Loi sur la cyberadministration

(LCyb) Du 18.12.2020 (état au 01.01.2024)

1 Dispositions générales

Art. 1 Objet et but

1. La présente loi règle la création et la gestion du guichet de cyberadministration de l'Etat (ci-après: le guichet virtuel) ainsi que les prérequis techniques et les principes généraux de la cyberadministration cantonale.
2. Le guichet virtuel vise à rendre les opérations administratives plus aisées et plus économiques pour les usagers et usagères et plus efficientes pour l'administration en fournissant un point d'accès central aux prestations électroniques.

Art. 2 Application aux communes

1. Les communes (y compris les établissements communaux et les associations de communes) participent aux solutions informatiques de la cyberadministration conformément aux dispositions de l'article 33.
2. Leur sont en outre applicables les dispositions de la section 4 sur l'externalisation ainsi que, dans la mesure fixée par l'article 7, les dispositions de la section 2 sur le guichet virtuel.
3. L'implication de certaines communes dans la phase pilote de mise en œuvre et d'exploitation du Référentiel cantonal est définie par le Conseil d'Etat.

Art. 3 Terminologie

1. Dans la présente loi, le terme ou l'expression:
   1. «autorités administratives» désigne, conformément au code de procédure et de juridiction administrative, les organes, les unités administratives et les délégataires des collectivités publiques;
   2. «usager» ou «usagère» désigne la personne physique ou morale ainsi que les collectivités qui ont passé un contrat d'utilisation du guichet virtuel;
   3. «transaction» désigne une transmission électronique de données entre un usager ou une usagère et une autorité administrative, ou entre autorités administratives;
   4. «prestation» désigne une activité ou un résultat fourni par une autorité administrative à la suite d'un processus déclenché par une transaction;
   5. «guichet virtuel» désigne l'infrastructure sécurisée s'appuyant sur les technologies de l'information et de la communication par laquelle les usagers et usagères obtiennent des informations ou des prestations de l'administration.
   6. «cyberadministration» désigne l'utilisation des technologies de l'information et de la communication aussi bien dans le fonctionnement et l'organisation des collectivités publiques que dans leurs relations avec les tiers;
   7. «externalisation» désigne une forme qualifiée de sous-traitance impliquant l'utilisation de ressources informatiques accessibles à distance, via un réseau de communication, pour stocker, traiter et partager des données;
   8. «sous-traitant» désigne une personne privée ou un organe public relevant d'une autre collectivité qui traite des données ou gère des outils informatiques pour le compte d'une autorité administrative.

2 Guichet virtuel

Art. 4 Prestations concernées

1. Le guichet virtuel permet aux usagers et usagères en particulier:
   1. de transmettre des requêtes et des informations à l'adresse des autorités administratives et d'en obtenir des prestations;
   2. de consulter leur compte de cyberadministration et de suivre l'avancement des affaires les concernant;
   3. de consentir à l'usage automatique de certaines données personnelles à des fins déterminées.
2. La fourniture de prestations par le biais du guichet virtuel est assurée de manière progressive en fonction des projets retenus conformément à la réglementation de la gestion de l'informatique et des télécommunications dans l'administration cantonale.
3. Le guichet virtuel indique quelles autorités administratives offrent des prestations par le biais du guichet virtuel, quelles sont ces prestations, quelles transactions peuvent ou doivent être réalisées par ce biais et quels outils et standards informatiques doivent être utilisés.

Art. 5 Traitements de données personnelles

1. Les traitements de données personnelles nécessaires en vue de la délivrance de la prestation ou du service demandé requièrent le consentement libre et éclairé de la personne concernée. Ils sont soumis à la législation sur la protection des données.
2. Lorsque le consentement a été donné en vue d'une prestation périodique, la personne concernée a la possibilité de retirer son consentement en tout temps et sans motif.
3. La preuve du consentement donné est conservée et doit pouvoir être démontrée en tout temps.
4. Les données traitées par le guichet virtuel sont conservées pendant une durée limitée. Le Conseil d'Etat règle les détails.

