Est considérée comme traitement de données personnelles toute activité ayant directement trait à ces dernières, et notamment le fait de recueillir, de conserver, de modifier, de combiner, de communiquer ou de détruire des données personnelles.
La loi cantonale sur la protection des données (LCPD) ne constitue pas une base légale en soi pour le traitement des données personnelles mais en exige une dans la loi spécialisée en vigueur (p. ex. loi sur l’école obligatoire [LEO]). En vertu de l’article 5, alinéa 1 LCPD, les données personnelles ne peuvent être traitées que lorsque la loi l’autorise expressément (base légale directe dans la loi spécialisée, p. ex. dans la LEO) ou qu’elles servent à accomplir une tâche légale (base légale indirecte dans la loi spécialisée).
Le traitement de données particulièrement dignes de protection est autorisé uniquement à la condition supplémentaire que l’admissibilité repose clairement sur une « base légale » (base légale directe claire dans la loi spécialisée, une ordonnance ne suffit pas) ou que l’accomplissement d’une tâche définie par la loi l’exige impérativement (base légale indirecte impérative dans la loi spécialisée) ou encore que la personne intéressée (capable de discernement) y ait donné son accord exprès.
Pour le traitement des données personnelles, le principe de proportionnalité s’applique. Cela signifie que des données personnelles ne peuvent être traitées que lorsque le traitement est approprié et nécessaire pour l’accomplissement de la tâche légale. Le traitement des données est considéré comme nécessaire lorsqu’il n’est pas possible de traiter les données de façon équivalente en portant moins atteinte aux droits de la personnalité des personnes concernées.