Loi qualifiée 29/2021, du 28 octobre, de protection des données personnelles

Article 1. Objet

1. La présente Loi a pour objet la protection des données à caractère personnel de toutes les personnes physiques, quelle que soit leur nationalité ou leur résidence, en ce qui concerne le traitement et l'utilisation des données, en préservant la vie privée.

2. La présente Loi protège les droits et libertés fondamentaux des personnes physiques et, en particulier, leur droit à la protection des données à caractère personnel.

Article 2. Champ d'application

1. La présente Loi s'applique au traitement totalement ou partiellement automatisé de données à caractère personnel, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou destinées à figurer dans un fichier, et à toute utilisation ultérieure de ces données, tant dans le secteur public que privé. Elle s'applique à tout traitement de données à caractère personnel effectué par des responsables du traitement ou des sous-traitants, publics ou privés, domiciliés dans la Principauté d'Andorre, ou constitués conformément aux lois de la Principauté d'Andorre.

2. Elle s'applique également aux traitements de données effectués par des responsables du traitement ou des sous-traitants non domiciliés dans la Principauté ou non constitués conformément aux lois de la Principauté d'Andorre, lorsqu'ils utilisent des moyens de traitement situés sur le territoire andorran, automatisés ou non. Ces responsables du traitement ou sous-traitants doivent désigner auprès de l'Agence andorrane de protection des données un représentant établi dans la Principauté d'Andorre.

3. Aux fins de l'application du présent article, on entend par domicile ou établissement, indépendamment de sa forme juridique, toute installation stable permettant l'exercice effectif et réel d'une activité.

4. Sont exclus du champ d'application de la présente Loi :

a) Le traitement de données effectué dans le cadre d'activités exclusivement personnelles ou domestiques, sans aucun lien avec une activité professionnelle ou commerciale.

b) Le traitement de données de personnes décédées, sans préjudice des dispositions de l'article 3.

c) Le traitement de données effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, sans préjudice des dispositions du paragraphe 4 de l'article 5.

Article 3. Données des personnes décédées

1. Les personnes liées au défunt pour des raisons familiales ou de fait, ainsi que ses héritiers, peuvent s'adresser au responsable du traitement ou au sous-traitant afin de demander l'accès aux données à caractère personnel de celui-ci et, le cas échéant, leur rectification ou leur effacement. À titre d'exception, les personnes visées à l'alinéa précédent ne peuvent pas accéder aux données du de cujus, ni en demander la rectification ou l'effacement, lorsque la personne décédée l'a expressément interdit ou qu'une loi le prévoit. Cette interdiction n'affecte pas le droit des héritiers d'accéder aux données à caractère patrimonial du de cujus.

2. Les personnes ou institutions que le défunt a expressément désignées à cet effet peuvent également demander, conformément aux instructions reçues, l'accès aux données à caractère personnel du défunt et, le cas échéant, leur rectification ou leur effacement. Les conditions requises et les modalités permettant de justifier la validité et la vigueur de ces mandats et instructions et, le cas échéant, leur enregistrement, doivent être fixées par voie réglementaire.

3. En cas de décès de personnes mineures, ces facultés peuvent également être exercées par leurs représentants légaux ou, dans le cadre de ses compétences, par le Ministère public, qui peut agir d'office ou à la demande de toute personne physique ou morale intéressée. En cas de décès de personnes en situation de handicap, ces facultés peuvent également être exercées, outre par les personnes mentionnées à l'alinéa précédent, par celles qui ont été désignées pour l'exercice de fonctions d'assistance, si ces facultés sont réputées comprises dans les mesures d'assistance fournies par la personne désignée.

4. Les informations relatives aux personnes décédées, y compris celles qui figurent dans les certificats de causes de décès, peuvent faire l'objet d'un traitement à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, sauf si la personne intéressée a exprimé par écrit et de son vivant son opposition à ce traitement.

Article 4. Définitions

Aux fins de la présente Loi, on entend par :

1. Données personnelles ou à caractère personnel : toute information numérique, alphabétique, graphique, photographique, acoustique ou de tout autre type se rapportant à une personne physique identifiée ou identifiable (« personne intéressée ») ; on entend par personne physique identifiable toute personne dont l'identité peut être déterminée, directement ou indirectement, notamment par référence à un identifiant, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

2. Consentement de la personne intéressée : toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne accepte, par une déclaration ou par un acte positif clair, le traitement des données personnelles la concernant.

3. Traitement de données personnelles (« traitement ») : toute opération ou tout ensemble d'opérations effectuées à l'aide de procédés automatisés ou non et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion, la mise à disposition, ou toute autre forme d'habilitation d'accès, le rapprochement ou l'interconnexion, la limitation, le verrouillage, l'effacement ou la destruction de données, ou l'application d'opérations logiques et/ou arithmétiques à ces données.

4. Limitation du traitement : le marquage des données à caractère personnel conservées, en vue de limiter leur traitement futur.

5. Profilage : toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique ; notamment pour analyser ou prédire des éléments concernant le rendement professionnel, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne.

6. Fichier de données personnelles (« fichier ») : tout ensemble structuré de données personnelles accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique, quelle que soit sa forme ou sa modalité de création, de stockage, d'organisation et d'accès.

7. Anonymisation : processus consistant à éliminer tous les éléments d'identification d'un ensemble de données personnelles de sorte qu'il ne soit plus possible d'identifier la personne intéressée.

8. Pseudonymisation : le traitement de données personnelles de telle façon que celles-ci ne puissent plus être attribuées à une personne intéressée sans avoir recours à des informations supplémentaires, pour autant que ces informations soient conservées séparément et soumises à des mesures techniques et organisationnelles destinées à garantir que les données personnelles ne sont pas attribuées à une personne physique identifiée ou identifiable.

9. Responsable du traitement ou responsable : la personne physique ou morale, l'autorité compétente, publique le cas échéant, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles, et veille à leur correct respect conformément aux normes en matière de protection des données applicables aux finalités du traitement.

10. Sous-traitant du traitement ou sous-traitant : la personne physique ou morale, l'autorité compétente, publique le cas échéant, le service ou tout autre organisme qui traite des données personnelles pour le compte du responsable du traitement.

11. Personne intéressée : la personne physique identifiée ou identifiable à laquelle se rapportent les données à caractère personnel faisant l'objet d'un traitement.

12. Tiers : personne physique ou morale, autorité publique, service ou organisme, autre que la personne intéressée, le responsable du traitement, le sous-traitant du traitement et les personnes autorisées à traiter les données personnelles sous l'autorité directe du responsable ou du sous-traitant du traitement de données personnelles.

13. Violation de la sécurité des données personnelles : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, en tout état de cause non autorisée, la perte, l'altération ou la divulgation de données personnelles transmises, conservées ou traitées d'une autre manière, ou la communication ou l'accès non autorisés à ces données.

14. Intérêt public : notion définie et déterminée entendue comme un avantage général, important et primordial, qui justifie la finalité de l'intervention de l'État et en fonde la légitimité, toujours dans le cadre de l'objectivité et des principes constitutionnels de légalité, de hiérarchie, de publicité des normes juridiques, de non-rétroactivité des dispositions restrictives de droits individuels ou qui comporteraient un effet ou établiraient une sanction défavorables, de sécurité juridique, de responsabilité des pouvoirs publics et d'interdiction de tout arbitraire.

15. Intérêt vital : intérêt essentiel à la vie de la personne intéressée.

16. Données génétiques : données personnelles relatives aux caractéristiques génétiques héritées ou acquises d'une personne physique, qui fournissent une information unique sur sa physiologie ou son état de santé, obtenues à partir de l'analyse d'un échantillon biologique de cette personne.

17. Données biométriques : données personnelles résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales, des données dactyloscopiques ou des modèles d'iris.

18. Données concernant la santé : données personnelles relatives à la santé physique ou mentale d'une personne physique qui révèlent des informations sur son état de santé, y compris la prestation de services de soins de santé.

19. Représentant : personne physique ou morale qui, ayant été désignée par écrit par le responsable ou par le sous-traitant du traitement, représente le responsable ou le sous-traitant du traitement en ce qui concerne leurs obligations respectives dans le traitement de données personnelles.

20. Entreprise : personne physique ou morale exerçant une activité économique, quelle que soit sa forme juridique, y compris les sociétés ou les associations qui exercent régulièrement une activité économique.

21. Groupe d'entreprises : groupe constitué d'une entreprise qui exerce le contrôle et des entreprises qu'elle contrôle.

22. Règles d'entreprise contraignantes : les politiques de protection des données personnelles appliquées par un responsable ou un sous-traitant du traitement, adoptées conformément à la réglementation de l'Union européenne relative à la protection des données personnelles, pour des transferts ou pour un ensemble de transferts de données personnelles à un responsable ou à un sous-traitant dans un ou plusieurs pays tiers, au sein d'un groupe d'entreprises ou d'un groupement d'entreprises exerçant une activité économique conjointe.

23. Autorité de contrôle : organisme public établi par l'État, doté de la personnalité juridique propre, indépendant des administrations publiques, disposant de compétences d'enregistrement, de contrôle, de contrôle fiscal, de décision et de sanction, ainsi que de proposition d'adoption de normes, en matière de protection des données personnelles.

24. Destinataire : personne physique ou morale, autorité publique, service ou tout autre organisme auquel des données personnelles sont communiquées, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui peuvent recevoir des données personnelles dans le cadre d'une enquête particulière ne doivent pas être considérées comme des destinataires, conformément à la réglementation applicable. Le traitement de ces données effectué par lesdites autorités publiques doit être conforme aux normes en matière de protection des données applicables aux finalités du traitement.

25. Service de la société de l'information : tout service presté normalement contre rémunération, à distance, par voie électronique et à la demande individuelle d'un destinataire de services. Aux fins de la présente définition, on entend par : (i) à distance : un service presté sans que les parties soient simultanément présentes ; (ii) par voie électronique : un service envoyé à l'origine et reçu à destination au moyen d'équipements électroniques de traitement (y compris la compression numérique) et de stockage de données, et qui est entièrement transmis, acheminé et reçu par fils, par radio, par moyens optiques ou par tout autre moyen électromagnétique ; et (iii) à la demande individuelle d'un destinataire de services : un service presté par transmission de données sur demande individuelle.

26. Organisation internationale : une organisation internationale et les organismes de droit international public qui en relèvent, ou tout autre organisme créé par un accord conclu entre deux pays ou plus, ou en vertu d'un tel accord.

27. Transfert international de données : communication de données personnelles ou leur mise à disposition au profit d'un destinataire soumis à la juridiction d'un pays tiers ou lorsque le destinataire est une organisation internationale.

Article 5. Principes relatifs au traitement

1. Le traitement des données doit être proportionné à la finalité légitime poursuivie, en atteignant, à chaque étape du traitement, un juste équilibre entre les divers intérêts en présence, qu'ils soient publics ou privés, qui concilie les droits et libertés concernés.

