Loi 12/2024, du 15 juillet, qualifiée portant modification de la Loi 29/2021, du 28 octobre, qualifiée sur la protection des données personnelles

Article 1. Modification de l’article 46 de la Loi 29/2021 , du 28 octobre

L’article 46 de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles est modifié et rédigé comme suit : « Article 46. Nature juridique et structure organique de l’Agence andorrane de protection des données

1. L’Agence andorrane de protection des données (APDA), a été créée en 2003 en tant qu’organisme public doté de la personnalité juridique propre, indépendant des administrations publiques et jouissant de la pleine capacité d’agir. Elle est une institution de droit public qui conforme son activité à l’ordre juridique public.

2. L’Agence andorrane de protection des données est constituée en autorité indépendante qui agit avec objectivité et en pleine indépendance à l’égard des administrations publiques andorranes dans l’exercice de ses fonctions.

3. L’Agence andorrane de protection des données se compose :

a) De la personne Chef de l’Agence ;

b) Du personnel inspecteur

c) Du personnel contractuel au service de l’Agence. »

Article 2. M odification de l’article 47 de la Loi 29/2021 , du 28 octobre

L’article 47 de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles est modifié et rédigé comme suit : « Article 47. Sans contenu. »

Article 3. Modification de l’article 50 de la Loi 29/2021 , du 28 octobre

L’article 50 de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles est modifié et rédigé comme suit : « Article 50. Fonctions de l’Agence andorrane de protection des données

1. Sans préjudice des autres fonctions et pouvoirs que lui attribuent la présente loi et ses dispositions d’application, les fonctions de l’Agence andorrane de protection des données sont les suivantes :

a) Contrôler et garantir l’application de la présente loi.

b) Promouvoir la sensibilisation du public et sa compréhension des risques, en édictant les instructions et les recommandations nécessaires pour adapter les traitements de données personnelles aux principes de la législation en vigueur en matière de protection des données personnelles ; les activités spécifiquement destinées aux mineurs font l’objet d’une attention particulière.

c) Émettre des avis, à titre consultatif, lorsqu’ils sont demandés, sur les projets de loi, les projets de dispositions normatives élaborés par le Gouvernement en vertu d’une délégation législative, les projets de règlements ou de dispositions de caractère général qui concernent la protection des données à caractère personnel.

d) Émettre ses opinions sur d’autres lois ou normes qui concernent la vie privée des personnes physiques ainsi que les traitements et la sécurité des données à caractère personnel.

e) Répondre par écrit dans un délai maximal de 15 jours ouvrables, conformément aux conditions établies par voie réglementaire, aux consultations que lui adressent les administrations publiques, les entités publiques et privées et les citoyens sur l’application de la législation en matière de protection des données à caractère personnel ; et coopérer avec d’autres autorités de contrôle.

f) Donner suite aux demandes que lui adressent les personnes intéressées.

g) Fournir des informations sur les droits des personnes en matière de protection des données personnelles ; notamment au moyen des campagnes de diffusion jugées appropriées et, à cet effet, établir les prévisions budgétaires correspondantes.

h) Publier la liste des pays et des organisations internationales qui disposent d’une protection adéquate en matière de données personnelles.

i) Traiter les consultations relatives aux communications internationales de données personnelles vers des pays ou des organisations internationales qui n’offrent pas un niveau de protection adéquat.

j) Requérir des responsables du traitement et des sous-traitants de données personnelles l’adoption des mesures nécessaires pour adapter le traitement de données personnelles à la législation en vigueur.

k) Traiter les réclamations qui lui sont adressées, enquêter, dans la mesure appropriée, sur l’objet de la réclamation, et informer la personne réclamante de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si de nouvelles enquêtes sont nécessaires.

l) Engager, instruire et statuer sur les procédures de sanction.

m) Demander en justice, le cas échéant, la cessation des traitements, à titre de mesure conservatoire ou de mesure définitive.

n) Élaborer et publier un rapport annuel relatif à son activité, accessible gratuitement.

2. L’Agence andorrane de protection des données doit faciliter l’introduction des réclamations prévues à la lettre

k) du paragraphe précédent par des mesures telles qu’un formulaire de réclamation pouvant également être rempli par voie électronique, sans exclure d’autres moyens de communication.