Art. 6 Frais et émoluments

1. L'utilisation du guichet virtuel est gratuite.
2. Un émolument peut toutefois être prévu dans le contrat d'utilisation lorsqu'une catégorie d'usagers ou d'usagères a accès à des prestations particulières occasionnant des frais aux autorités administratives.
3. Un émolument peut aussi être prélevé pour un droit d'accès supplémentaire ou une intervention technique particulière.
4. Les émoluments relatifs aux prestations elles-mêmes sont dus conformément à la législation applicable.
5. Le Conseil d'Etat peut, par voie d'ordonnance, prévoir certains avantages financiers afin d'encourager le recours au guichet virtuel.

Art. 7 Communes

1. Sur la base de conventions de droit administratif passées avec l'Etat, les communes (y compris les établissements communaux et les associations de communes) peuvent offrir leurs propres prestations par le biais du guichet virtuel.
2. Les conventions définissent en particulier la participation des communes aux frais d'investissement et de fonctionnement du guichet virtuel.

Art. 8 Autres fournisseurs

1. Sur la base d'une convention de droit administratif passée avec l'Etat, d'autres fournisseurs peuvent être autorisés à fournir des prestations par le biais du guichet virtuel, notamment lorsque celles-ci sont en lien avec des procédures administratives.
2. La convention définit en particulier les prestations concernées et la participation de l'organe tiers aux frais d'investissement et de fonctionnement du guichet virtuel. Elle rappelle en outre les exigences de la législation en matière de protection des données.

Art. 9 Responsabilité des collectivités publiques

1. Les collectivités publiques ne répondent pas des dommages, directs ou indirects, résultant soit de l'incapacité d'accéder au guichet virtuel ou d'utiliser celui-ci, soit de la falsification de données par de tierces personnes. Le cas d'acte illicite de leurs agents et agentes demeure réservé.
2. La responsabilité pour le traitement des données personnelles est régie par la législation sur la protection des données.

Art. 10 Responsabilité des autres fournisseurs

1. Les autres fournisseurs de prestations (art. 8) sont seuls responsables des données fournies et des dommages qui pourraient en résulter.

Art. 11 Responsabilité des usagers et usagères

1. Les usagers et usagères sont responsables de leur propre système informatique, notamment de sa protection contre des actions malveillantes.
2. Ils supportent toutes les conséquences de l'utilisation de leurs droits d'accès par une tierce personne à qui ils ont communiqué leurs moyens d'identification et d'authentification.

Art. 12 Protection des données par défaut et consentement

1. Le guichet de cyberadministration et les applications qu'il supporte sont préréglés pour assurer par défaut que seules les données personnelles nécessaires au regard de chaque finalité spécifique du traitement sont traitées.
2. La personne concernée peut consentir à un traitement élargi de ses données afin de bénéficier de services et/ou de prestations supplémentaires.

Art. 13 Participation à des organisations intercantonales

1. Le Conseil d'Etat peut décider de participer à une organisation intercantonale dans le but de partager des compétences et de développer des solutions communes relatives au guichet virtuel. Il peut lui déléguer des tâches dans ce domaine.

Art. 14 Droit d'accès

1. La personne qui souhaite procéder à une transaction par le biais du guichet virtuel doit disposer des droits correspondant à son rôle dans la procédure concernée, des moyens d'authentification et, le cas échéant, d'identification nécessaires. L'accès est en outre subordonné à l'acceptation d'un contrat d'utilisation, passé par voie électronique ou par écrit.
2. Afin d'identifier cette personne et de lui attribuer l'accès à des prestations, les organes chargés de la gestion du guichet virtuel ou de la solution concernée utilisent le Référentiel cantonal (art. 17ss) ainsi que les informations existant dans les registres et bases de données pertinents.

Art. 15 Représentation

1. En cas de représentation légale ou contractuelle, l'accès aux données et aux informations relatives à la personne représentée et le droit d'agir en son nom par le biais du guichet virtuel sont, en outre, subordonnés à la justification des pouvoirs de représentation auprès de l'organe chargé de la gestion du guichet virtuel.
2. En cas de représentation contractuelle, la procuration définit clairement l'étendue des pouvoirs de représentation, et en particulier les prestations concernées. Elle peut être révoquée en tout temps.