2. Les données à caractère personnel doivent être :

a) Traitées de manière licite, loyale et transparente au regard de la personne intéressée (« licéité, loyauté et transparence »).

b) Collectées pour des finalités déterminées, explicites et légitimes et ne doivent pas être traitées ultérieurement d'une manière incompatible avec ces finalités ; le traitement ultérieur des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique et historique ou à des fins statistiques n'est pas considéré comme incompatible avec les finalités initiales, pour autant que soient appliquées les garanties complémentaires prévues par la présente Loi et par la réglementation sectorielle qui les développe (« limitation des finalités »).

c) Adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (« minimisation des données »).

d) Exactes et, si nécessaire, tenues à jour ; avec l'adoption des mesures raisonnables pour que les données à caractère personnel inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient rectifiées ou effacées sans tarder (« exactitude »). L'inexactitude des données à caractère personnel ne peut être imputée au responsable du traitement si celui-ci a adopté toutes les mesures raisonnables pour que lesdites données soient rectifiées ou effacées sans tarder, lorsque les données inexactes :

i) Ont été obtenues par le responsable du traitement directement auprès de la personne intéressée. ii) Ont été obtenues par le responsable du traitement par l'intermédiaire d'un médiateur ou d'un intermédiaire dans le cas où les règles applicables au secteur d'activité auquel appartient le responsable prévoient la possibilité d'intervention d'un intermédiaire ou d'un médiateur qui collecte en son nom propre les données des personnes intéressées en vue de leur transmission au responsable. Le médiateur ou l'intermédiaire doit assumer les responsabilités pouvant découler de la communication au responsable de données qui ne correspondent pas à celles fournies par la personne intéressée. iii) Font l'objet d'un traitement par le responsable pour les avoir reçues d'un autre responsable en vertu de l'exercice par la personne intéressée du droit à la portabilité des données. iv) Ont été obtenues d'un registre public par le responsable du traitement.

e) Conservées sous une forme permettant l'identification des personnes intéressées pendant une durée n'excédant pas celle nécessaire au regard des finalités du traitement des données à caractère personnel ; toutefois, elles peuvent être conservées pour des durées plus longues dans la mesure où elles sont traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, sans préjudice de l'application des mesures techniques et organisationnelles appropriées afin de protéger les droits et libertés de la personne intéressée (« limitation du délai de conservation »).

f) Traitées de façon à en garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite et contre leur perte, leur destruction ou leurs dégâts d'origine accidentelle, à l'aide de mesures techniques et organisationnelles appropriées (« intégrité et confidentialité »).

3. Il incombe au responsable du traitement de respecter les principes de traitement et d'être en mesure de démontrer qu'ils sont respectés (« responsabilité proactive »).

4. Le traitement des données à caractère personnel à des fins de prévention, d'enquête, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et leur prévention, ne peut être effectué que si le responsable du traitement est autorisé par la Loi à traiter ces données.

Article 6. Licéité du traitement

1. Le traitement n'est licite que si au moins l'une des conditions suivantes est remplie :

a) La personne intéressée a donné son consentement au traitement de ses données personnelles pour une ou plusieurs finalités spécifiques.

b) Le traitement est nécessaire à l'exécution d'un contrat auquel la personne intéressée est partie, ou à l'exécution de mesures précontractuelles prises à sa demande.

c) Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis.

d) Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne intéressée ou d'une autre personne physique.

e) Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

f) Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les droits et libertés fondamentaux de la personne intéressée qui exigent une protection des données personnelles, notamment lorsque la personne intéressée est mineure. Les dispositions de la présente lettre ne s'appliquent pas au traitement effectué par les autorités publiques dans l'exercice de leurs fonctions.

2. Le fondement du traitement visé aux lettres

c) et

e) du paragraphe précédent doit être établi par la réglementation applicable au responsable du traitement. La finalité du traitement doit être définie dans cette base juridique ou, en ce qui concerne le traitement visé à la lettre

e) du paragraphe 1, doit être nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. La base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles de la présente Loi, notamment : les conditions générales régissant la licéité du traitement effectué par le responsable ; les types de données faisant l'objet du traitement ; les personnes intéressées concernées ; les entités auxquelles les données personnelles peuvent être communiquées et les finalités de cette communication ; la limitation de la finalité ; les durées de conservation des données, ainsi que les opérations et les procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles relatives à d'autres situations particulières de traitement. La base juridique doit répondre à un objectif d'intérêt public et doit être proportionnée à l'objectif légitime poursuivi.

3. Afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données personnelles ont été initialement collectées, lorsque le traitement n'est fondé ni sur le consentement de la personne intéressée ni sur une norme qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés au paragraphe 1 de l'article 26, le responsable du traitement doit tenir compte, entre autres :

a) De l'existence éventuelle d'un lien entre les finalités pour lesquelles les données personnelles ont été collectées et les finalités du traitement ultérieur envisagé.

b) Du contexte dans lequel les données personnelles ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement.

c) De la nature des données personnelles, en particulier lorsque le traitement porte sur des catégories particulières de données personnelles, ou sur des données relatives aux condamnations pénales et aux infractions.

d) Des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées.

e) De l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.

Article 7. Conditions applicables au consentement

1. Lorsque le traitement repose sur le consentement de la personne intéressée, le responsable doit être en mesure de démontrer que celle-ci a donné son consentement.

2. Si le consentement de la personne intéressée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de consentement doit être présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation de la présente Loi n'est contraignante.

3. Lorsqu'il est envisagé de fonder le traitement des données pour une pluralité de finalités sur le consentement de la personne intéressée, il doit être indiqué de manière spécifique ou non équivoque que ce consentement est donné pour l'ensemble de ces finalités. Le consentement est présumé ne pas avoir été donné librement lorsqu'il n'est pas possible d'autoriser séparément les différentes opérations de traitement de données personnelles.

4. La personne intéressée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne intéressée doit en être informée avant de donner son consentement. Il doit être aussi simple de donner son consentement que de le retirer.

5. Pour déterminer si le consentement a été donné librement, il convient de tenir compte de la question de savoir si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données personnelles qui ne sont pas nécessaires à l'exécution dudit contrat. L'exécution du contrat ne peut pas être subordonnée au consentement de la personne concernée au traitement des données personnelles à des fins sans rapport avec le maintien, le développement ou le contrôle de la relation contractuelle.

6. Lorsque le consentement est nécessaire au traitement des données personnelles, la personne intéressée doit pouvoir exprimer sa volonté de manière libre, claire et après avoir été dûment informée.

Article 8. Conditions applicables au consentement du mineur en ce qui concerne les services de la société de l'information

1. Dans tous les domaines, et en particulier dans celui de l'offre directe de services de la société de l'information, le traitement des données personnelles d'un mineur n'est considéré comme licite que s'il est âgé d'au moins 16 ans ; pour les mineurs de moins de 16 ans, le traitement n'est considéré comme licite que si le consentement a été donné ou autorisé par le représentant légal du mineur, et uniquement dans la mesure où il a été donné ou autorisé. Dans ces cas, le responsable du traitement doit vérifier que le consentement a été donné ou autorisé par le représentant légal du mineur, compte tenu des moyens technologiques disponibles.

2. Le paragraphe précédent ne porte pas atteinte aux dispositions générales du droit des contrats, telles que les règles relatives à la validité, à la formation ou aux effets des contrats à l'égard d'un mineur.

Article 9. Traitement des catégories particulières de données à caractère personnel

1. Est interdit le traitement des données à caractère personnel qui révèlent l'origine ethnique ou raciale, les opinions politiques, les convictions religieuses ou philosophiques ou l'affiliation syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière univoque, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

2. Le paragraphe 1 ne s'applique pas lorsque l'une des circonstances suivantes est réunie :

a) La personne intéressée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiées.

b) Le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne intéressée en matière de droit du travail, de la sécurité sociale et de la protection sociale.

c) Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne intéressée ou d'une autre personne physique, dans le cas où la personne intéressée bénéficie de mesures d'accompagnement pour l'exercice de sa capacité.

d) Le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif poursuivant une finalité politique, philosophique, religieuse ou syndicale, et ce, à condition que le traitement se rapporte exclusivement aux membres actuels ou anciens de ces organismes ou aux personnes entretenant avec eux des contacts réguliers en liaison avec leurs finalités, et si les données à caractère personnel ne sont pas communiquées en dehors de ces organismes sans le consentement des personnes intéressées.

e) Le traitement porte sur des données à caractère personnel que la personne intéressée a manifestement rendues publiques.

f) Le traitement est nécessaire à la constatation, à l'exercice ou à la défense de réclamations, ou lorsque les tribunaux agissent dans l'exercice de leur fonction juridictionnelle.

g) Le traitement est nécessaire pour des motifs d'intérêt public essentiel, qui doit être proportionné à l'objectif poursuivi, respecter le droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des intérêts et des droits fondamentaux de la personne intéressée.

h) Le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail de la personne intéressée, de diagnostics médicaux, de la prestation d'assistance ou de traitements de nature sanitaire ou sociale, ou de la gestion des systèmes et des services d'assistance sanitaire et sociale, ou en vertu d'un contrat conclu avec un professionnel de la santé sous sa responsabilité ou soumis à une obligation de secret professionnel.

i) Le traitement est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité de l'assistance sanitaire et des médicaments ou des dispositifs médicaux, moyennant l'établissement de mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne intéressée, notamment le secret professionnel.

j) Le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, proportionnées à l'objectif poursuivi, dans le respect du droit à la protection des données, et en prévoyant des mesures appropriées et spécifiques pour la sauvegarde des intérêts et des droits fondamentaux de la personne intéressée.

3. La réglementation sectorielle applicable peut fixer des conditions requises ou introduire des conditions supplémentaires, y compris des limitations, relatives à la sécurité et à la confidentialité du traitement des catégories particulières de données à caractère personnel.

Article 10. Traitement des données à caractère personnel relatives aux condamnations et aux infractions pénales

Le traitement des données à caractère personnel relatives aux condamnations et aux infractions pénales, ou aux mesures de sûreté connexes, doit se limiter strictement aux données qui sont nécessaires et ne peut être effectué que lorsque la Loi l'autorise ou sous le contrôle des autorités publiques, moyennant des garanties appropriées assorties de mesures d'ordre technique et organisationnel. Un registre complet des données relatives aux condamnations et aux infractions pénales ne peut être tenu que sous le contrôle des autorités publiques compétentes en la matière.

Article 11. Traitement des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques

1. Le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques est soumis aux garanties appropriées pour les droits et libertés des personnes intéressées régies par la présente Loi. Ces garanties doivent assurer la mise en place de mesures techniques et organisationnelles, en particulier pour garantir le respect du principe de minimisation des données à caractère personnel. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière, à moins qu'elles ne puissent être atteintes au moyen d'un traitement ultérieur ne permettant pas ou plus l'identification des personnes intéressées.

2. Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, les organismes compétents pour l'exercice de la fonction statistique publique peuvent rejeter les demandes d'exercice présentées par les personnes intéressées concernant les droits prévus aux articles 18, 19, 22 et 24, sous réserve des conditions et garanties visées au paragraphe 1 ci-dessus, dans la mesure où ces droits risqueraient de rendre impossible ou d'entraver gravement la réalisation des finalités scientifiques, que ces dérogations soient nécessaires pour atteindre ces finalités et que les données soient couvertes par les garanties du secret statistique prévues par la réglementation applicable en la matière.

3. Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, les organismes compétents en la matière peuvent rejeter les demandes d'exercice présentées par les personnes intéressées concernant les droits prévus aux articles 18, 19, 22, 23 et 24, sous réserve des conditions et garanties visées au paragraphe 1, dans la mesure où ces droits risqueraient de rendre impossible ou d'entraver gravement la réalisation des finalités scientifiques, et que ces dérogations soient nécessaires pour atteindre ces finalités.

4. Lorsque le traitement visé aux paragraphes 2 et 3 sert dans le même temps une autre finalité, les dérogations qui y sont prévues ne s'appliquent qu'au traitement effectué aux fins prévues par ces paragraphes.

Article 12. Traitement et liberté d'expression et d'information

1. Dans la mesure où cela est nécessaire pour concilier le droit à la protection des données à caractère personnel avec la liberté d'expression et d'information, les dispositions de la lettre

d) du paragraphe 2 de l'article 5 et des articles 9, 10, 15 à 19 et 22 ainsi que du chapitre cinquième ne s'appliquent pas aux traitements effectués pour l'une des finalités suivantes :

a) D'expression universitaire, artistique ou littéraire.

b) D'exercice, à titre professionnel, de l'activité journalistique, dans le strict respect des règles déontologiques de ladite profession.

2. Les dispositions du paragraphe précédent s'entendent sans préjudice de l'application de la Loi qualifiée de protection civile des droits à l'intimité, à l'honneur et à l'image.

Article 13. Traitement ne nécessitant pas l'identification

1. Si les finalités pour lesquelles un responsable traite des données à caractère personnel n'imposent pas ou n'imposent plus l'identification d'une personne intéressée par ce responsable, celui-ci n'est pas tenu de conserver, d'obtenir ou de traiter des informations supplémentaires pour identifier l'intéressé à la seule fin de respecter la présente Loi.

2. Dans les cas visés au paragraphe 1, lorsque le responsable est à même de démontrer qu'il n'est pas en mesure d'identifier la personne intéressée, il doit, si possible, l'en informer. Dans ces cas, les articles 18 à 23 ne s'appliquent pas, sauf si la personne intéressée, aux fins d'exercer les droits que lui confèrent ces articles, fournit des informations supplémentaires permettant de l'identifier.

Article 14. Traitement des données de contact des entrepreneurs individuels et des professionnels

Sauf preuve contraire, le traitement des données à caractère personnel suivantes est présumé fondé sur les dispositions de la lettre

f) du paragraphe 1 de l'article 6 :

a) Les données relatives au personnel de personnes morales ou d'établissements commerciaux ou professionnels, lorsque les informations liées à la personne physique se rapportent uniquement à son appartenance à l'entreprise ou à l'établissement, ou à sa qualité professionnelle au sein de l'entreprise ou de l'établissement.

b) Les données de personnes physiques appartenant à des groupes professionnels, lorsque les données se rapportent uniquement à l'activité professionnelle de la personne et à son appartenance à un groupe professionnel déterminé.

Article 15. Transparence des informations, communication et modalités d'exercice des droits

1. Le responsable du traitement doit prendre les mesures appropriées pour fournir à la personne intéressée toutes les informations visées aux articles 16 et 17, ainsi que toute communication relative au traitement, en relation avec les droits d'accès, de rectification, d'effacement, à la limitation du traitement, d'opposition et à la portabilité des données, ainsi que relative aux décisions individuelles automatisées, y compris le profilage, et à la violation de la sécurité des données personnelles de la personne intéressée le cas échéant. Il doit le faire d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier si l'information est destinée spécifiquement à un mineur. Les informations doivent être fournies par écrit ou par d'autres moyens, y compris, le cas échéant, par voie électronique. Si la personne intéressée le demande en justifiant de son identité, les informations peuvent être fournies oralement par d'autres moyens. Le responsable du traitement est tenu d'informer la personne intéressée des moyens à sa disposition, aisément accessibles, pour exercer les droits qui lui reviennent. Dans les cas visés au paragraphe 2 de l'article 13, le responsable ne peut refuser de donner suite à la demande de la personne intéressée visant à exercer ses droits en vertu des articles 18 à 25, à moins qu'il ne puisse démontrer qu'il n'est pas en mesure d'identifier la personne intéressée.

2. Le responsable du traitement doit faciliter à la personne intéressée l'exercice de ses droits d'accès, de rectification, d'effacement, à la limitation du traitement, d'opposition et à la portabilité des données, ainsi que de ceux relatifs aux décisions individuelles automatisées, y compris le profilage, sauf s'il ne peut pas identifier la personne intéressée ou si les finalités pour lesquelles les données sont traitées n'exigent pas que la personne soit identifiée. Les droits sont exercés directement par la personne intéressée ou par l'intermédiaire d'un représentant. Les représentants légaux peuvent exercer, au nom des mineurs de 16 ans, les droits d'accès, de rectification, d'annulation, d'opposition ou tous autres droits qui peuvent leur revenir dans le cadre de la présente Loi.

3. Lorsqu'il en est requis en relation avec l'exercice des droits d'accès, de rectification, d'effacement, à la limitation du traitement, d'opposition et à la portabilité des données, le responsable du traitement doit fournir à la personne intéressée les informations relatives aux mesures qu'il a prises dans les meilleurs délais. Dans le cas de l'exercice des droits visés ci-dessus, le délai maximal de réponse est d'un mois, à compter du lendemain de la date de réception de la demande par le responsable du traitement. Ce délai peut être prolongé de deux mois supplémentaires, si nécessaire, compte tenu de la complexité et du nombre de demandes. Le responsable doit informer la personne intéressée de toute prolongation dans un délai d'un mois à compter de la réception de la demande, en indiquant les motifs du retard. Lorsque la personne intéressée présente la demande par voie électronique, les informations doivent, dans la mesure du possible, être fournies par ces mêmes moyens, à moins que la personne intéressée ne demande qu'il en soit autrement. Les délais précédents sont calculés de date à date, de telle sorte que si, dans le mois de l'échéance, il n'existe pas de jour équivalent à celui du début du calcul, le délai expire le premier jour du mois suivant et, si le dernier jour du délai est férié, le délai expire le premier jour non férié suivant.

4. Qu'il lui revienne de donner suite à l'exercice des droits ou de le refuser, le responsable du traitement doit répondre à la personne intéressée dans le délai prévu au paragraphe 3 ci-dessus. En cas de refus, il doit répondre de manière motivée, en indiquant les raisons pour lesquelles il ne donne pas suite ou de son refus. La personne intéressée peut toujours introduire une réclamation auprès de l'autorité de contrôle, préalablement à l'exercice d'actions judiciaires.

5. Lorsque la personne intéressée présente la demande par voie électronique, les informations doivent être fournies par ces mêmes moyens dans la mesure du possible. Les informations qui doivent être fournies aux personnes intéressées doivent être transmises de façon aisément visible, compréhensible et clairement lisible.

6. Les informations fournies en vertu des articles 16 et 17, ainsi que toute communication relative au traitement, en relation avec les droits de la personne intéressée, doivent être gratuites. Si les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut exiger le paiement de frais raisonnables, en fonction des coûts administratifs supportés pour fournir les informations ou la communication, ou pour prendre les mesures demandées, ou refuser de manière motivée de donner suite à la demande. L'exercice du droit d'accès peut être considéré comme répétitif s'il est exercé plus d'une fois au cours d'une période de six mois, à moins qu'il n'existe une cause légitime pour l'exercer. Le responsable du traitement doit démontrer le caractère manifestement infondé ou excessif de la demande.

7. Sans préjudice des traitements qui ne requièrent pas d'identification, lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande d'exercice des droits, il pourra demander les informations supplémentaires nécessaires pour confirmer l'identité de cette personne intéressée.

8. Les informations qui doivent être fournies aux personnes intéressées en vertu des articles 16 et 17 peuvent être transmises accompagnées d'icônes normalisées permettant de donner, d'une façon aisément visible, compréhensible et clairement lisible, un aperçu adéquat de l'ensemble du traitement prévu. Les icônes présentées sous format électronique doivent être lisibles par machine.

9. Le sous-traitant peut traiter, pour le compte du responsable, les demandes d'exercice de leurs droits formulées par les personnes intéressées si le contrat ou l'acte juridique qui les lie le prévoit.

10. La preuve de l'accomplissement de l'obligation de répondre à la demande d'exercice des droits formulée par la personne intéressée incombe au responsable du traitement.

11. Lorsque les normes applicables à certains traitements établissent un régime spécial qui affecte l'exercice des droits de la personne intéressée, il convient de s'en tenir aux dispositions de ces normes.

Article 16. Informations à fournir lorsque les données personnelles sont obtenues auprès de la personne intéressée

1. Lorsque les données personnelles relatives à la personne intéressée sont obtenues auprès de celle-ci, le responsable du traitement doit lui fournir, au moment de leur collecte, les informations suivantes :

a) L'identité et les coordonnées du responsable et, le cas échéant, de son représentant.

b) Les coordonnées du délégué à la protection des données, le cas échéant.

c) Les finalités du traitement auquel sont destinées les données personnelles et de la base juridique du traitement.

d) Les intérêts légitimes du responsable ou d'un tiers si le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les droits et libertés fondamentaux de la personne intéressée qui exigent une protection de ses données personnelles, notamment lorsque la personne intéressée est un mineur.

e) Les destinataires ou les catégories de destinataires des données personnelles, le cas échéant.

f) Le cas échéant, l'intention du responsable d'effectuer un transfert international des données personnelles collectées, et l'existence ou l'absence d'une décision d'adéquation conformément à l'article 43, ou, dans le cas des transferts visés à l'article 44 ou à l'article 45, paragraphe 2, la référence aux garanties adéquates ou appropriées et aux moyens d'en obtenir une copie, ou au fait qu'elles ont été fournies.

2. Outre les informations visées au paragraphe 1, le responsable du traitement doit fournir à la personne intéressée, au moment où les données personnelles sont obtenues, les informations suivantes, nécessaires pour garantir un traitement des données loyal et transparent :

a) Le délai pendant lequel les données personnelles seront conservées ; et, lorsque cela n'est pas possible, les critères utilisés pour déterminer ce délai.

b) Le droit de demander au responsable du traitement l'accès aux données personnelles relatives à la personne intéressée, leur rectification ou leur effacement, la limitation du traitement ou le droit de s'y opposer, ainsi que le droit à la portabilité des données.

c) Lorsque le traitement est fondé sur la lettre

a) du paragraphe 1 de l'article 6, ou sur la lettre

a) du paragraphe 2 de l'article 9, l'existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci.

d) Le droit d'introduire une réclamation auprès de l'autorité de contrôle.

e) Si la communication de données personnelles a un caractère légal ou contractuel, ou bien si elle conditionne la conclusion d'un contrat, ainsi que de si la personne intéressée est tenue de fournir les données personnelles, celle-ci étant informée dans ce cas des conséquences éventuelles de la non-fourniture de ces données.

f) L'existence de décisions automatisées, y compris le profilage ; au moins dans ces cas, des informations utiles concernant la logique sous-jacente ainsi que l'importance et les conséquences prévues de ce traitement pour la personne intéressée doivent lui être fournies.

3. Lorsque le responsable du traitement envisage d'effectuer un traitement ultérieur des données personnelles pour une finalité autre que celle pour laquelle elles ont été initialement collectées, le responsable du traitement doit fournir à la personne intéressée des informations au sujet de cette nouvelle finalité et toute autre information pertinente supplémentaire, conformément au paragraphe 2.