3. L’accomplissement des fonctions de l’Agence andorrane de protection des données doit être gratuit pour la personne intéressée et, le cas échéant, pour le délégué à la protection des données.

4. Lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, un prix public raisonnable fondé sur les coûts administratifs peut être exigé, ou il peut être refusé de donner suite à la demande. Il incombe à l’autorité de contrôle de démontrer le caractère manifestement infondé ou excessif de la demande. »

Article 4. Ajout d'un nouvel article 50.bis à la Loi 29/2021, du 28 octobre

Il est procédé à l'ajout d'un article 50.bis à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, lequel est rédigé comme suit : « Article 50 bis. La personne Chef de l'Agence andorrane de protection des données

1. La personne Chef de l'Agence dirige l'Agence andorrane de protection des données et en exerce la représentation légale et institutionnelle. Elle accomplit ses fonctions en toute indépendance, neutralité et objectivité, sans être soumise à aucun mandat impératif ni à aucune instruction.

2. La personne Chef de l'Agence a la qualité d'autorité publique dans l'exercice de son activité.

3. La personne Chef de l'Agence de protection des données est désignée par le Conseil général, à la majorité qualifiée des deux tiers au premier tour de scrutin. Si, lors d'un premier tour de scrutin, la majorité requise ci-dessus n'est pas atteinte, est élue la personne candidate qui, lors d'un second tour de scrutin, obtient le vote favorable de la majorité absolue.

4. La personne Chef de l'Agence est nommée pour une période renouvelable de quatre ans. La nomination de la personne Chef de l'Agence est publiée au Bulletin officiel de la Principauté d'Andorre. Une fois nommée, la personne Chef de l'Agence de protection des données doit prêter serment ou faire la promesse de respect devant le syndic général, dans la forme prévue par le Règlement du Conseil général.

5. Trois mois avant l'expiration du mandat, ou une fois celui-ci expiré en cas de cessation des fonctions ou de démission, le Conseil général ordonnera la publication au Bulletin du Conseil général ainsi qu'au Bulletin officiel de la Principauté d'Andorre d'un avis de convocation publique des personnes candidates. La Commission législative compétente en la matière, constituée en comité de validation, évalue les capacités, compétences, aptitude et mérites des personnes candidates, en procédant à l'audition de celles qui remplissent les conditions requises minimales. La procédure d'élection sera régie par le Règlement du Conseil général.

6. La personne Chef de l'Agence andorrane de protection des données doit être titulaire d'un diplôme au moins équivalent au niveau 6 du Cadre andorran des certifications (MAQ), et posséder la compétence, l'expérience et les aptitudes, notamment dans le domaine de la protection des données personnelles, nécessaires à l'accomplissement de ses fonctions et à l'exercice de ses pouvoirs.

7. La personne Chef de l'Agence andorrane de protection des données doit s'abstenir de toute action incompatible avec ses fonctions et ne peut exercer, pendant la durée de son mandat, aucune activité professionnelle incompatible, rémunérée ou non.

8. La fonction de Chef de l'Agence andorrane de protection des données est incompatible :

a) Avec celle de membre du Conseil général.

b) Avec l'exercice de toute autre fonction publique rattachée à l'une des institutions de l'Administration publique, que ce soit par élection, par nomination, en qualité de fonctionnaire ou par contrat.

c) Avec toute fonction de direction ou exécutive au sein de partis politiques, de syndicats et d'associations, d'organisations patronales et d'ordres professionnels, qu'ils soient nationaux ou étrangers.

d) Avec toute activité susceptible de compromettre l'indépendance et l'impartialité dans l'accomplissement des obligations, selon l'appréciation du Conseil général.

e) Avec l'exercice de sa profession ou de toute autre activité rémunérée.

