Le/la responsable LIPAD, désigné-e par le Rectorat, a pour mission de veiller à une correcte application de la LIPAD et de la présente directive au sein de l’Université et exerce une surveillance sur l’ensemble des instances et collaborateurs concernés de l’Université dans ce cadre strict. Il/elle exerce en particulier les compétences suivantes :

• Proposer au Rectorat, après consultation du/de la préposé-e cantonal-e, les procédures adéquates et/ou les mesures d’organisation générales propres à assurer une correcte application de la LIPAD et de la présente directive ;
• En cas de doute et sur requête d’une personne ou instance saisie d’une demande d’accès aux documents, se déterminer sur la réalisation de l’une des exceptions prévues à l’article 26 LIPAD ;
• Répertorier les fichiers existants au sein de l’Université, à l’exclusion des fichiers éphémères (fichiers dont la durée de vie n’excède pas un an, par exemple liste d’invitation ou de distribution en vue de l’organisation d’une manifestation ponctuelle ou récapitulatif de candidatures dans le cadre de procédures de recrutement) qui ne contiennent ni données sensibles ni profils de la personnalité. Il/elle y intègre les mentions utiles relatives aux informations traitées (base légale du traitement, source de l’information, état de validité ou fréquence des mises à jour et de l’épuration, accessibilité) ;
• Communiquer au/à la préposé-e cantonal-e la liste des fichiers existants au sein de l’Université ainsi que les mises à jour régulières ;
• Demander aux instances et personnes placées sous sa surveillance tout renseignement utile concernant le traitement des données personnelles ou celui des demandes d’accès aux documents régis par la LIPAD. A cette fin, il/elle dresse notamment une liste indicative des communications, au sens de l’article 39, alinéas 2 in fine, 5, et 9, lettre a de la LIPAD, et des obstacles à la communication, au sens de l’article 39, alinéas 1, lettre b, 4, lettre b, 6 lettre b, et 7 de la LIPAD, prévues par la législation genevoise ;
• Donner aux instances placées sous sa surveillance les instructions utiles sur le traitement des données personnelles nécessaires à l’accomplissement de leurs tâches légales ou des demandes d’accès aux documents ;
• Prendre par voie d’évocation les décisions d’application de la LIPAD entrant dans sa sphère de compétence ;
• Informer le/la préposé-e cantonal-e préalablement à tout traitement de données personnelles à des fins générales, soit de statistique, de recherche scientifique, de planification ou d’évaluation de politiques publiques ;
• Saisir le Conseil d’Etat d’une demande d’autorisation préalablement à tout traitement de données personnelles sensibles ou impliquant l’établissement de profils de la personnalité à des fins générales, soit de statistique, de recherche scientifique, de planification ou d’évaluation de politiques publiques ;
• Transmettre régulièrement au/à la préposé-e cantonal-e une liste mise à jour des personnes autorisées à procéder au visionnement des données collectées par vidéosurveillance ;
• Défendre la position de l’institution devant les autorités judiciaires dans le cadre de recours intentés en matière de protection des données et de transparence ;
• Solliciter l’avis de la commission cantonale consultative sur toute question ou problématique qu’elle juge opportune touchant aux domaines de la protection des données personnelles, de la transparence ou de l’archivage.

Sont en principe publiques :

Ces organes sont habilités à restreindre ou supprimer la publicité de leurs séances en raison d’un intérêt prépondérant.

Ne sont pas publiques :

Sans préjudice du respect des dispositions régissant leurs délibérations et la prise de leurs décisions, les instances peuvent se faire assister de cas en cas par les personnes dont la participation à leurs travaux leur paraît utile tant lors de séances publiques, que non publiques ou même à huis-clos.

Elles peuvent également admettre de cas en cas la présence de personnes tierces lors de séances non publiques (sans être à huis-clos) lorsqu’un intérêt prépondérant le justifie et qu’aucune loi ne l’interdit.