4. Les dispositions des paragraphes précédents ne s'appliquent pas lorsque, et dans la mesure où, la personne intéressée dispose déjà de ces informations.

Article 17. Informations à fournir lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne intéressée

1. Lorsque les données à caractère personnel n'ont pas été obtenues auprès de la personne intéressée, le responsable du traitement doit lui fournir les informations suivantes :

a) L'identité et les coordonnées du responsable et, le cas échéant, de son représentant.

b) Les coordonnées du délégué à la protection des données, s'il y en a un.

c) Les finalités et les traitements auxquels sont destinées les données à caractère personnel et de la base juridique du traitement.

d) Les catégories de données à caractère personnel traitées.

e) Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel.

f) Le cas échéant, l'intention du responsable d'effectuer un transfert international des données à caractère personnel collectées et l'existence ou l'absence d'une décision d'adéquation conformément à l'article 43, ou, dans le cas des transferts visés à l'article 44 ou à l'article 45, paragraphe 2, la référence aux garanties adéquates ou appropriées et aux moyens d'en obtenir une copie, ou au fait qu'elles ont été fournies.

2. Outre les informations visées au paragraphe 1, le responsable du traitement doit fournir à la personne intéressée les informations suivantes, nécessaires pour garantir un traitement loyal et transparent de ses données :

a) Le délai pendant lequel les données à caractère personnel seront conservées ou, lorsque cela n'est pas possible, les critères utilisés pour déterminer ce délai.

b) Les intérêts du responsable ou d'un tiers lorsque le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les droits et libertés fondamentaux de la personne intéressée qui exigent une protection des données à caractère personnel, notamment lorsqu'il s'agit d'un mineur.

c) Le droit de demander au responsable du traitement l'accès aux données à caractère personnel relatives à la personne intéressée, leur rectification ou leur effacement, la limitation de leur traitement ou le droit de s'y opposer, ainsi que le droit à la portabilité des données.

d) Lorsque le traitement est fondé sur la lettre

a) du paragraphe 1 de l'article 6, ou sur la lettre

a) du paragraphe 2 de l'article 9, l'existence du droit de retirer le consentement à tout moment, sans que cela porte atteinte à la licéité du traitement fondé sur le consentement effectué avant son retrait.

e) Le droit d'introduire une réclamation auprès de l'autorité de contrôle.

f) La source d'où proviennent les données à caractère personnel et, le cas échéant, si elles proviennent de sources accessibles au public.

g) L'existence de décisions automatisées, y compris le profilage ; et au moins dans ce cas, des informations utiles concernant la logique sous-jacente ainsi que l'importance et les conséquences prévues de ce traitement pour la personne intéressée doivent être fournies à celle-ci.

3. Le responsable du traitement doit fournir à la personne intéressée les informations visées aux paragraphes 1 et 2 :

a) Dans un délai maximal d'un mois après l'obtention des données à caractère personnel, eu égard aux circonstances particulières dans lesquelles ces données sont traitées.

b) Si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne intéressée, au plus tard au moment de leur première communication.

c) S'il est envisagé de communiquer les données à caractère personnel à un autre destinataire, au plus tard au moment de leur première communication.

4. Lorsque le responsable du traitement a l'intention d'effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle elles ont été collectées, il doit fournir à la personne intéressée, avant ce traitement ultérieur, des informations au sujet de cette autre finalité et toute autre information pertinente, conformément au paragraphe 2.

5. Les dispositions des paragraphes 1 à 4 ne s'appliquent pas lorsque :

a) La personne intéressée dispose déjà de ces informations.

b) La communication de ces informations se révèle impossible ou exigerait des efforts disproportionnés, notamment pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, sans préjudice de disposer de mesures techniques et organisationnelles destinées à garantir le respect du principe de minimisation des données à caractère personnel, pouvant inclure la pseudonymisation si ces finalités peuvent ainsi être atteintes ; ou si l'obligation prévue au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ; étant entendu que, dans ces cas, le responsable doit prendre des mesures appropriées pour protéger les droits, les libertés et les intérêts légitimes de la personne intéressée.

c) L'obtention ou la communication est expressément prévue par la réglementation à laquelle le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne intéressée.

d) Les données à caractère personnel doivent rester confidentielles en vertu d'une obligation de secret professionnel ou de nature statutaire.

6. Lorsque le responsable du traitement envisage le traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle elles ont été initialement collectées, le responsable du traitement doit fournir à la personne intéressée des informations au sujet de cette nouvelle finalité et toute autre information pertinente, conformément au paragraphe 2.

7. Les administrations publiques peuvent se communiquer des données à caractère personnel en informant la personne intéressée sans que son consentement soit nécessaire, pour autant que l'Administration publique requérante justifie que les données demandées sont nécessaires et proportionnées à l'exercice de ses compétences dans le cadre de l'instruction d'une procédure administrative ; ou qu'elles sont liées à des finalités scientifiques, historiques ou statistiques. Si l'Administration publique requérante ne justifie pas ce qui est exposé ci-dessus, l'Administration publique requise doit en refuser la communication.

Article 18. Droit d'accès de la personne intéressée

1. La personne intéressée a le droit d'obtenir du responsable du traitement, dans le délai fixé par le paragraphe 3 de l'article 15, la confirmation que des données personnelles la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, elle a le droit d'accéder à ces données ainsi qu'aux informations et actions suivantes :

a) Les finalités du traitement.

b) Les catégories de données personnelles concernées.

c) Les destinataires ou les catégories de destinataires auxquels les données personnelles ont été ou seront communiquées, en particulier en cas de transfert international.

d) La durée de conservation des données personnelles envisagée ; lorsque cela n'est pas possible, les critères utilisés pour déterminer cette durée.

e) Le droit de demander au responsable du traitement l'accès à ses données personnelles, leur rectification ou leur effacement, la limitation de leur traitement ou le droit de s'y opposer, ainsi que le droit à la portabilité des données.

f) Le droit d'introduire une réclamation auprès de l'autorité de contrôle.

g) Lorsque les données personnelles n'ont pas été collectées auprès de la personne intéressée, toute information disponible quant à leur source.

h) L'existence de décisions automatisées, y compris le profilage ; dans ces cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne elle-même doivent, au minimum, être fournies à la personne intéressée.

2. En cas de transfert international de données, la personne intéressée a le droit d'être informée des garanties appropriées relatives au transfert.

3. Le responsable du traitement doit fournir une copie des données personnelles faisant l'objet d'un traitement. Pour toute copie supplémentaire demandée par la personne intéressée, le responsable a le droit de percevoir une redevance raisonnable fondée sur les coûts administratifs. Lorsque la personne intéressée présente sa demande par voie électronique, et à moins que celui-ci ne demande qu'il en soit autrement, les informations doivent être fournies sous une forme électronique d'usage courant.

4. Le droit d'obtenir une copie visé au paragraphe 3 ne peut porter atteinte aux droits et libertés de tiers.

Article 19. Droit de rectification

1. La personne intéressée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données personnelles la concernant qui sont inexactes. La correction effective des données doit être communiquée à la personne intéressée dans le délai fixé par le paragraphe 3 de l'article 15.

2. Compte tenu des finalités du traitement, la personne intéressée a le droit d'obtenir que les données personnelles incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.

3. La personne intéressée doit indiquer dans sa demande les données auxquelles elle se réfère et la correction qui doit y être apportée. Elle doit en outre joindre à la demande, lorsque cela est nécessaire, les pièces justificatives de l'inexactitude ou du caractère incomplet des données faisant l'objet du traitement.

4. Le responsable du traitement doit notifier à chacun des destinataires auxquels les données personnelles ont été communiquées toute rectification de celles-ci, à moins qu'une telle notification se révèle impossible ou exige des efforts disproportionnés. Si la personne intéressée en fait la demande, le responsable doit l'informer de ces destinataires.

Article 20. Droit à l'effacement (« droit à l'oubli »)

1. La personne intéressée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, dans le délai fixé par le paragraphe 3 de l'article 15, l'effacement des données personnelles la concernant. Le responsable doit les effacer lorsque l'une des circonstances suivantes s'applique :

a) Les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière.

b) La personne intéressée retire le consentement sur lequel est fondé le traitement, et celui-ci ne repose sur aucun autre fondement juridique.

c) La personne intéressée s'oppose au traitement, sur la base du paragraphe 1 de l'article 24, et il n'existe pas d'autres motifs légitimes prévalant pour le traitement, ou lorsque la personne intéressée s'oppose au traitement sur la base du paragraphe 2 de l'article 24.

d) Les données personnelles ont fait l'objet d'un traitement illicite.

e) Les données personnelles doivent être effacées pour respecter une obligation légale.

f) Les données personnelles ont été collectées dans le cadre de l'offre directe de services de la société de l'information.

2. Si l'accès aux données personnelles s'effectue au moyen d'un moteur de recherche, le responsable du traitement doit déréférencer les données dans le délai fixé par le paragraphe 3 de l'article 15.

3. Si le responsable du traitement qui a rendu publiques les données personnelles, et est tenu de les effacer en vertu des dispositions du paragraphe 1, compte tenu des technologies disponibles et des coûts de mise en œuvre, le responsable du traitement doit prendre des mesures raisonnables, y compris d'ordre technique, pour informer les responsables qui traitent ces données que la personne intéressée a demandé l'effacement de tout lien vers ses données personnelles, ou de toute copie ou reproduction existante de celles-ci. Si la personne intéressée en fait la demande, le responsable doit l'informer de l'identité du destinataire de ses données.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque le traitement est nécessaire :

a) À l'exercice du droit à la liberté d'expression et d'information.

b) Pour respecter une obligation légale qui requiert le traitement de données ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable.

c) Pour des motifs d'intérêt public dans le domaine de la santé publique.

d) À des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l'effacement compromettrait gravement la réalisation des objectifs dudit traitement.

e) À la constatation, à l'exercice ou à la défense de droits en justice.

5. Le responsable du traitement doit notifier à chacun des destinataires auxquels les données personnelles ont été communiquées tout effacement de celles-ci, à moins qu'une telle notification se révèle impossible ou exige des efforts disproportionnés. Si la personne intéressée en fait la demande, le responsable doit l'informer de ces destinataires.

Article 21. Garantie des droits numériques

1. La protection des données personnelles de toutes les personnes physiques, quelle que soit leur nationalité ou leur résidence, est pleinement applicable sur Internet en ce qui concerne le traitement et l'utilisation des données, en préservant la vie privée et en sauvegardant les droits fondamentaux des personnes, essentiellement ceux relatifs à l'intimité, et en particulier si l'utilisateur est un mineur.

2. Tout utilisateur a droit à la neutralité d'Internet.

3. Toute personne a le droit d'accéder à Internet indépendamment de sa condition personnelle, sociale, économique ou géographique. Un accès universel, abordable, de qualité et non discriminatoire doit être garanti à l'ensemble de la population, en tenant compte en particulier de :

a) Un accès à Internet des hommes et des femmes qui doit tendre à surmonter la fracture de genre tant dans le domaine personnel que professionnel.

b) Un accès à Internet qui doit tendre à surmonter la fracture générationnelle, au moyen d'actions axées sur la formation et l'accès des personnes âgées.

c) Un accès à Internet qui doit être garanti dans des conditions d'égalité pour les personnes ayant des besoins particuliers.