Art. 16 Historique

1. Le guichet enregistre, durant une période limitée, les données nécessaires:
   1. pour offrir aux usagers et usagères une vue des transactions qui les concernent;
   2. pour permettre l'exploitation du guichet.

3 Référentiel cantonal

Art. 17 Principes

1. Pour mettre à la disposition des autorités administratives, de manière centralisée et sûre, des données de référence fiables, la présente loi autorise la création:
   1. d'un identificateur unique de personne;
   2. d'une plate-forme informatique gérant un référentiel des personnes et des données de base (ci-après: Référentiel cantonal);
   3. de registres et bases de données adaptés aux exigences d'interopérabilité accrue des processus et prestations transversaux.
2. Le Référentiel cantonal est un ensemble de données communes à plusieurs applications, qui ne contient que des données personnelles non sensibles au sens de la législation sur la protection des données ou dont l'utilisation dans le Référentiel a été dûment autorisée. Il contient également les données nécessaires à l'exploitation du guichet.
3. Les données de base sont des informations non sensibles et d'utilité générale, comme des informations sur les organes des collectivités publiques (noms et adresses des communes et des unités administratives, etc.), des adresses postales, la liste des pays ainsi que des nomenclatures standardisées (titres civils, genres, nationalités, types de personnes morales, etc.).
4. La gestion des registres et des bases de données repose sur les autorisations prévues par la législation spéciale. L'article 35 de la présente loi demeure réservé.

Art. 18 Identificateur de personne

1. L'identificateur est un numéro non signifiant et immuable qui est attribué à une unique personne physique ou morale à des fins d'identification.
2. Un numéro qui n'est plus utilisé ne doit pas être attribué à une autre personne.

Art. 19 Référentiel des personnes physiques

1. L'enregistrement des personnes physiques dans le Référentiel cantonal contient en particulier les données suivantes:
   1. nom, prénom et adresses (de domicile et postales);
   2. données de contact telles que numéros de téléphone et adresses électroniques;
   3. date de naissance et de décès;
   4. numéro de l'identificateur de personne;
   5. état civil;
   6. identificateur de personne du conjoint ou de la conjointe, ou du ou de la partenaire enregistré-e;
   7. identificateur de la personne qui représente légalement ou volontairement la personne concernée;
   8. numéro AVS;
   9. identificateurs sectoriels utilisés par les métiers;
   10. langue de correspondance;
   11. autres données fournies volontairement par l'usager ou l'usagère.

Art. 20 Utilisation systématique du numéro AVS – Principes

1. En application de l'article 50e al. 3 de la loi fédérale du 20 décembre 1946 sur l'assurance-vieillesse et survivants, l'utilisation systématique du numéro AVS dans le Référentiel cantonal est autorisée dans les buts suivants:
   1. identifier de manière sûre et univoque les personnes physiques recensées;
   2. assurer un taux d'exactitude des données traitées le plus élevé possible;
   3. actualiser automatiquement les données d'une personne en cas de changement.
2. L'utilisation du numéro AVS à d'autres fins que celles qui sont décrites à l'alinéa 1 est prohibée. En particulier, il est interdit de faire usage du numéro AVS comme moyen d'apparier des données entre elles à des fins de profilage ou d'investigation. Les lois spéciales sont réservées.
3. Dans la mesure où une loi fédérale ou cantonale autorise d'autres organes publics ou des tiers à traiter cette donnée, le numéro AVS peut leur être communiqué par voie d'appel.

Art. 21 Utilisation systématique du numéro AVS – Mesures de sécurité

1. Le numéro AVS est protégé contre tout traitement non autorisé par des mesures organisationnelles et techniques appropriées, adaptées à l'évolution des technologies disponibles et conformes aux exigences du droit fédéral.
2. L'Autorité cantonale de la transparence, de la protection des données et de la médiation est consultée sur le choix des mesures à mettre en place.