L’Université de Genève, à l’instar de toute institution soumise à la LIPAD, communique spontanément au public les informations qui sont de nature à l’intéresser, à moins qu’un intérêt prépondérant ne s’y oppose : elle le renseigne notamment sur ses activités, ses décisions, ses résultats et sa situation financière. Toute activité d’une certaine importance doit faire l’objet d’une information, laquelle doit être donnée de manière exacte, complète, claire et rapide.

Toute personne physique ou morale peut demander l’accès aux documents en possession de l’Université de Genève. La demande peut viser autant des documents émis par l’institution que reçus par elle, pour autant qu’ils concernent l’accomplissement d’une tâche publique, soit d’une activité étatique ou paraétatique.

Sont en particulier exclues du droit d’accès les notes échangées entre les membres d’une autorité collégiale ou entre ces derniers et leurs collaborateur-trice-s et les notes à usage personnel (par exemple, les notes prise en vue de la rédaction future d’un document, les notes de séances prises hors obligation légale ou réglementaire de procès-verbal ou encore les notes, écrits ou tableaux établis dans le cadre d’une procédure d’engagement) et le dossier administratif des collaborateurs de l’Université.

Les demandes internes d’accès à des documents qui sont nécessaires à l’accomplissement des tâches aussi bien de l’organe ou du service qui transmet l’information que de celui qui la reçoit n’entrent pas dans le cadre des présentes directives.

L’accès comprend la consultation sur place des documents et l’obtention de copies, éventuellement contre paiement d’émoluments, mais non le droit à l’obtention d’explications orales ou écrites sur les documents ou les informations contenues dans ceux-ci.

La demande doit être acheminée sans délai pour traitement :

• au Rectorat pour les demandes qui relèvent du Rectorat stricto sensu, de l’organe de révision, d’une commission qui lui est rattachée ou des fonctions spécialisées, 
• au/à la Doyen-ne ou Directeur-trice concerné-e pour les demandes qui relèvent d’une UPER, respectivement d’une UER,
• au/à la Directeur-trice de division ou Chef-fe de service concerné-e pour les demandes qui relèvent d’une division, respectivement d’un service rattaché au Rectorat.

Les demandes relatives à l’Assemblée de l’Université, aux instances indépendantes (Conseil d’orientation stratégique, Conseil d’éthique et de déontologie et Comité d’audit) et au Conseil de discipline sont traitées par ces instances.

Si la personne ou l’instance saisie envisage de donner une suite favorable à la demande, elle consulte toute institution ou tiers dont les intérêts protégés par l’article 26 LIPAD pourraient être compromis par la communication des documents et lui impartit un bref délai (en jours ou à date fixe n’excédant pas en principe une semaine) pour lui faire part de son opposition éventuelle.

Ne constitue toutefois pas un tiers, devant être consulté au sens de l'article 28 al. 4 LIPAD, le/la mandataire ou prestataire de service lié-e à l’institution par un contrat de droit privé ou public ou le/la représentant-e autorisé-e de l’institution (avocat, consultant, médecin-conseil, etc).

La personne ou instance amenée à traiter une demande d’accès à des documents vérifie soigneusement qu’aucun intérêt public ou privé prépondérant ne s’oppose à la communication sollicitée, compte tenu notamment des exceptions listées à l’article 26 al. 2 LIPAD. Ainsi, la communication des documents devra notamment être refusée lorsque l’accès aux documents est propre à :