4. Les utilisateurs ont droit à la sécurité des communications qu'ils transmettent et reçoivent par Internet.

5. Les fournisseurs de services Internet doivent proposer une offre transparente de services sans aucune discrimination pour des motifs techniques ou économiques et informer les utilisateurs de leurs droits.

Article 22. Droit à la limitation du traitement

1. La personne intéressée a le droit d'obtenir du responsable du traitement la limitation du traitement des données, dans le délai fixé par le paragraphe 3 de l'article 15, lorsque l'une des conditions suivantes est remplie :

a) La personne intéressée conteste l'exactitude des données personnelles, pendant un délai permettant au responsable d'en vérifier l'exactitude.

b) Le traitement est illicite et la personne intéressée s'oppose à l'effacement des données personnelles et exige à la place la limitation de leur utilisation.

c) Le responsable n'a plus besoin des données personnelles aux fins du traitement, mais celles-ci sont encore nécessaires à la personne intéressée pour la constatation, l'exercice ou la défense de réclamations.

d) La personne intéressée a exercé son droit d'opposition dans les termes fixés à l'article 24, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable prévalent sur ceux de la personne intéressée.

2. Lorsque le traitement de données personnelles a été limité conformément au paragraphe 1, ces données ne peuvent, à l'exception de leur conservation, être traitées qu'avec le consentement de la personne intéressée, ou pour la constatation, l'exercice ou la défense de réclamations, ou pour la protection des droits d'une autre personne physique ou morale, ou pour des motifs importants d'intérêt public.

3. Le fait que le traitement des données personnelles soit limité doit apparaître clairement dans les systèmes d'information du responsable. 4.Toute personne intéressée qui a obtenu la limitation du traitement conformément au paragraphe 1 doit être informée par le responsable avant que cette limitation ne soit levée.

5. Le responsable du traitement doit notifier à chacun des destinataires auxquels les données personnelles ont été communiquées toute limitation du traitement, à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés. Si la personne intéressée en fait la demande, le responsable doit l'informer de ces destinataires.

Article 23. Droit à la portabilité des données

1. Afin de renforcer encore davantage le contrôle sur ses propres données, lorsque le traitement est effectué à l'aide de procédés automatisés, la personne intéressée a droit à la portabilité de ses données. Ce droit consiste, pour la personne intéressée, à demander, recevoir et obtenir, dans un format structuré, couramment utilisé et lisible par machine, les données personnelles la concernant qu'elle a fournies à un responsable du traitement, y compris les données la concernant découlant de l'activité même du responsable du traitement, dans le délai fixé par le paragraphe 3 de l'article 15. Elle a le droit de les transmettre à un autre responsable sans que le responsable auquel elle les avait fournies y fasse obstacle, lorsque :

a) Le traitement est fondé sur le consentement ou sur un contrat.

b) Le traitement est effectué à l'aide de procédés automatisés.

2. Lorsqu'elle exerce son droit à la portabilité des données conformément au paragraphe 1 du présent article, la personne intéressée a le droit d'obtenir que les données personnelles soient transmises directement d'un responsable à un autre, lorsque cela est techniquement possible.

3. L'exercice du droit à la portabilité des données s'entend sans préjudice du droit à l'effacement. Ce droit ne s'applique pas au traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

4. L'exercice de ce droit ne doit pas porter atteinte aux droits et libertés de personnes autres que la personne intéressée.

Article 24. Droit d'opposition

1. Pour des raisons tenant à sa situation particulière et lorsque le responsable n'a pas obtenu les données directement auprès de la personne intéressée, celle-ci a le droit de s'opposer à ce que les données personnelles la concernant fassent l'objet d'un traitement, y compris le profilage. En cas d'opposition, dans le délai fixé par le paragraphe 3 de l'article 15, le responsable du traitement doit cesser de traiter ces données personnelles, ou justifier de motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne intéressée, ou pour la constatation, l'exercice ou la défense de réclamations.

2. Lorsque le traitement de données personnelles a pour objet la prospection, la personne intéressée a le droit de s'opposer à tout moment au traitement des données personnelles la concernant, y compris au profilage lié à ladite prospection ; dans ce cas, les données personnelles doivent cesser d'être traitées à ces fins dans le délai fixé par le paragraphe 3 de l'article 15.

3. Le droit d'opposition doit être explicitement mentionné et doit être présenté clairement et séparément de toute autre information, au plus tard au moment de la première communication avec la personne intéressée.

4. Si les données personnelles sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, la personne intéressée a le droit, pour des raisons tenant à sa situation particulière, de s'opposer au traitement de données personnelles la concernant, à moins que le traitement ne soit nécessaire à l'exécution d'une mission accomplie pour des motifs d'intérêt public.

Article 25. Décisions individuelles automatisées et profilage

1. Toute personne intéressée a le droit de ne pas faire l'objet d'une décision produisant des effets juridiques la concernant, fondée exclusivement sur un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité, y compris le profilage.

2. Le paragraphe 1 ne s'applique pas lorsque cette décision :

a) Est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne intéressée et le responsable du traitement.

b) Est autorisée par une norme et que des mesures appropriées ont été établies pour protéger les droits et libertés et les intérêts légitimes de la personne intéressée.

c) Est fondée sur le consentement explicite de la personne intéressée.

3. Les décisions visées au paragraphe 2, lettres

a) et

c) ne doivent pas être fondées sur les catégories particulières de données personnelles visées à l'article 9, à moins que les dispositions des lettres

a) ou

g) du paragraphe 2 de l'article 9 ne s'appliquent et que des mesures appropriées n'aient été prises pour protéger les droits et libertés et les intérêts légitimes de la personne intéressée.

4. Dans les cas visés au paragraphe 2, lettres

a) et c), le responsable du traitement doit adopter les mesures appropriées pour protéger les droits et libertés et les intérêts légitimes de la personne intéressée ; au minimum, le droit d'obtenir une intervention humaine de la part du responsable, d'exprimer son point de vue et de contester la décision.

5. Une personne mineure ne peut faire l'objet d'une décision fondée exclusivement sur un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité, y compris le profilage, produisant des effets juridiques la concernant.

Article 26. Limitations des droits de la personne intéressée

1. Seule une Loi peut limiter la portée des obligations et des droits régis aux articles 15 à 25 et 37, ainsi que de ceux établis à l'article 5 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 15 à 25, pour autant que l'essence des droits et libertés fondamentaux soit respectée et qu'il s'agisse d'une mesure nécessaire et proportionnée au fonctionnement d'une société démocratique, afin de garantir :

a) La sécurité de l'État.

b) La défense.

c) La sécurité publique.

d) La prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière, ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et leur prévention.

e) Un intérêt économique ou financier important, notamment dans les domaines fiscal, budgétaire et monétaire, de la santé publique et de la sécurité sociale.

f) La protection de l'indépendance de la justice et des procédures judiciaires.

g) La prévention et la détection de manquements aux règles déontologiques des professions réglementées, ainsi que les enquêtes et les poursuites en la matière.

h) Une mission de surveillance, de contrôle fiscal ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique dans les cas prévus aux lettres

a) à

e) et g).

i) La protection de la personne intéressée ou des droits et libertés d'autrui.

j) L'exécution des demandes de droit civil.

2. Toute norme adoptée dans le domaine déterminé par le paragraphe 1 doit contenir, au minimum, des dispositions spécifiques relatives :

a) À la finalité du traitement ou aux catégories de traitement.

b) Aux catégories de données personnelles concernées.

c) À l'étendue des limitations établies.

d) Aux garanties destinées à prévenir les accès et les transferts illicites ou abusifs.

e) À la détermination du responsable ou des catégories de responsables.

f) Aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée, des objectifs et des catégories du traitement.

g) Aux risques pour les droits et libertés des personnes intéressées.

h) Au droit des personnes intéressées d'être informées de la limitation, à moins que cela ne risque de nuire aux finalités de cette limitation.

Article 27. D evoirs et obligations du responsable du traitement

1. Compte tenu de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement doit garantir la mise en œuvre des mesures techniques et organisationnelles appropriées et doit être en mesure de démontrer que le traitement est conforme à la présente Loi et à ses normes d'application. Ces mesures doivent être réexaminées et actualisées si nécessaire.

2. Lorsqu'elles sont proportionnées au regard des activités de traitement, les mesures visées au paragraphe 1 doivent inclure la mise en œuvre, par le responsable du traitement, de politiques appropriées en matière de protection des données.

3. Le responsable du traitement peut déterminer les mesures techniques et organisationnelles dans un code de conduite en matière de protection des données personnelles, selon prévus à l'article 40. Une fois le code de conduite adopté par le responsable du traitement, ou sa modification ou son extension, le code est déposé auprès de l'Agence andorrane de protection des données.

4. L'adhésion à des codes de conduite ou à un mécanisme de certification approuvé conformément à la réglementation de l'Union européenne en matière de protection des données personnelles ayant une validité générale au sein de l'Union, peut servir à démontrer le respect des obligations par le responsable du traitement.

5. Lorsque deux responsables ou plus déterminent conjointement la finalité et les moyens du traitement, ils sont considérés comme responsables conjoints du traitement. Les responsables conjoints doivent définir de manière transparente et d'un commun accord leurs responsabilités respectives en ce qui concerne l'exercice des droits de la personne intéressée et leurs obligations de fourniture d'informations, sauf si, et dans la mesure où, leurs responsabilités respectives sont soumises à la réglementation spécifique qui leur est applicable. Cet accord peut désigner un point de contact pour les personnes intéressées, et doit refléter dûment les fonctions et les relations des responsables conjoints vis-à-vis des personnes intéressées. Les aspects essentiels de l'accord doivent être mis à la disposition des personnes intéressées. Indépendamment des conditions contenues dans l'accord entre les responsables conjoints, les personnes intéressées peuvent exercer leurs droits à l'égard de et, contre chacun des responsables.

Article 28. Protection des données dès la conception et par défaut

1. Compte tenu de l'état des connaissances techniques, du coût de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, le responsable doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour appliquer de manière effective les principes relatifs à la protection des données et assortir le traitement des garanties nécessaires.

2. Le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées, tant en ce qui concerne la quantité de données à caractère personnel collectées et l'étendue du traitement que le délai de conservation et l'accessibilité. Ces mesures doivent notamment garantir que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne intéressée.

Article 29. Représentant des responsables ou sous-traitants du traitement non domiciliés dans la Principauté ou non constitués conformément aux lois de la Principauté d'Andorre

1. Lorsque des responsables ou des sous-traitants du traitement non domiciliés dans la Principauté, ou non constitués conformément aux lois de la Principauté d'Andorre, utilisent des moyens de traitement situés sur le territoire andorran, automatisés ou non, ils doivent désigner auprès de l'Agence andorrane de protection des données un représentant établi dans la Principauté d'Andorre.

2. L'obligation prévue au paragraphe 1 du présent article ne s'applique pas :

a) Au traitement occasionnel, qui n'implique pas un traitement à grande échelle de catégories particulières de données à caractère personnel, ou de données relatives à des condamnations pénales et à des infractions, et qui n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, compte tenu de la nature, du contexte, de la portée et des objectifs du traitement ;

b) Aux autorités et aux organismes publics.