Art. 22 Référentiel des personnes morales

1. L'enregistrement d'une personne morale dans le Référentiel cantonal comprend en particulier les données suivantes:
   1. raison sociale et adresses;
   2. données de contact telles que numéros de téléphone et adresses électroniques;
   3. numéro de l'identificateur de personne;
   4. date de fondation ou de dissolution de la personne morale;
   5. identificateurs de personne des membres des organes ou des représentants ou représentantes de la personne morale concernée;
   6. numéro unique d'identification des entreprises (ci-après: numéro IDE) au sens de la loi fédérale du 18 juin 2010 sur le numéro d'identification des entreprises (LIDE) et numéro d'enregistrement non significatif (ci-après: numéro REE) au sens de l'article 10 de la loi fédérale du 9 octobre 1992 sur la statistique;
   7. langue de correspondance;
   8. autres données fournies volontairement par l'usager ou l'usagère.

Art. 23 Utilisation systématique des numéros IDE et REE – Principes

1. Le numéro IDE et le numéro REE peuvent être utilisés systématiquement dans le Référentiel cantonal dans les buts suivants:
   1. identifier de manière sûre et univoque les personnes morales recensées;
   2. assurer un taux d'exactitude des données traitées le plus élevé possible;
   3. actualiser automatiquement les données d'une personne en cas de changement.
2. L'utilisation des numéros IDE et REE à d'autres fins que celles qui sont décrites à l'alinéa 1 est prohibée. En particulier, il est interdit de faire usage des numéros IDE et REE comme moyen d'apparier des données entre elles à des fins de profilage ou d'investigation. Les lois spéciales sont réservées.
3. Les numéros IDE et REE peuvent être communiqués par voie d'appel à d'autres organes publics ou à des tiers dans la mesure où le droit fédéral le permet et conformément aux conditions posées par celui-ci.

Art. 24 Utilisation systématique des numéros IDE et REE – Mesures de sécurité

1. Les numéros IDE et REE sont protégés contre tout traitement non autorisé par des mesures organisationnelles et techniques appropriées, adaptées à l'évolution des technologies disponibles et conformes aux exigences du droit fédéral.

Art. 25 Protection et sécurité des données

1. Le Référentiel cantonal contient également les éventuelles mentions concernant la fiabilité des données et les restrictions de l'accès aux données.
2. La présente loi autorise le traitement par voie d'appel des données du Référentiel cantonal si l'application appelante bénéficie d'une base légale autorisant le traitement de ces données.
3. Des mesures de sécurité protègent les données personnelles contre toute atteinte à leur confidentialité et contre tout traitement non autorisé. Elles garantissent notamment qu'une application n'accède qu'aux données personnelles nécessaires pour la fourniture de la prestation requise.

Art. 26 Organe responsable du Référentiel cantonal

1. Le Conseil d'Etat désigne l'organe responsable du Référentiel cantonal, qui a qualité de responsable du fichier au sens de la législation sur la protection des données.
2. L'organe responsable est autorisé à utiliser de manière systématique les numéros AVS, IDE et REE conformément à la présente loi.

4 Externalisation

Art. 27 Principes

1. Le traitement électronique de données et la gestion d'outils informatiques peuvent être externalisés aux conditions de la présente section.
2. Sont toutefois réservées:
   1. les exigences prévues par la législation sur la protection des données, lorsque l'externalisation porte sur le traitement de données personnelles;
   2. les exigences particulières de l'article 54 de la Constitution du canton de Fribourg du 16 mai 2004, lorsque l'externalisation implique une délégation de tâches à des tiers au sens de cette disposition.

Art. 28 Respect des secrets particuliers

1. Le traitement de données qui font l'objet d'une obligation légale ou contractuelle de garder le secret ne peut être externalisé que si la confidentialité à l'égard du sous-traitant est assurée de manière que ce dernier ne puisse avoir accès à leur contenu.
2. Lorsque le sous-traitant doit impérativement avoir accès aux données pour des raisons techniques, le contrat d'externalisation fixe les exigences particulières nécessaires, en particulier l'engagement du sous-traitant de n'accéder au contenu des données qu'avec le consentement exprès de l'autorité administrative qui procède à l'externalisation et l'obligation de tenir un journal des accès.