• Mettre en péril la sécurité de l’Etat, la sécurité publique, les relations internationales de la Suisse ou les relations confédérales. Par exemple, si cette communication peut rendre inefficaces des mesures prises en vue d’assurer la sécurité publique (plans établis pour les interventions en cas de catastrophes, d’émeutes ou de lutte contre le terrorisme…) ou la prévention d’infractions à des lois ou règlements ;
• Mettre en péril les intérêts patrimoniaux légitimes ou les droits immatériels d’une institution. Par exemple, lorsque la demande de communication vise des documents intégrant des résultats scientifiques avant même le dépôt de la demande de brevet afférente ou reproduisant le code-source d’une application développée par l’Université ou à sa demande ;
• Entraver notablement le processus décisionnel ou la position de négociation de l’institution. Par exemple, lorsque la communication entrave la faculté des instances de l’Université à réfléchir, consulter et rédiger plusieurs projets avant d’arrêter leur choix ou affaiblit la position de l’Université dans le cadre de négociations engagées avec des représentants de la fonction publique, d’autres institutions (DIP, autres universités, FNS, …) ou sur le plan de relations contractuelles soumises au droit privé (entreprises, fondations,…) ;
• Compromettre l’ouverture, le déroulement ou l’aboutissement d’enquêtes prévues par la loi. On pensera notamment aux cas d’enquêtes disciplinaires ou d’enquêtes pour manquements à l’intégrité scientifique menées à l’encontre de collaborateurs de l’Université ;
• Rendre inopérantes les restrictions au droit d’accès à des dossiers qu’apportent les lois régissant les procédures judiciaires et administratives. Il s’agit d’un renvoi aux lois de procédure, notamment au code de procédure pénale et à la loi sur la procédure administrative ;
• Rendre inopérantes les restrictions légales à la communication des données personnelles à des tiers. Ce sera, en particulier, le cas si la communication d’un document contenant des données personnelles (liste d’étudiants, informations relatives à des collaborateurs, etc.) est consentie en violation de l’article 39 LIPAD ;
• Porter atteinte à la sphère privée ou familiale. Par exemple, la communication de documents contenant des informations relevant de la vie familiale d’un collaborateur, à l’instar de ses éventuelles difficultés financières ou de l’initiation d’une procédure de divorce ;
• Révéler des informations sur l’état de santé d’une personne. Par exemple, communication d’un rapport médical ou d’un certificat médical relatif à un collaborateur ou un patient de l’Université ;
• Révéler des informations couvertes par des secrets professionnels, de fabrication ou d’affaires, le secret fiscal, le secret bancaire ou le secret statistique ;
• Révéler d’autres faits dont la communication donnerait à des tiers un avantage indu, notamment en mettant un concurrent en possession d’informations auxquelles il n’a pas accès dans le cours ordinaire des choses. Par exemple, lorsque la communication équivaudrait à transmettre à un soumissionnaire des informations sur les offres de ses concurrents dans le cadre de la passation d’un marché public ;
• Révéler l’objet ou le résultat de recherches scientifiques en cours ou en voie de publication ;
• Révéler des délibérations et votes intervenus à huis-clos ou compromettre les intérêts ayant justifié le huis-clos d’une séance.

 

La demande d’accès peut également être refusée lorsque sa satisfaction requerrait un travail manifestement disproportionné.

Pour autant que cela ne requiert pas un travail disproportionné, un accès partiel doit être préféré à un simple refus d’accès à un document dans la mesure où seules certaines données ou parties du document considéré doivent être soustraites à la communication en vertu de l’article 26 LIPAD. Il est alors procédé au caviardage des mentions à soustraire de façon qu’elles ne puissent être reconstituées et que le contenu informationnel du document ne s’en trouve pas déformé au point d’induire en erreur sur le sens ou la portée du document.

Lorsque l’obstacle à la communication d’un document a un caractère temporaire, l’accès au document doit être différé jusqu’au terme susceptible d’être précisé plutôt que simplement refusé.

En cas de doute sur la réalisation de l’une des exceptions de l’article 26 LIPAD, la personne ou instance saisie en réfère à la commission LIPAD.

a) Détermination

L’instance compétente pour traiter la demande (cf. chiffre 3) se détermine rapidement sur la demande d’accès (5 jours ouvrables dès réception de la demande, sauf cas de consultation d’un tiers ou complication). Elle communique sa détermination écrite au/à la requérant-e ainsi qu’à tout-e éventuel-le opposant-e.

Toute détermination valant refus d’accès précise que le/la requérant-e peut s’adresser au/à la préposé-e cantonal-e dans un délai de 10 jours à compter de sa notification.