3. Le responsable ou le sous-traitant du traitement doit charger le représentant de répondre aux demandes concernant toutes les questions relatives au traitement.

4. La désignation d'un représentant du responsable ou du sous-traitant du traitement s'entend sans préjudice des actions qui peuvent être intentées contre ce responsable ou ce sous-traitant du traitement et de l'exercice par le représentant de l'action récursoire auprès de qui de droit.

Article 30. Verrouillage des données à caractère personnel

1. Le responsable du traitement est tenu de verrouiller les données à caractère personnel lorsqu'il procède à leur rectification ou à leur effacement.

2. Le verrouillage des données à caractère personnel consiste en leur identification et leur réservation, avec l'adoption de mesures techniques et organisationnelles, afin d'en empêcher le traitement, y compris la visualisation, sauf pour la mise à disposition des données auprès des organes juridictionnels, du Ministère public ou des Administrations publiques compétentes, en particulier de l'autorité de contrôle, aux fins de la mise en jeu d'éventuelles responsabilités découlant du traitement et uniquement pendant le délai de prescription de celles-ci. À l'expiration de ce délai, les données doivent être détruites.

3. Les données verrouillées ne peuvent être traitées pour aucune finalité autre que celle indiquée au paragraphe précédent.

4. Lorsque, pour l'exécution de cette obligation, la configuration du système d'information ne permet pas le verrouillage ou requiert une adaptation impliquant un effort disproportionné, une copie sécurisée de l'information doit être réalisée de manière à ce qu'il existe une preuve numérique, ou d'une autre nature, permettant de justifier l'authenticité de celle-ci, la date du verrouillage et l'absence de manipulation des données pendant le verrouillage.

5. L'Agence andorrane de protection des données peut fixer des exceptions à l'obligation de verrouillage prévue au présent article, dans les cas où, compte tenu de la nature des données ou du fait qu'elles concernent un nombre particulièrement élevé de personnes concernées, leur simple conservation, même verrouillées, peut engendrer un risque élevé pour les droits des personnes concernées, ainsi que dans les cas où la conservation des données verrouillées peut impliquer un coût disproportionné pour le responsable du traitement.

Article 31. Sous-traitant du traitement de données personnelles

1. Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou du sous-traitant qui a accès à des données personnelles ne peut traiter ces données que sur instruction du responsable du traitement, sauf s'il y est tenu par une exigence légale.

2. Le responsable du traitement a le devoir de choisir un sous-traitant qui présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière que le traitement soit conforme aux conditions requises de la présente Loi et garantisse la protection des droits de la personne intéressée.

3. Le sous-traitant ne peut recruter un autre sous-traitant sans l'autorisation préalable, écrite, spécifique ou générale, du responsable du traitement. Le sous-traitant doit informer le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants et donner ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.

4. Le traitement effectué par le sous-traitant du traitement de données personnelles est régi par un contrat écrit qui lie le sous-traitant au responsable du traitement et qui définit, dans les termes définis par voie réglementaire, l'objet, la durée, la nature et la finalité du traitement, ainsi que le type de données personnelles, les catégories de personnes intéressées et les obligations et les droits du responsable du traitement. Le contrat doit prévoir, notamment, que le sous-traitant doit :

a) Traiter les données personnelles uniquement sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données personnelles vers un pays tiers ou à une organisation internationale, sauf s'il y est tenu en vertu de la réglementation qui lui est applicable. Dans ce cas, le sous-traitant doit informer le responsable du traitement de cette exigence légale avant le traitement, sauf si cette réglementation l'interdit pour des motifs importants d'intérêt public.

b) Veiller à ce que les personnes autorisées à traiter les données personnelles s'engagent à en respecter la confidentialité ou soient soumises à une obligation de confidentialité de nature statutaire.

c) Prendre toutes les mesures nécessaires en matière de sécurité du traitement.

d) Respecter les conditions prévues aux paragraphes 3 et 5 pour recruter un autre sous-traitant.

e) Aider le responsable du traitement, dans toute la mesure du possible, compte tenu de la nature du traitement et au moyen de mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes ayant pour objet l'exercice des droits des personnes intéressées prévus au chapitre troisième.

f) Aider le responsable du traitement à garantir le respect des obligations prévues aux articles 32, 33 et 35 à 37, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant.

g) Selon le choix du responsable du traitement, supprimer ou restituer toutes les données personnelles au terme de la prestation de services de traitement, et supprimer les copies existantes, à moins que la conservation des données personnelles ne soit nécessaire en vertu d'une obligation légale.

h) Mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article. En outre, il doit permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur autorisé par ce responsable, et y contribuer. Si le sous-traitant considère qu'une instruction enfreint la présente Loi et ses normes d'application, il doit en informer immédiatement le responsable du traitement.

5. Lorsqu'un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection des données que celles fixées dans le contrat entre le responsable du traitement et le sous-traitant doivent être imposées à cet autre sous-traitant au moyen d'un contrat écrit, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement soit conforme aux dispositions de la présente Loi. Si cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.

6. L'adhésion du sous-traitant à des codes de conduite ou à un mécanisme de certification approuvé conformément à la réglementation de l'Union européenne en matière de protection des données personnelles ayant une validité générale au sein de l'Union peut servir d'élément pour démontrer l'existence des garanties suffisantes visées aux paragraphes 2 et 5.

7. Sans préjudice de la conclusion d'un contrat individuel entre le responsable du traitement et le sous-traitant, le contrat visé aux paragraphes 4 et 5 peut être fondé, en tout ou en partie, sur les clauses contractuelles types visées au paragraphe 8 ou sur les clauses contractuelles types approuvées par la Commission européenne, y compris lorsqu'elles font partie d'une certification octroyée au responsable du traitement ou au sous-traitant conformément à la réglementation de l'Union européenne en matière de protection des données personnelles.

8. L'Agence andorrane de protection des données peut adopter des clauses contractuelles types pour les questions visées aux paragraphes 4 et 5.

9. Le contrat visé aux paragraphes 4 et 5 doit revêtir la forme écrite, y compris la forme électronique.

10. Sans préjudice du régime de sanctions prévu par la présente Loi, si un sous-traitant enfreint la présente Loi en déterminant les finalités et les moyens du traitement, il doit être considéré comme responsable du traitement pour ce qui concerne ledit traitement.

11. Dans le domaine du secteur public, les compétences propres à un sous-traitant peuvent être attribuées à un organe déterminé de l'Administration publique concernée ou à ses organismes rattachés ou dépendants au moyen de l'adoption d'une norme régissant lesdites compétences, qui doit comporter le contenu prévu au paragraphe 4.

Article 32. Analyse d'impact relative à la protection des données personnelles

1. Lorsqu'un type de traitement, en particulier s'il utilise de nouvelles technologies, et compte tenu de sa nature, de sa portée, de son contexte ou de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable, qu'il soit public ou privé, doit, avant le traitement, effectuer une analyse de l'impact des opérations de traitement sur la protection des données personnelles. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires.

2. Le responsable du traitement doit demander conseil au délégué à la protection des données, s'il en a désigné un, lorsqu'il effectue l'analyse d'impact relative à la protection des données.

3. L'analyse d'impact relative à la protection des données visée au paragraphe 1 doit être requise, en particulier, dans les cas suivants :

a) L'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard des personnes physiques ou les affectant de manière significative de façon similaire.

b) Le traitement à grande échelle des catégories particulières de données visées à l'article 9, ou de données personnelles relatives à des condamnations pénales et à des infractions visées à l'article 10.

c) La surveillance systématique à grande échelle d'une zone accessible au public.

4. L'Agence andorrane de protection des données doit établir et publier une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise, conformément au paragraphe 1.

5. L'Agence andorrane de protection des données peut également établir et publier la liste des types de traitement pour lesquels aucune analyse d'impact relative à la protection des données n'est requise.

6. L'analyse doit contenir au moins :

a) Une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement.

b) Une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard de leur finalité.

c) Une évaluation des risques pour les droits et libertés des personnes concernées visés au paragraphe 1.

d) Les mesures envisagées pour faire face aux risques, y compris les garanties, mesures de sécurité et mécanismes visant à assurer la protection des données personnelles et à apporter la preuve de la conformité à la présente Loi, compte tenu des droits et intérêts légitimes des personnes concernées et des autres personnes affectées.

7. Le respect des codes de conduite par les responsables ou sous-traitants concernés doit être dûment pris en compte lors de l'évaluation de l'impact des opérations de traitement effectuées par lesdits responsables ou sous-traitants, en particulier aux fins de l'analyse d'impact relative à la protection des données.

8. Le cas échéant, le responsable doit demander l'avis des personnes concernées ou de leurs représentants au sujet du traitement envisagé, sans préjudice de la protection des intérêts publics ou commerciaux ou de la sécurité des opérations de traitement.

9. Si nécessaire, le responsable doit procéder à un examen afin d'évaluer si le traitement est effectué conformément à l'analyse d'impact relative à la protection des données, au moins quand il se produit une modification du risque présenté par les opérations de traitement.

10. Les autres conditions dans lesquelles l'analyse est effectuée, ainsi que l'échelle des risques, sont fixées par voie réglementaire.

Article 33. Consultation préalable

1. Le responsable doit consulter l'Agence andorrane de protection des données préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données personnelles effectuée en vertu des dispositions de l'article 32 indique que le traitement présenterait un risque élevé si le responsable ne prenait pas de mesures pour l'atténuer.

2. Lorsque l'Agence andorrane de protection des données estime que le traitement visé au paragraphe 1 est susceptible d'enfreindre la présente Loi, en particulier lorsque le responsable n'a pas suffisamment identifié ou atténué le risque, elle doit, dans un délai de huit semaines à compter de la demande de consultation, fournir par écrit un avis au responsable et, le cas échéant, au sous-traitant, et elle peut faire usage de l'un quelconque des pouvoirs que lui confère la présente Loi. Ce délai peut être prolongé de six semaines, en fonction de la complexité du traitement envisagé. L'Agence andorrane de protection des données doit informer le responsable et, le cas échéant, le sous-traitant de cette prolongation dans un délai d'un mois à compter de la réception de la demande de consultation, et lui indiquer les motifs du retard. Ces délais peuvent être suspendus jusqu'à ce que l'Agence andorrane de protection des données ait obtenu les informations qu'elle a demandées pour les besoins de la consultation.

3. Lorsqu'il consulte l'Agence andorrane de protection des données conformément au paragraphe 1, le responsable du traitement doit lui communiquer les informations suivantes :

a) Le cas échéant, les responsabilités respectives du responsable, des responsables conjoints et des sous-traitants participant au traitement, en particulier pour le traitement au sein d'un groupe d'entreprises.

b) Les finalités et les moyens du traitement envisagé.

c) Les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées conformément à la présente Loi.

d) Le cas échéant, les coordonnées du délégué à la protection des données.

e) L'analyse d'impact relative à la protection des données personnelles prévue à l'article 32.

f) Toute autre information demandée par l'autorité de contrôle.

