ou la préposé‑e; pour les dossiers en lien avec les activités de médiation, le secrétariat peut être assuré par le médiateur ou la médiatrice cantonal‑e.
4. En cas de besoin, la Commission peut consulter des experts ou des expertes et inviter des tierces personnes à assister à tout ou partie de ses séances et, le cas échéant, à s'y exprimer avec voix consultative.
5. Pour le surplus, la Commission règle son organisation et son fonctionnement.

Art. 50 Commission – Attributions

1. La Commission exerce une surveillance générale dans le domaine de la protection des données. Elle a notamment pour attributions:
   1. de mener en collaboration avec la Direction à laquelle elle est rattachée la procédure de nomination du ou de la préposé‑e pour le Conseil d'Etat et de préaviser à son intention la ou les candidatures privilégiées;
   2. de diriger l'activité du ou de la préposé-e;
   3. de donner son avis sur les projets d'actes législatifs touchant à la protection des données ainsi que dans les cas prévus par la loi;
   4. de donner son avis sur les projets pilotes menés conformément à l'article 22;
   5. d'interjeter les recours prévus à l'article 34 al. 3;
   6. de prononcer des décisions en matière de protection des données conformément à l'article 58;
   7. de veiller à la coordination entre les exigences de la protection des données et l'exercice du droit d'accès aux documents officiels.
2. La Commission adresse chaque année au Grand Conseil, par l'intermédiaire du Conseil d'Etat, un rapport sur son activité ainsi que sur celle du ou de la préposé-e et du médiateur ou de la médiatrice cantonal‑e. Dans la mesure où l'intérêt général le justifie, elle peut informer le public de ses constatations.

Art. 51 Préposé-e – Nomination et statut

1. Le ou la préposé-e à la transparence et à la protection des données est nommé-e pour une période individuelle de 5 ans par le Conseil d'Etat. Cet engagement est reconductible.
2. Durant toute la durée de son engagement, le ou la préposé-e ne peut exercer aucune activité susceptible de porter atteinte à l'indépendance de sa fonction ou qui serait d'une autre manière incompatible avec les tâches de l'Autorité de surveillance. L'exercice d'une charge publique accessoire ou d'une activité lucrative accessoire est soumis à autorisation de la Commission.
3. Au moment de son engagement et durant toute la durée de ses rapports de service, le ou la préposé-e doit posséder les qualifications et/ou l'expérience nécessaires à l'exercice de ses fonctions.
4. Pour autant que la présente loi ou son ordonnance d'exécution n'en dispose pas autrement, les rapports de fonction du ou de la préposé-e sont régis par la législation sur le personnel de l'Etat. Son évaluation annuelle au sens de cette législation est réalisée par la Commission.

Art. 52 Préposé-e – Reconduction et fins des rapports de fonction

1. La période de fonction du ou de la préposé-e est reconduite tacitement. Toutefois, le Conseil d'Etat peut, au plus tard six mois avant l'échéance de la période de fonction, rendre une décision de non-reconduction. Il demande à cet effet le préavis de la Commission. Cette décision doit être fondée sur de justes motifs.
2. Moyennant un préavis de trois mois, le ou la préposé-e peut demander au Conseil d'Etat de mettre fin à la période de fonction pour la fin d'un mois.
3. Le ou la préposé-e peut être révoqué-e de ses fonctions dans les cas suivants:
   1. il ou elle est durablement incapable d'exercer ses tâches au sens de la législation sur le personnel;
   2. il ou elle a violé gravement ses devoirs de fonction de manière intentionnelle ou par négligence grave.
4. La décision de relever le ou la préposé-e de ses fonctions conformément à l'alinéa 3 let. b est de la compétence du Conseil d'Etat. Cette décision peut être prise à l'initiative du Conseil d'Etat ou de la Commission. Dans tous les cas, le Conseil d'Etat sollicite le préavis de la Commission.

Art. 53 Préposé-e – Empêchement

1. En cas d'empêchement durable du ou de la préposé-e, le Conseil d'Etat désigne une personne ad interim. La procédure de désignation est menée conjointement par la Commission et la Direction à laquelle l'Autorité est rattachée.
2. En cas d'empêchement ponctuel, il ou elle est remplacé‑e par une personne désignée à cet effet par la Commission.