9. La personne Chef de l'Agence andorrane de protection des données perd sa qualité pour les causes suivantes :

a) Par décès.

b) Par renonciation expresse, faite par écrit, devant le syndic général.

c) Par expiration du délai de son mandat.

d) Par interdiction d'exercer des fonctions publiques prononcée par une décision judiciaire définitive.

e) Par condamnation définitive pour délit.

f) Par incapacité permanente survenue d'exercer ses fonctions

g) Par incompatibilité

h) Pour conduite irrégulière grave et pour manquement aux devoirs et obligations inhérents aux fonctions propres à sa charge. Sont considérés comme conduite irrégulière grave les cas prévus comme faute très grave dans la Loi de la fonction publique qui lui sont applicables conformément à son statut défini dans la présente Loi. La perte de sa qualité, dans les cas prévus aux lettres f),

g) et h), requerra l'accord de la séance plénière du Conseil général, en séance publique, à la majorité qualifiée des deux tiers, et après audition à huis clos devant la Commission législative compétente en matière de protection des données.

10. La personne Chef de l'Agence andorrane de protection des données est soumise au devoir de secret professionnel, tant pendant son mandat qu'après celui-ci, en ce qui concerne les informations confidentielles dont elle a connaissance dans l'accomplissement de ses fonctions ou dans l'exercice de ses pouvoirs. Pendant son mandat, ce devoir de secret professionnel s'applique en particulier aux informations reçues de personnes physiques concernant des infractions à la présente Loi. »

Article 5. Ajout d'un nouvel article 50.ter à la Loi 29/2021, du 28 octobre

Il est procédé à l'ajout d'un article 50ter à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, lequel est rédigé comme suit : « Article 50 ter. Les fonctions de la personne Chef de l'Agence Il incombe à la personne Chef de l'Agence :

a) D'édicter les instructions et les recommandations nécessaires pour adapter les traitements de données personnelles aux principes de la législation en vigueur en matière de protection des données personnelles.

b) De coopérer avec d'autres autorités de contrôle.

c) De statuer sur les réclamations formulées dans un délai raisonnable.

d) De statuer sur les dossiers de sanction, ouverts et instruits par le personnel inspecteur.

e) D'exercer le pouvoir disciplinaire à l'égard du personnel au service de l'Agence dans les termes prévus par la présente loi.

f) De demander en justice, le cas échéant, la cessation des traitements, à titre de mesure conservatoire ou de mesure définitive.

g) D'attribuer et de formaliser les contrats que requiert la gestion de l'Agence et d'en surveiller le respect et l'exécution dans les limites du budget de l'Agence.

h) D'approuver les dépenses et d'ordonner les paiements, dans les limites du budget des dépenses de l'Agence.

i) D'élaborer le projet de budget de l'Agence en vue de sa soumission au Conseil général.

j) D'élaborer le rapport annuel de l'Agence.

k) Et les autres fonctions propres à l'Agence, sans préjudice de leur délégation au personnel inspecteur ou salarié.

Article 6. Modification de l'article 51 de la Loi 29/2021, du 28 octobre

L'article 51 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles est modifié et est ainsi rédigé : « Article 51. Régime du personnel

1. L'Agence andorrane de protection des données, dans l'exercice de son pouvoir d'auto-organisation, et dans le respect de la limite des dépenses de personnel inscrite dans les dotations annuelles du budget dont l'Agence est dotée, approuve la liste des postes de travail et en informe le Conseil général.

2. Le personnel au service de l'Agence andorrane de protection des données est fonctionnaire ou contractuel. En tout état de cause, les fonctions qui impliquent l'exercice de l'autorité ou la participation directe ou indirecte de prérogatives de puissance publique sont réservées au personnel fonctionnaire.

3. L'ensemble du personnel de l'Agence andorrane de protection des données est soumis au devoir de secret professionnel en ce qui concerne les informations confidentielles dont il a connaissance dans l'exercice de ses fonctions, y compris après avoir cessé de les exercer. Le devoir de secret professionnel pendant l'exercice des fonctions s'applique notamment aux informations reçues de personnes physiques en ce qui concerne des infractions à la présente Loi. »

Article 7. Ajout d'un nouvel article 51.bis à la Loi 29/2021, du 28 octobre

Il est procédé à l'ajout d'un article 51bis à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est ainsi rédigé : « Article 51. bis. Le personnel inspecteur

1. Le personnel inspecteur de l'Agence andorrane de protection des données est un personnel fonctionnaire affecté au service de l'Agence, et il assiste le Chef de l'Agence et collabore avec lui dans l'exercice des fonctions propres de l'Agence.