Article 34. Registre des activités de traitement

1. Les organes qui constituent l'Administration publique, y compris les organismes autonomes ou entités parapubliques, ainsi que toute entreprise ou organisation publique, qui sont responsables ou sous-traitants du traitement de données à caractère personnel, doivent tenir un registre des activités de traitement effectuées sous leur responsabilité.

2. Toute entreprise ou organisation privée qui sont responsables du traitement de données à caractère personnel ou sous-traitant, doit tenir, le cas échéant, un registre des activités de traitement effectuées sous sa responsabilité.

3. Chaque responsable et, le cas échéant, son représentant doivent tenir un registre des activités de traitement effectuées sous leur responsabilité. Ce registre doit contenir toutes les informations suivantes :

a) Le nom et les coordonnées du responsable. Le cas échéant, également du responsable conjoint, du représentant du responsable et du délégué à la protection des données.

b) Les finalités du traitement.

c) Une description des catégories de personnes concernées et des catégories de données à caractère personnel.

d) Les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales.

e) Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale. Dans le cas des transferts visés au paragraphe 2 de l'article 45, en outre, les documents attestant de l'existence de garanties appropriées.

f) Dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données.

g) Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées au paragraphe 1 de l'article 35.

4. Chaque sous-traitant et, le cas échéant, son représentant, qui tiennent le registre, doivent y indiquer toutes les catégories d'activités de traitement effectuées pour le compte d'un responsable. Le registre doit contenir :

a) Le nom et les coordonnées du ou des sous-traitants et de chaque responsable pour le compte duquel le sous-traitant agit et, le cas échéant, du représentant du responsable ou du sous-traitant et du délégué à la protection des données.

b) Les catégories de traitements effectués pour le compte de chaque responsable.

c) Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale. Dans le cas des transferts visés au paragraphe 2 de l'article 45, en outre, les documents attestant de l'existence de garanties appropriées.

d) Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées au paragraphe 1 de l'article 35.

5. Les registres doivent se présenter sous une forme écrite, y compris la forme électronique.

6. Lorsque le responsable ou le sous-traitant a désigné un délégué à la protection des données, ils doivent lui communiquer tout ajout, modification ou suppression dans le contenu des registres.

7. Le responsable ou le sous-traitant et, le cas échéant, leur représentant doivent mettre le registre à la disposition de l'Agence andorrane de protection des données lorsque cette autorité de contrôle en fait la demande.

8. Les obligations établies aux paragraphes 2 à 4 ne s'appliquent à aucune entreprise ni organisation comptant moins de 50 salariés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte sur les catégories particulières de données à caractère personnel mentionnées à l'article 9, ou sur les données à caractère personnel relatives aux condamnations pénales et aux infractions visées à l'article 10.

Article 35. Sécurité et confidentialité du traitement

1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable et le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris, entre autres, le cas échéant :

a) La pseudonymisation et le chiffrement des données à caractère personnel.

b) La capacité de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement.

c) La capacité de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique.

d) Une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles mises en place pour assurer la sécurité du traitement. Des mesures supplémentaires peuvent être établies par voie réglementaire.

2. Lors de l'évaluation du caractère approprié du niveau de sécurité, il convient de tenir compte en particulier des risques que présente le traitement de données, résultant notamment de la destruction, de la perte ou de l'altération, de manière accidentelle ou illicite, de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de la communication non autorisée de telles données ou de l'accès non autorisé à celles-ci.

3. L'application de codes de conduite ou d'un mécanisme de certification approuvé conformément à la réglementation de protection des données à caractère personnel de l'Union européenne ayant une validité générale au sein de l'Union peut servir d'élément pour démontrer le respect des conditions requises établies au paragraphe 1 du présent article.

4. Le responsable et le sous-traitant doivent prendre des mesures afin de garantir que toute personne agissant sous leur autorité et ayant accès à des données à caractère personnel ne peut traiter ces données que sur instruction du responsable, à moins d'y être obligée en vertu d'une exigence légale.

5. Outre les devoirs de secret professionnel conformément à la réglementation applicable, les responsables du traitement de données et les sous-traitants, ainsi que toutes les personnes intervenant dans l'une quelconque de ses phases, sont soumis au devoir de confidentialité, qui subsiste même après la fin de la relation de la personne obligée avec le responsable du traitement ou le sous-traitant.

Article 36. Notification d'une violation de la sécurité des données personnelles à l'autorité de contrôle

1. En cas de violation de la sécurité des données personnelles, le responsable du traitement doit la notifier à l'Agence andorrane de protection des données, sans retard injustifié et, si possible, dans un délai maximal de soixante-douze heures après en avoir pris connaissance, à moins qu'il soit improbable que cette violation de la sécurité constitue un risque pour les droits et les libertés des personnes physiques. Si la notification n'intervient pas dans le délai de soixante-douze heures, les motifs du retard doivent être justifiés.

2. Le sous-traitant doit notifier au responsable du traitement, sans retard, les violations de la sécurité des données personnelles dont il a connaissance.

3. La notification prévue au paragraphe 1 doit, au minimum :

a) Décrire la nature de la violation de la sécurité des données personnelles, y compris, si possible, les catégories et le nombre approximatif de personnes intéressées concernées, ainsi que les catégories et le nombre approximatif d'enregistrements de données personnelles concernés.

b) Communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.

c) Décrire les conséquences possibles de la violation de la sécurité des données personnelles.

d) Décrire les mesures prises ou proposées par le responsable du traitement pour remédier à la violation de la sécurité des données personnelles, y compris, le cas échéant, les mesures prises pour en atténuer les éventuelles conséquences négatives.

4. Si toutes les informations ne peuvent pas être fournies simultanément, dans la mesure où cela n'est pas possible, elles doivent être fournies de manière échelonnée sans retard injustifié.

5. Le responsable du traitement doit documenter toute violation de la sécurité des données personnelles, y compris les faits qui s'y rapportent, ses effets et les mesures correctrices qui ont été prises, afin de permettre à l'autorité de contrôle de vérifier le respect de la notification.

Article 37. Communication d'une violation de la sécurité des données personnelles à la personne intéressée

1. Lorsque la violation de la sécurité des données personnelles est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement doit la communiquer à la personne intéressée sans retard injustifié.

2. La communication à la personne intéressée visée au paragraphe précédent doit décrire, en des termes clairs et simples, la nature de la violation de la sécurité des données personnelles et doit contenir, au minimum, les informations et les mesures prévues aux lettres b),

c) et

d) du paragraphe 3 de l'article 36.

3. La communication à la personne intéressée visée au paragraphe 1 n'est pas nécessaire si l'une des conditions suivantes est remplie :

a) Le responsable du traitement a pris les mesures de protection techniques et organisationnelles appropriées et les a appliquées aux données personnelles concernées par la violation de la sécurité, en particulier celles qui rendent les données personnelles incompréhensibles pour toute personne qui n'est pas autorisée à y accéder, telles que le chiffrement.

b) Le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes intéressées n'est plus susceptible de se matérialiser.

c) Elle exige des efforts disproportionnés. Dans ce cas, il doit être procédé à une communication publique ou à une mesure similaire permettant d'informer les personnes intéressées de manière tout aussi efficace.

4. Lorsque le responsable n'a pas encore communiqué à la personne intéressée la violation de la sécurité des données personnelles, l'autorité de contrôle, après avoir examiné la probabilité que cette violation engendre un risque élevé, peut exiger du responsable qu'il y procède ou peut décider que l'une des conditions mentionnées au paragraphe précédent est remplie.

Article 38. Le délégué à la protection des données (DPD)

1. Les organes qui constituent l'Administration publique, y compris les organismes autonomes ou les entités parapubliques, doivent désigner un délégué à la protection des données. Sont expressément exclus de cette obligation les tribunaux agissant dans l'exercice de leur fonction juridictionnelle.

2. Toute entreprise ou organisation privée, qui est responsable du traitement de données personnelles ou sous-traitant du traitement de données de personnes physiques de manière automatisée pour prendre des décisions produisant des effets juridiques à l'égard des personnes physiques, qui traite à grande échelle des catégories particulières de données ou qui traite une quantité considérable de données personnelles au niveau national ou supranational susceptibles d'affecter un grand nombre de personnes concernées et pouvant comporter un risque élevé pour les droits et libertés des personnes concernées, en particulier lorsque les opérations de traitement entravent l'exercice de leurs droits, doit désigner un délégué à la protection des données.

3. Lorsque le responsable ou le sous-traitant du traitement est un organisme public, il peut désigner un seul délégué à la protection des données pour plusieurs de ces organismes, en fonction de leur structure organisationnelle et de leur taille. Un groupe d'entreprises peut également nommer un seul délégué à la protection des données, à condition qu'il soit facilement joignable à partir de chaque établissement.

4. Le responsable ou le sous-traitant du traitement doit communiquer les coordonnées du délégué à la protection des données à l'Agence andorrane de protection des données dans le délai de dix jours ouvrables suivant la date de sa nomination ; la cessation des fonctions des délégués à la protection des données doit également être communiquée dans tous les cas. L'Agence andorrane de protection des données tient une liste à jour des délégués à la protection des données.

5. Le délégué à la protection des données doit être désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit, de son expérience en matière de protection des données et de sa capacité à exercer les fonctions mentionnées au présent article.

6. Le délégué à la protection des données peut faire partie de l'effectif du responsable ou du sous-traitant du traitement ou exercer ses fonctions dans le cadre d'un contrat de services.

7. Les fonctions générales des délégués à la protection des données consistent à informer et conseiller le responsable ou le sous-traitant du traitement ainsi que les employés qui procèdent au traitement sur leurs obligations ; à contrôler les politiques du responsable ou du sous-traitant du traitement en matière de protection des données personnelles, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ; à dispenser des conseils en ce qui concerne l'analyse d'impact et à en vérifier l'exécution ; à coopérer avec l'autorité de contrôle ; et à faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 33, et à mener des consultations, le cas échéant, sur tout autre sujet.

8. Le délégué à la protection des données doit exercer ses fonctions en tenant dûment compte du risque associé aux opérations de traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Article 39. Fonction du délégué à la protection des données

1. Le responsable et le sous-traitant du traitement doivent veiller à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données personnelles.

2. Le responsable et le sous-traitant du traitement doivent aider le délégué à la protection des données à exercer les fonctions mentionnées au paragraphe 7 de l'article 38. Ils doivent fournir les ressources nécessaires pour exercer ces missions et pour accéder aux données personnelles et aux opérations de traitement, ainsi que pour entretenir ses connaissances spécialisées.

3. Le responsable et le sous-traitant du traitement doivent veiller à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice de ces missions. Le responsable ou le sous-traitant ne peut ni le relever de ses fonctions ni le pénaliser pour l'exercice de ses fonctions. Le délégué à la protection des données doit faire directement rapport au niveau hiérarchique le plus élevé du responsable ou du sous-traitant.

4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données personnelles et à l'exercice de leurs droits en vertu de la présente Loi.

5. Le délégué à la protection des données est tenu au secret ou à la confidentialité pour tout ce qui concerne l'exercice de ses fonctions.

6. Le délégué à la protection des données peut exécuter d'autres missions et fonctions. Le responsable ou le sous-traitant du traitement doit veiller à ce que ces missions et fonctions n'entraînent pas de conflit d'intérêts.