Toute détermination envisageant de donner une suite favorable à une demande d’accès nonobstant l’opposition d’une autre institution ou d’un tiers précise que l’opposant-e peut s’adresser au/à la  préposé-e cantonal-e dans un délai de 10 jours à compter de sa notification.

b) Décision

En cas d’échec de la procédure de médiation menée par le/la préposé-e cantonal-e, la personne ou l’instance compétente pour traiter de la demande d’accès rend, dans un délai de 10 jours à compter de la réception de la recommandation écrite du/de la préposé-e cantonal-e, une décision sur la communication du document considéré.

c) Moment de la communication des documents

Les documents ne peuvent être communiqués qu’une fois que la détermination, respectivement la décision prise après consultation du/de la préposé-e cantonal-e, ne peut plus être contestée.  

a) Base légale

Les collaborateur-trice-s ou instances de l’Université ne peuvent traiter des données personnelles pour le compte de l’Université que si, et dans la mesure où, les tâches légales de l’institution le rendent nécessaire (gestion du dossier administratif des collaborateurs, gestion du dossier académique des étudiants, gestion des bibliothèques…).

Ils/elles ne peuvent traiter des données personnelles sensibles ou des profils de la personnalité que si une loi définit clairement la tâche considérée et

b) Collecte

Ils limitent la collecte aux données pertinentes et nécessaires pour l’accomplissement des tâches légales dont ils ont la charge et le font de manière reconnaissable pour la personne concernée, sauf si le caractère reconnaissable de la collecte compromettrait l’engagement, le déroulement ou l’aboutissement d’enquêtes. Ils veillent à conserver la source des données détenues.

Lorsque la collecte de données personnelles équivaut à la création d’un nouveau fichier, le maître du fichier en informe la commission LIPAD et le responsable SSI.

Ne constituent pas des fichiers, même s’ils contiennent des données personnelles, les documents, tableaux, listes ou outils :

• synthétisant des informations à caractère scientifique ou technique à des fins de contrôle interne ou d’analyse ;
• servant à des fins de planification ou de suivi d’exécution des tâches légales de l’Université ;
• récapitulant les procédures et dossiers en cours ;
• présentant un état de situation des débiteurs ;
• récapitulant les situations potentielles de conflits d’intérêts avec des mandataires ou des partenaires extérieurs.

c) Conservation et sécurité

La personne ou l’instance amenée à traiter des données personnelles prend les mesures nécessaires pour assurer la disponibilité, l’intégrité et la confidentialité des données personnelles traitées.

Elle veille en particulier au respect des principes généraux de la politique de l’Université en matière de sécurité du système d’information.

Elle s’assure notamment que les données personnelles soient exactes et, si nécessaire, mises à jour et complétées, autant que les circonstances permettent de l’exiger.

d) Communication

Toute demande de communication de données personnelles émanant d’une autre structure de l’Université ou d’une entité tierce est transmise sans délai au maître du fichier concerné ou, à défaut, à l’instance traitant les données sollicitées.

La demande fait alors l’objet de la part du maître du fichier, respectivement de l’instance saisie, d’un examen sur la base des principes suivants : 

e) Traitement de données personnelles confié à un tiers

Le Rectorat ne peut confier le traitement de données personnelles à un tiers que si le tiers et le système d’information et d’hébergement choisis offrent les garanties nécessaires (certifications idoines et clauses contractuelles adaptées) pour assurer la disponibilité, l’intégrité et la confidentialité des données personnelles à traiter.

Il s’assure notamment que la législation en matière de protection des données personnelles à laquelle est soumis le tiers offre un niveau de protection adéquat ou équivalent à la LIPAD et consulte le responsable SSI et la commission LIPAD.

Si le mandat est confié à une corporation ou un établissement de droit public étranger ou à une personne tierce de droit privé, le Rectorat consulte au préalable le préposé cantonal.