2. Le personnel inspecteur est soumis au régime établi par les dispositions de la Loi sur la fonction publique pour tout ce qui concerne les droits, les obligations, la mobilité ainsi que la qualification des fautes et des sanctions du régime disciplinaire.

3. Les conditions requises et l'organisation de l'ensemble des épreuves pour la sélection du personnel inspecteur, ainsi que l'évaluation de leurs résultats, relèvent de la compétence d'un Comité technique de sélection qui est régi par les principes d'objectivité, d'impartialité et de professionnalisme, et qui est composé du Chef de l'Agence, de deux membres de la Commission législative compétente en matière de protection des données du Conseil général désignés par la Commission elle-même, et de deux experts externes désignés par les membres de la Commission. Le Comité technique de sélection est présidé par le conseiller général désigné par la Commission. Les coûts découlant du recrutement d'experts par le Comité technique de sélection, ainsi que les autres coûts pouvant découler des activités dudit Comité technique de sélection, sont à la charge de l'Agence.

4. Les bases de la convocation de la procédure de sélection du personnel inspecteur, que ce soit sous la modalité de procédure de sélection externe ou de promotion interne, doivent inclure la formation académique, les compétences professionnelles ainsi que l'expérience, dans le domaine de la protection des données personnelles, nécessaires à l'accomplissement et à l'exercice de ses fonctions.

5. La procédure d'ouverture, d'instruction et de décision des dossiers disciplinaires est régie par la Loi sur la fonction publique. Le Chef de l'Agence est chargé d'ouvrir et d'instruire les dossiers disciplinaires. La décision sur les dossiers disciplinaires relèvent de la compétence d'un Comité technique d'évaluation qui est régi par les principes d'objectivité, d'impartialité et de professionnalisme, et qui est composé de deux membres de la Commission législative compétente en matière de protection des données du Conseil général, désignés par la Commission elle-même, et de deux experts externes désignés par les membres de la Commission.

6. Le personnel inspecteur a la qualité d'agent de l'autorité publique dans l'exercice de ses fonctions et sont tenus de garder le secret sur les informations dont ils ont connaissance dans l'exercice de celles-ci, y compris après avoir cessé leurs fonctions.

7. Il incombe spécifiquement au personnel inspecteur de l'Agence :

a) De mener les inspections que lui confie le Chef de l'Agence, conformément aux dispositions de la présente loi.

b) D'ouvrir et d'instruire des dossiers de sanction.

8. La qualité de personnel inspecteur est incompatible avec toute activité susceptible de mettre en péril l'indépendance et l'impartialité dans l'accomplissement des obligations. »

Article 8. Ajout d'un nouvel article 51.ter à la Loi 29/2021, du 28 octobre

Il est procédé à l'ajout d'un article 51.ter à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est ainsi rédigé : « Article 51. ter. Le personnel contractuel

1. Le personnel contractuel assiste le Chef de l'Agence et collabore avec lui dans l'exercice des fonctions propres de l'Agence.

2. Le régime applicable au personnel contractuel est celui qu'établit la réglementation en vigueur en matière de travail, y compris en ce qui concerne le régime disciplinaire. Le pouvoir disciplinaire est exercé par le Chef de l'Agence, conformément aux garanties, formalités et à la gradation des fautes et des sanctions que prévoit ladite réglementation.

3. Les postes réservés au personnel contractuel affecté à l'Agence sont pourvus au moyen d'une convocation publique et conformément aux principes d'égalité, de mérite et de capacité.

4. Sont des fonctions propres du personnel contractuel celles que le Chef de l'Agence lui confie.

5. La qualité de personnel contractuel est incompatible avec toute activité susceptible de mettre en péril l'indépendance et l'impartialité dans l'accomplissement des obligations. »

Article 9. Modification de l'article 52 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 52 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est ainsi rédigé : « Article 52. Régime économique

1. L'Agence andorrane de protection des données dispose des dotations annuelles qui sont établies dans les budgets du Conseil général.