Art. 29 Mesures de sécurité

1. L'intégrité, l'authenticité, la disponibilité et la confidentialité du patrimoine informationnel concerné par une externalisation ainsi que la pérennité de sa conservation et de son exploitation doivent être garanties par des mesures organisationnelles et techniques appropriées et adaptées à l'évolution des technologies disponibles.
2. Lorsque l'externalisation concerne des données indispensables au fonctionnement de l'administration, la continuité des activités externalisées doit, en cas d'incident, être garantie par un dispositif adéquat.

Art. 30 Responsabilités

1. L'autorité administrative qui procède à une externalisation demeure responsable de la pérennité de la conservation et de l'exploitation de son patrimoine informationnel. En particulier:
   1. elle prend les précautions commandées par les circonstances quant au choix du sous-traitant, à son instruction et à sa surveillance;
   2. elle assure la sécurité des données et de ses propres systèmes d'information par la conclusion d'un contrat qui décrit au minimum l'objet, la nature, la finalité et la durée de l'externalisation, les catégories de données concernées ainsi que les obligations et les droits de chaque partie;
   3. elle ne confie pas au sous-traitant des traitements qu'elle ne serait pas en droit d'effectuer elle-même;
   4. elle veille à ce que les données et les outils informatiques concernés par une externalisation puissent être récupérés en tout temps, notamment dans le but de changer de sous-traitant, de procéder à leur réinternalisation ou de les verser aux archives historiques.
2. Au sein de l'administration cantonale, la responsabilité de la mise en œuvre et du suivi des règles de la présente section est assumée conjointement par l'autorité administrative et par le service en charge de l'informatique. Sont réservés les cas dans lesquels l'autorité administrative gère de manière autonome tout ou partie de ses systèmes informatiques.
3. Lorsque l'externalisation concerne plusieurs autorités différentes au sein d'une même collectivité publique, une autorité principalement responsable est désignée. L'alinéa 2 s'applique pour le surplus.

5 Développement de la cyberadministration

Art. 31 Stratégie

1. Le Conseil d'Etat adopte la stratégie cantonale de cyberadministration en tenant compte de la stratégie suisse en ce domaine.

Art. 32 Solutions uniformes

1. Dans toute la mesure utile, les projets nouveaux et les modifications importantes d'applications existantes prévoient la fourniture des prestations par le biais du guichet virtuel ou des passerelles permettant une intégration ultérieure au guichet virtuel et utilisent les solutions uniformes retenues par les organes en charge de la cyberadministration pour:
   1. la signature électronique et les solutions qui y seraient assimilées;
   2. l'identification et l'authentification des personnes;
   3. l'échange de données;
   4. le paiement électronique par le biais du guichet virtuel des prestations fournies;
   5. les données publiques ouvertes;
   6. l'archivage.

Art. 33 Communes

1. Dans toute la mesure du possible, les communes (y compris les établissements communaux et les associations de communes) utilisent, pour fournir leurs propres prestations informatiques, les mêmes solutions techniques que l'Etat.
2. L'Etat et les communes règlent par des conventions de droit administratif les questions liées à la création et à l'exploitation des solutions mutualisées, dans la mesure où ces questions ne sont pas réglées par une loi.
3. L'Etat peut imposer aux communes l'utilisation des solutions qu'il développe et gère à ses propres frais; les communes sont préalablement entendues. Dans ce cas, les communes supportent d'ordinaire leurs frais d'équipement, de formation et de connexion ainsi que d'éventuels travaux qu'elles délégueraient à des tiers.
4. Lorsque les nouvelles solutions imposées par l'Etat entrent en conflit avec celles qui ont déjà été mises en place par une ou des communes, l'Etat doit en tenir compte et assurer gratuitement un transfert de données efficace et fiable.