La législation en matière de passation de marchés publics demeure réservée.

f) Destruction

Les maîtres de fichiers ou les instances amenés à traiter des données personnelles pour le compte de l’Université détruisent ou rendent anonymes les données personnelles dont ils n’ont plus besoin pour accomplir les tâches légales dont ils ont la charge. Ils s’assurent au préalable que ces données ne doivent pas être conservées en vertu d’une autre loi (loi sur les archives publiques, loi sur la santé, etc.).

Ils demandent l’agrément de la commission LIPAD avant toute destruction de données personnelles.

Par décision du Rectorat, la destruction de données personnelles peut être différée durant deux ans au maximum à des fins d’évaluation de politiques publiques. Ces données sont dès lors soustraites à communication, sauf si elles sont accessibles au regard de la loi sur les archives publiques ou en application du titre II de la LIPAD.

g) Traitement à des fins générales

Dans le cadre de l’accomplissement des tâches légales de l’Université, le maître du fichier ou l’instance amenée à traiter des données personnelles peut autoriser le traitement des données personnelles à des fins générales de statistique, de recherche scientifique, de planification ou d’évaluations de politiques publiques, pour le compte de l’Université ou d’une autre institution publique en ayant la mission légale, aux conditions cumulatives suivantes :

• le traitement des données personnelles est nécessaire à ces fins ;
• la commission LIPAD et le préposé cantonal sont informés au préalable avec les précisions utiles sur le traitement prévu des données personnelles et sa nécessité ;
• l’autorisation préalable du Conseil d’Etat est requise si le traitement prévu porte sur des données personnelles sensibles ou implique l’établissement de profils de la personnalité ;
• les données personnelles sont détruites ou rendues anonymes dès que le but du traitement spécifique le permet ;
• les données collectées à ces seules fins ne sont communiquées à aucune autre institution, entité ou personne ;
• les résultats de ce traitement ne sont le cas échéant publiés que sous une forme excluant toute possibilité d’identifier les personnes concernées.

h) Vidéosurveillance

Le Rectorat, après consultation de la commission LIPAD et du préposé cantonal, peut autoriser l’installation d’un système de vidéosurveillance aux conditions cumulatives suivantes :

• la vidéosurveillance est propre et nécessaire à garantir la sécurité des personnes et des biens se trouvant dans ou à proximité immédiate des locaux universitaires ;
• l’existence d’un système de vidéosurveillance est signalée de manière adéquate au public et au personnel de l’Université ;
• le champ de surveillance est limité au périmètre nécessaire à l’accomplissement de celle-ci ;
• dans l’accomplissement de leurs activités à leur poste de travail, les membres du personnel de l’Université n’entrent pas dans le champ de vision de la caméra ou, à défaut, sont rendus d’emblée non identifiables par un procédé technique approprié ;
• le visionnement des données (enregistrées ou non) est limité à un cercle restreint de personnes autorisées ;
• toutes les mesures organisationnelles et techniques sont prises afin de garantir la sécurité des installations de surveillance et des données personnelles éventuellement enregistrées.

La commission LIPAD transmet régulièrement au préposé cantonal une liste mise à jour des personnes autorisées à procéder au visionnement des données collectées par vidéosurveillance.

L’éventuel enregistrement des données résultant de la vidéosurveillance est détruit en principe dans un délai de 7 jours. Ce délai peut être porté à 3 mois en cas d’atteinte avérée aux personnes ou aux biens et, en cas d’ouverture d’une information pénale, jusqu’à l’issue de la procédure.

Les données récoltées par le biais d’un système de vidéosurveillance ne peuvent être communiquées que lorsqu’il s’agit de renseigner :

• le Conseil d’Etat ou le Département de l’instruction publique ;
• les autorités judiciaires lorsque les données sont sollicitées par celles-ci
  • pour trancher une cause dont elles sont saisies ou remplir les tâches de surveillance dont elles sont investies, sauf si un le secret de fonction ou un autre secret protégé par la loi ne s’y oppose ou
  • aux fins de dénoncer une infraction pénale dont la videosurveillance aurait révélé la commission.