2. Il incombe au Tribunal des comptes d'exercer le contrôle externe de la gestion économique, financière et comptable de l'Agence.

3. Le contrôle financier du Conseil général, conformément à ses règles de fonctionnement, contrôle tous les actes, documents et dossiers ayant une incidence sur les finances de l'Agence, laquelle doit conformer sa comptabilité au régime de la comptabilité publique en prévoyant un régime interne de signature conjointe dans la gestion des fonds.

4. Le contrôle ne tient compte que de la légalité des précédents financiers et non du choix des priorités dans l'exécution du mandat. »

Article 10. Modification de l'article 53 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 53 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 53. Budget L'Agence andorrane de protection des données élabore chaque année un projet de budget, qui soit suffisant, tant en ressources économiques qu'en ressources humaines, pour exercer de manière efficace et efficiente ses compétences. Ce budget est présenté au Conseil général, dans le cadre de ses compétences, pour approbation. »

Article 11. Modification de l'article 54 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 54 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 54. Régime patrimonial et de passation des marchés

1. L'acquisition, le bail et la passation de marchés de biens et de services par l'Agence sont soumis à la législation en vigueur en matière de marchés publics. Elle doit respecter les principes d'objectivité, de mise en concurrence, de transparence et de publicité, dans toute procédure de recrutement de personnel.

2. L'Agence andorrane de protection des données dispose d'un patrimoine propre constitué des biens et des droits qu'elle acquiert.

3. L'organe de passation des marchés de biens et de services est la personne Chef de l'Agence, en tant qu'organe unipersonnel. »

Article 12. Modification de l'article 55 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 55 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 55. Sans contenu. »

Article 13. Modification de l'article 56 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 56 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 56. Sans contenu. »

Article 14. Modification de l'article 57 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 57 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 57. Sans contenu. »

Article 15. Modification de l'article 58 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 58 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 58. Régime de rémunération Le régime de rémunération de la personne Chef de l'Agence, du personnel fonctionnaire ainsi que du personnel contractuel est conforme aux prévisions du budget de l'Agence approuvé par le Conseil général. En tout état de cause, le régime de rémunération de la personne Chef de l'Agence doit être approuvé par la Sindicatura, après avis de la Junta de Presidents. »

Article 16. Modification de l'article 59 de la Loi 29/2021, du 28 octobre

Il est procédé à la modification de l'article 59 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, qui est désormais rédigé comme suit : « Article 59. Abstention et récusation Les motifs d'abstention et de récusation de la personne Chef de l'Agence et du personnel fonctionnaire ainsi que du reste du personnel de l'Agence sont ceux prévus par le Code de l'Administration. »

Disposition transitoire. Régime transitoire du personnel inspecteur

« Les paragraphes 3 et 4 de l'article 51 bis ne s'appliquent pas au personnel inspecteur de l'Agence andorrane de protection des données en fonctions à l'entrée en vigueur de la présente loi, sauf si, à l'expiration du délai pour lequel il a été nommé, il souhaite être renouvelé dans ses fonctions. »

Disposition finale première. Modifications réglementaires

1. Le Gouvernement doit approuver, dans un délai maximal de 6 mois à compter de la publication de la présente Loi, les modifications réglementaires nécessaires à l'application effective des modifications introduites par la présente Loi, ainsi que toute autre disposition réglementaire nécessaire à cet effet.

2. Tant que ces modifications ne sont pas intervenues, les dispositions réglementaires visées demeurent en vigueur dans la mesure où elles ne sont pas contraires à la Loi et doivent être interprétées, en tout état de cause, conformément aux nouveaux principes légaux.

Disposition finale deuxième. Texte consolidé

Le Gouvernement est chargé, dans les termes prévus à l'article 116 du Règlement du Conseil général, de présenter au Conseil général, dans un délai maximal de six mois à compter de la publication de la présente Loi au Bulletin officiel de la Principauté d'Andorre, le projet de consolidation de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, intégrant toutes les modifications qui y ont été apportées.

Disposition finale troisième. Entrée en vigueur

La présente Loi entre en vigueur le lendemain de sa publication au Bulletin officiel de la Principauté d'Andorre .