Art. 34 Moyen d'identification électronique

1. L'accès aux prestations électroniques fournies par l'Etat et les communes est en principe subordonné à l'utilisation par les usagers et usagères d'un moyen d'identification électronique.
2. Pour certaines prestations, l'Etat peut imposer l'utilisation d'un moyen d'identification électronique déterminé qui doit répondre au niveau d'exigences prévu pour les prestations concernées; les frais d'utilisation sont alors pris en charge par l'Etat.
3. L'Etat peut mettre en place des autorités d'enregistrement qui procèdent gratuitement à la vérification de l'identité des personnes détentrices du ou des moyens d'identification électronique choisis. D'entente avec l'Etat, les communes peuvent également offrir ce service.
4. Le Conseil d'Etat règle les modalités par voie d'ordonnance.

Art. 35 Projets pilotes – Principes

1. Dans le but d'expérimenter l'intégration de nouveaux processus électroniques et/ou de nouvelles technologies dans le fonctionnement et l'organisation de l'administration, le Conseil d'Etat est autorisé par le biais d'une ordonnance pilote à déroger temporairement et de manière limitée à une règle de droit qui entrerait en conflit avec la poursuite de l'expérimentation.
2. La réalisation d'un projet pilote est soumise aux conditions suivantes:
   1. le projet sert à l'accomplissement d'une tâche décrite dans une loi au sens formel, poursuit un intérêt public avéré et/ou fait partie d'un projet stratégique mené conjointement entre les organes de la Confédération, des cantons et/ou des communes;
   2. des mesures appropriées sont prises aux fins de prévenir les risques d'atteinte aux droits fondamentaux des personnes concernées;
   3. une phase d'essai s'avère indispensable avant l'entrée en vigueur de la loi au sens formel, en particulier pour des raisons organisationnelles et/ou techniques;
   4. le projet pilote fait l'objet d'un dossier complet qui décrit son but, son périmètre, le besoin d'évaluation, les normes auxquelles il déroge, les mesures prises pour prévenir les éventuels risques d'atteinte aux droits fondamentaux des personnes concernées, l'organe responsable, la planification et les conséquences financières envisagées.
3. Le traitement automatisé de données personnelles dans des projets pilotes est en outre régi par la loi sur la protection des données, en particulier son article 22.

Art. 35a Projets pilotes – Phase d'essai

1. Une phase d'essai peut être considérée comme indispensable lorsque:
   1. l'accomplissement d'une tâche nécessite des innovations techniques dont les effets doivent d'abord être évalués, ou
   2. l'accomplissement d'une tâche requiert des mesures organisationnelles ou techniques importantes dont l'efficacité doit d'abord être évaluée, notamment dans le cadre de la collaboration entre organes publics.
2. L'organe responsable transmet, au plus tard deux ans après la mise en œuvre de la phase d'essai, un rapport d'évaluation au Conseil d'Etat. Dans ce rapport, il lui propose la poursuite ou l'interruption de l'expérimentation.
3. Si le Conseil d'Etat autorise la poursuite de l'expérimentation, il engage immédiatement la procédure législative visant à adopter les bases légales formelles nécessaires. Il transmet au Grand Conseil un projet de loi, en principe, dans un délai de cinq ans suivant le début du projet pilote.

Art. 35b Projets pilotes – Dispositions diverses

1. Dans la mesure où elle est exigée, l'article 35 vaut base légale au sens de l'article 54 de la Constitution cantonale sur l'accomplissement de tâches par des tiers pour toute la durée du projet.
2. Des essais pilotes peuvent également être menés par les communes aux mêmes conditions. La réalisation d'un essai pilote doit être prévue dans un règlement de portée générale.

6 Disposition transitoire

Art. 36

1. Pour autant que besoin, les contrats d'externalisation conclus avant l'entrée en vigueur de la présente loi sont adaptés aux exigences de la section relative à l'externalisation lors de leur renouvellement, mais au plus tard dans un délai de cinq ans.
2. Les modalités de la gestion du consentement prévu à l'article 5 et de l'utilisation des moyens d'identification électronique mentionnés à l'article 34 sont mises en œuvre progressivement, mais au plus tard dans un délai de trois ans.