Art. 54 Préposé-e – Tâches

1. Le ou la préposé-e a notamment pour tâches:
   1. de contrôler l'application de la législation relative à la protection des données, notamment en procédant à des vérifications auprès des organes concernés;
   2. de rendre des avis et des conseils sur les traitements de données qui lui sont présentés, du point de vue juridique et/ou technique;
   3. de prendre position et, au besoin, de proposer des mesures appropriées lorsque l'Autorité de surveillance est consultée suite à la réalisation d'une analyse d'impact relative à la protection des données;
   4. d'informer et de conseiller les organes publics dans le domaine de la protection des données et de les assister, notamment lors de l'étude de projets de traitement;
   5. de participer à la formation des organes publics aux questions de protection des données;
   6. de sensibiliser le public aux questions de protection des données et de renseigner les personnes concernées sur leurs droits;
   7. de traiter les demandes et les plaintes adressées par les personnes concernées à l'Autorité de surveillance lorsqu'elles concernent des questions de protection des données;
   8. de tenir le registre des activités de traitement prévu à l'article 38;
   9. d'apporter son concours lors de violations de la sécurité des données personnelles faisant l'objet d'une annonce conformément à l'article 43 al. 3;
   10. de veiller à ce que les échanges transfrontières de données se fassent dans un cadre qui respecte les droits des personnes concernées;
   11. de rendre des recommandations à l'attention des organes publics qui traitent des données personnelles, lorsqu'il apparaît qu'une ou plusieurs dispositions de protection des données ne sont pas respectées;
   12. de collaborer avec le Préposé fédéral à la protection des données et à la transparence ainsi qu'avec les autorités de surveillance de la protection des données des autres cantons et avec celles de l'étranger;
   13. d'exécuter tous les travaux qui lui sont confiés par la Commission;
   14. de faire rapport à la Commission sur son activité et ses constatations.

Art. 55 Autocontrôle de l'Autorité de surveillance

1. L'Autorité de surveillance s'assure, par des mesures de contrôle appropriées portant notamment sur la sécurité des données personnelles, du respect et de la bonne application des dispositions cantonales de protection des données en son sein.

5.2 Pouvoir de contrôle et d'intervention

Art. 56 Contrôle par le ou la préposé-e

1. Le ou la préposé-e est habilité-e à effectuer d'office ou sur plainte un contrôle auprès d'un responsable du traitement ou d'un sous-traitant afin de vérifier qu'il respecte les dispositions de protection des données.
2. Il ou elle peut notamment demander des renseignements, exiger la production de documents, procéder à des inspections et se faire présenter des traitements de données.
3. Le secret de fonction et les autres obligations de confidentialité ne peuvent pas lui être opposés. Le secret professionnel demeure toutefois réservé.
4. Lorsque le ou la préposé-e procède à un contrôle sur la base d'une plainte de la personne concernée, il ou elle informe cette dernière des suites données à sa plainte et du résultat d'une éventuelle enquête. La personne concernée n'a pas qualité de partie à la procédure.

Art. 57 Recommandations du ou de la préposé-e

1. En cas de violation ou de risque de violation des prescriptions sur la protection des données, le ou la préposé-e peut adresser une recommandation à l'organe public concerné l'invitant à prendre, dans un délai déterminé, les mesures nécessaires pour remédier à la situation.
2. Lorsque l'organe concerné est une unité subordonnée, la recommandation est directement adressée à l'organe hiérarchiquement supérieur.
3. L'organe destinataire de la recommandation adopte, dans le délai imparti par le ou la préposé-e, une détermination sur la suite qu'il entend donner à la recommandation et la communique au ou à la préposé-e. L'absence de détermination est considérée comme un rejet de la recommandation.
4. En cas de rejet, total ou partiel, de la recommandation, le ou la préposé-e peut transmettre l'affaire à la Commission pour qu'elle rende une décision.
5. Lorsque, durant la procédure, l'organe public a pris les mesures nécessaires au rétablissement d'une situation conforme aux prescriptions de protection des données, le ou la préposé-e met un terme à la procédure et renonce à émettre une recommandation.