Pendant la durée d’exploitation d’un système de vidéosurveillance, l’Université tient des statistiques (mises à jour semestrielles) sur le nombre d’atteintes aux personnes, y compris à son personnel propre, ou aux biens dont elle est victime.

a) Droit d'accès

Toute personne physique ou morale de droit privé (à l’exclusion des collectivités publiques, entités autonomes ou autres établissements de droit public) peut demander à la commission LIPAD si des données la concernant sont traitées par des instances de l’Université.

Le requérant formule sa demande par écrit en justifiant de son identité et donne toutes les précisions utiles à faciliter le traitement de sa demande (instance concernée, lien avec l’Université, etc…).

La présente procédure ne régit pas le droit de chaque collaborateur de l’Université de consulter en tout temps son dossier administratif auprès de la division des ressources humaines.

b) Autres droits

Toute personne physique ou morale de droit privé peut également adresser à la commission LIPAD une demande écrite à propos des données la concernant visant à :

• détruire les informations qui ne sont pas pertinentes ou nécessaires ;
• rectifier, compléter ou mettre à jour les informations inexactes, incomplètes ou dépassées ;
• ajouter une remarque sur les données dont ni l’exactitude ni l’inexactitude ne peuvent être prouvées ;
• refuser la communication de données qui ne sont ni nécessaires, ni pertinentes à l’accomplissement des tâches légales de l’institution concernée ou qui ne sont ni exactes, ni mises à jour.

c) Droits des proches

Les proches d’une personne décédée ne peuvent accéder aux données personnelles de cette dernière ou exercer les autres droits énumérés ci-dessus que s’ils peuvent justifier d’un intérêt digne de protection l’emportant sur les éventuels intérêts opposés d’autres proches et sur la volonté connue ou présumable de la personne décédée.

Pour le surplus, les modalités relatives à la forme de la demande, au traitement de celle-ci et aux restrictions au droit d’accès leur sont applicables par analogie.

d) Détermination

La commission LIPAD traite la demande avec célérité et, dans la mesure du possible, informe le requérant de sa détermination dans les 10 jours qui suivent la réception de la demande.

Avant de faire droit à la demande de la personne requérante, la commission LIPAD consulte le maître du fichier ou l’instance concernée et s’assure que la demande ne contrevient pas à une disposition légale (loi sur les archives publiques, loi sur la santé,…).

La commission LIPAD transmet par écrit toutes les données concernant le requérant contenues dans un fichier (y compris les informations disponibles sur l’origine des données), sauf si l’accès aux données doit être refusé au motif qu’un intérêt public ou privé prépondérant s’y oppose, en particulier lorsque :

• il rendrait inopérantes les restrictions au droit d’accès à des dossiers qu’apportent les lois régissant les procédures judiciaires et administratives ;
• la protection de données personnelles sensibles de tiers l’exige impérativement ;
• le droit fédéral ou une loi cantonale le prévoit expressément.

Sur demande, elle transmet également les informations relatives au fichier considéré contenues dans le catalogue des fichiers (but du fichier, accessibilité…).

Un accès partiel ou différé doit être préféré à un refus d’accès si cette mesure permet de sauvegarder l’intérêt public ou privé opposé.

Si la satisfaction de la demande exige un travail disproportionné, l’Université est en droit de la subordonner au paiement préalable d’un émolument.

Si la commission LIPAD n’entend pas faire droit intégralement aux prétentions du requérant (refus, accès partiel ou différé) ou si elle a un doute sur le bien-fondé des prétentions du requérant, elle transmet la demande au préposé cantonal avec ses observations et joint les pièces utiles.

e) Décision

La commission LIPAD rend, dans un délai de 10 jours à compter de la réception de la recommandation écrite du préposé cantonal, une décision sur les prétentions du requérant.

Cette décision est notifiée par écrit au requérant et au préposé cantonal et précise qu’elle peut faire l’objet d’un recours auprès de la chambre administrative de la Cour de Justice dans un délai de 30 jours à compter de sa notification.