Art. 58 Décision de la Commission

1. La Commission statue dans les affaires que le ou la préposé-e lui transmet conformément à l'article 57 al. 4.
2. Lorsqu'un organe soumis à la présente loi ne respecte pas des dispositions de protection des données, la Commission peut ordonner la suspension, la modification ou la cessation de tout ou partie du traitement ainsi que l'effacement ou la destruction de tout ou partie des données personnelles.
3. En cas de menace grave imminente ou de violation de la protection des données susceptible de causer une atteinte grave aux droits d'une ou plusieurs personnes concernées, la Commission peut ordonner, d'office ou sur demande du ou de la préposé-e, des mesures provisionnelles urgentes pour limiter ou suspendre le traitement des données litigieux jusqu'à ce qu'elle se soit prononcée sur le fond.
4. Le ou la préposé-e participe avec voix consultative à la procédure devant la Commission. Il ou elle peut être chargé-e de l'instruction de l'affaire.
5. Lorsque, durant la procédure, l'organe public concerné a pris les mesures nécessaires au rétablissement d'une situation conforme aux prescriptions de protection des données, la Commission peut classer l'affaire ou se limiter à prononcer un avertissement

Art. 59 Procédure

1. La procédure est régie par le code de procédure et de juridiction administrative. Sous réserve de l'article 58 al. 3, l'organe concerné bénéficie, en particulier, du droit d'être entendu.
2. L'organe public visé par une décision de la Commission a qualité pour recourir contre celle-ci.

Art. 60 Coopération avec d'autres autorités de protection des données en Suisse et à l'étranger

1. Dans l'exercice de ses fonctions, l'Autorité de surveillance peut coopérer avec les autorités cantonales, fédérales et étrangères chargées de la protection des données.
2. Elle peut échanger des informations ou des données personnelles avec une autre autorité chargée de la protection des données pour l'accomplissement de leurs tâches légales respectives, pour autant que les conditions suivantes soient réunies:
   1. la réciprocité en matière d'assistance administrative est garantie;
   2. les informations et les données personnelles échangées ne sont utilisées que dans le cadre de la procédure liée à la protection des données personnelles à la base de la demande de collaboration;
   3. les informations et les données personnelles ne sont communiquées à des tiers qu'avec l'accord préalable de l'autorité qui les a transmises;
   4. l'autorité destinataire s'engage à ne pas communiquer plus loin les secrets professionnels, d'affaires ou de fabrication;
   5. l'autorité destinataire s'engage à respecter les charges et les restrictions d'utilisation exigées par l'autorité qui lui a transmis les informations et les données à caractère personnel.
3. Avant de transmettre à une autre autorité chargée de la protection des données des informations susceptibles de contenir des secrets professionnels, de fabrication ou d'affaires, l'Autorité informe les personnes détentrices de ces secrets et les invite à prendre position, à moins que cela ne s'avère impossible ou ne nécessite des efforts disproportionnés.

6 Dispositions finales et transitoires

Art. 61 Règlementation d'exécution

1. Le Conseil d'Etat adopte les dispositions nécessaires à la mise en œuvre de la présente loi. Celles-ci concernent notamment:
   1. les mesures de sécurité;
   2. l'exercice des droits des personnes concernées;
   3. la réalisation de projets pilotes;
   4. le statut et les tâches des correspondants et des correspondantes à la protection des données;
   5. les rapports de travail des membres de l'Autorité de surveillance.

Art. 62 Droit transitoire

1. Pour les traitements déjà en cours au moment de l'entrée en vigueur de la présente loi, les responsables de traitements disposent d'un délai de deux ans pour se mettre en conformité avec les nouvelles exigences prescrites. Les articles 43 et 44 sont directement applicables.
2. Pour autant que les finalités du traitement restent inchangées et que de nouvelles données ne soient pas collectées justifiant la réalisation d'une analyse d'impact, les articles 41 et 42 ne sont pas applicables aux traitements qui ont débuté avant l'entrée en vigueur de la présente loi.
3. Les traitements achevés au moment de l'entrée en vigueur de la présente loi sont régis par l'ancien droit, sauf en ce qui concerne les droits de la personne concernée (section 3).
4. Les articles 12, 13, 40, 41 et 42 sont applicables aux activités de traitement régis par la directive (UE) 2016/680 dès l'entrée en vigueur de la présente loi.

Art. 63 Adaptation de la législation

1. Les Directions disposent d'un délai de deux ans à compter de l'entrée en vigueur de la présente loi pour adapter la législation dont elles sont en charge aux exigences de l'article 5.

Art. 64 Rapports de service du ou de la préposé-e

1. Au moment de l'entrée en vigueur de la loi, l'autorité d'engagement adapte le contrat de travail de la personne en poste aux exigences de la nouvelle loi conformément à la législation sur le personnel.
2. En cas de refus de la proposition visant à transformer le contrat de travail, la situation est réglée conformément aux dispositions en matière de suppression de poste au sens de la législation sur le personnel.