Article 40. Codes de conduite

1. L'Agence andorrane de protection des données doit promouvoir l'élaboration de codes de conduite destinés à contribuer à la bonne application de la présente Loi, compte tenu des caractéristiques propres aux différents secteurs de traitement et des besoins spécifiques des microentreprises et des petites et moyennes entreprises.

2. Les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent élaborer des codes de conduite, les modifier ou les proroger, aux fins de préciser les modalités d'application de la présente Loi en ce qui concerne, par exemple :

a) Le traitement loyal et transparent.

b) Les intérêts légitimes poursuivis par les responsables du traitement dans des contextes spécifiques.

c) La collecte des données personnelles.

d) La pseudonymisation des données personnelles.

e) Les informations communiquées au public et aux personnes concernées.

f) L'exercice des droits des personnes concernées.

g) Les informations communiquées aux mineurs et la protection de ces derniers, ainsi que les modalités d'obtention du consentement des représentants légaux des mineurs.

h) Les mesures et les procédures visées aux articles 27 et 28 et aux mesures visant à garantir la sécurité du traitement visées à l'article 35.

i) La notification des violations de la sécurité des données personnelles à l'autorité de contrôle et à la communication de ces violations aux personnes concernées.

j) Le transfert de données personnelles vers des pays tiers ou à des organisations internationales.

k) Les procédures extrajudiciaires et autres procédures de résolution des litiges permettant de résoudre les différends entre les responsables du traitement et les personnes concernées en ce qui concerne le traitement, sans préjudice du droit des personnes concernées d'introduire une réclamation auprès de l'autorité de contrôle et du droit à une protection juridictionnelle effective contre un responsable du traitement ou un sous-traitant.

3. Le code de conduite visé au paragraphe 2 doit comporter des mécanismes permettant à l'organisme prévu au paragraphe 1 de l'article 41, de procéder au contrôle obligatoire du respect de ses dispositions par les responsables du traitement ou les sous-traitants qui s'engagent à l'appliquer sans préjudice des missions et des pouvoirs de l'Agence andorrane de protection des données.

4. Les associations et autres organismes visés au paragraphe 2 qui envisagent d'élaborer un code de conduite, ou de modifier ou de proroger un code existant, doivent soumettre le projet de code ou la modification ou la prorogation à l'Agence andorrane de protection des données, conformément à la procédure établie par voie réglementaire. L'Agence andorrane de protection des données doit rendre un avis sur la conformité du projet de code ou de la modification ou de la prorogation à la présente Loi et, doit approuver ce projet de code ou cette modification ou prorogation si elle estime que les garanties offertes sont suffisantes. 5.Toutefois, les responsables du traitement ou les sous-traitants peuvent adhérer à des codes de conduite approuvés conformément à la réglementation de l'Union européenne en matière de protection des données personnelles qui sont d'application générale au sein de l'Union.

Article 41. Suivi des codes de conduite approuvés

1. Sans préjudice des missions et des pouvoirs de l'Agence andorrane de protection des données, le suivi du respect du code de conduite peut être assuré par un organisme disposant d'un niveau d'expertise approprié au regard de l'objet du code et agréé à cette fin par l'autorité de contrôle.

2. L'organisme visé au paragraphe 1 peut être agréé pour contrôler le respect d'un code de conduite si, cumulativement :

a) Il a démontré son indépendance et son expertise au regard de l'objet du code, à la satisfaction de l'autorité de contrôle compétente.

b) Il a établi des procédures lui permettant d'apprécier si les responsables du traitement et les sous-traitants concernés sont en mesure d'appliquer le code, de contrôler le respect de ses dispositions et d'examiner périodiquement son application.

c) Il a établi des procédures et des structures pour traiter les réclamations relatives aux violations du code ou à la manière dont un responsable du traitement ou un sous-traitant a appliqué ou applique le code, et pour rendre ces procédures et ces structures transparentes à l'égard des personnes concernées et du public.

d) Il a démontré, à la satisfaction de l'Agence andorrane de protection des données, que ses tâches et ses missions n'entraînent pas de conflit d'intérêts.

3. Les conditions requises pour l'agrément des organismes prévus au paragraphe 1 doivent être établies par voie réglementaire.

4. Sans préjudice des missions et des pouvoirs de l'Agence andorrane de protection des données et du régime de sanctions prévu par la présente Loi, en cas de violation du code par un responsable du traitement ou un sous-traitant, un organisme agréé au titre du paragraphe 1, doit prendre, sous réserve des garanties appropriées, les mesures qui s'imposent, y compris la suspension ou l'exclusion du contrevenant. Il doit informer l'Agence andorrane de protection des données de ces mesures et des raisons de celles-ci.

5. L'Agence andorrane de protection des données doit révoquer l'agrément de l'organisme si les conditions requises pour l'agrément ne sont pas remplies ou ont cessé de l'être, ou si les actions de l'organisme enfreignent la présente Loi.

6. Le présent article ne s'applique pas au traitement effectué par des autorités et des organismes publics.

Article 42. Principes généraux applicables aux transferts

1. Il ne peut être procédé à des communications internationales de données lorsque le pays ou l'organisation internationale de destination des données n'établit pas, dans sa réglementation en vigueur, un niveau de protection des données à caractère personnel équivalent, au minimum, à celui établi par la présente Loi.

2. Lors des transferts de données personnelles vers un pays tiers ou à une organisation internationale, il doit être garanti qu'il n'est pas porté atteinte au niveau de protection des personnes physiques établi par la présente Loi.

Article 43. T ransferts fondés sur une décision d'adéquation de l'UE ou sur la Convention 108+ du Conseil de l'Europe pour la protection des données ou vers des membres de l'UE

1. Le niveau de protection adéquat est déterminé par la publication au Journal officiel de l'Union européenne, et sur son site internet, de la liste des pays tiers, territoires et secteurs déterminés dans un pays tiers et des organisations internationales à l'égard desquels l'Union européenne a décidé qu'un niveau de protection adéquat est assuré, ou n'est plus assuré ; ou par la soumission effective aux dispositions de la Convention 108+ du Conseil de l'Europe pour la protection des personnes à l'égard du traitement des données à caractère personnel.

2. Un transfert de données à caractère personnel vers un pays tiers ou une organisation internationale peut avoir lieu lorsqu'un territoire ou un ou plusieurs secteurs déterminés de ce pays tiers ou de l'organisation internationale en question assurent un niveau de protection adéquat. Les États membres de l'Union européenne sont réputés disposer d'un niveau de protection adéquat.

Article 44. Transferts moyennant des garanties appropriées

1. En l'absence de détermination d'un niveau de protection adéquat par la publication au Journal officiel de l'Union européenne, ou par la soumission effective aux dispositions de la Convention 108+ du Conseil de l'Europe, le responsable ou le sous-traitant du traitement de données à caractère personnel ne peut les transférer vers un pays tiers ou une organisation internationale que s'il existe des garanties appropriées et si les personnes concernées disposent de droits opposables et d'actions légales effectives.

2. Les garanties appropriées ainsi que les droits opposables et les actions légales effectives des personnes concernées doivent être évalués par l'APDA en tenant compte, en particulier, de l'état de droit, du respect des droits de l'homme et des libertés fondamentales ; de la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ; de l'accès des autorités publiques aux données à caractère personnel, ainsi que de la mise en œuvre de cette législation ; des règles en matière de protection des données, des règles professionnelles et des mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou une autre organisation internationale qui sont respectées dans ce pays ou cette organisation internationale ; de la jurisprudence, ainsi que de la reconnaissance aux personnes concernées dont les données à caractère personnel sont transférées de droits effectifs et opposables et de recours administratifs et d'actions judiciaires qui soient effectifs. Sont également pris en considération les engagements internationaux pris par le pays tiers ou par l'organisation internationale en question, ou d'autres obligations découlant d'accords ou d'instruments juridiquement contraignants, notamment en ce qui concerne la protection des données à caractère personnel.

3. En particulier, la preuve de l'existence des garanties appropriées visées aux paragraphes précédents peut être apportée par l'adoption de :

a) Un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics.

b) Des règles d'entreprise contraignantes.

c) Des clauses types de protection des données adoptées par la Commission européenne ou par l'Agence andorrane de protection des données.

d) Un code de conduite, assorti d'engagements contraignants et exécutoires pris par le responsable ou le sous-traitant du traitement dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

e) Un mécanisme de certification approuvé conformément à la réglementation de l'Union européenne en matière de protection des données à caractère personnel ayant une validité générale au sein de l'Union, assorti d'engagements contraignants et exécutoires pris par le responsable ou le sous-traitant du traitement dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

4. Toutefois, la preuve de l'existence des garanties appropriées visées aux paragraphes 1 et 2 peut être apportée au moyen de :

a) Des clauses contractuelles entre le responsable ou le sous-traitant et le responsable, le sous-traitant ou le destinataire des données à caractère personnel dans le pays tiers ou l'organisation internationale.

b) Des dispositions intégrées dans des arrangements administratifs entre les autorités ou les organismes publics, qui prévoient des droits effectifs et opposables pour les personnes concernées.

Article 45. Dérogations pour des situations particulières

1. En l'absence de décision d'adéquation et de garanties appropriées, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou une organisation internationale ne peut être effectué que si l'une des conditions suivantes est remplie :

a) La personne intéressée a explicitement donné son consentement au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter en raison de l'absence de décision d'adéquation et de garanties appropriées ; en dehors du cadre des activités menées par les autorités publiques dans l'exercice de leurs prérogatives de puissance publique.

b) Le transfert est nécessaire à l'exécution d'un contrat entre la personne intéressée et le responsable du traitement ou à l'exécution de mesures précontractuelles prises à la demande de la personne intéressée ; en dehors du cadre des activités menées par les autorités publiques dans l'exercice de leurs prérogatives de puissance publique.

c) Le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne intéressée entre le responsable du traitement et une autre personne physique ou morale ; en dehors du cadre des activités menées par les autorités publiques dans l'exercice de leurs prérogatives de puissance publique.

d) Le transfert est nécessaire pour des motifs importants d'intérêt public.

e) Le transfert est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice.

f) Le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne intéressée ou d'autres personnes, lorsque celle-ci se trouve dans l'incapacité physique ou juridique de donner son consentement.

g) Le transfert a lieu au départ d'un registre public qui a pour objet de fournir des informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d'un intérêt légitime ; dans ce cas, le transfert ne doit pas porter sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes justifiant d'un intérêt légitime, le transfert ne doit être effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires.

2. En dehors du cadre des activités menées par les autorités publiques dans l'exercice de leurs prérogatives de puissance publique, en l'absence de décision d'adéquation et de garanties appropriées, et lorsqu'aucune des dérogations pour des situations particulières prévues au paragraphe 1 n'est applicable au transfert ou à un ensemble de transferts de données à caractère personnel, le transfert ne peut avoir lieu que s'il ne revêt pas de caractère répétitif, ne touche qu'un nombre limité de personnes intéressées et est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement, sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne intéressée, et si le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel. Dans ce cas, le responsable du traitement doit informer l'autorité de contrôle du transfert. Il doit également en informer la personne intéressée en lui communiquant les intérêts légitimes impérieux poursuivis et en lui fournissant, en outre, les informations visées aux articles 16 et 17.

3. Le responsable ou le sous-traitant du traitement de données à caractère personnel doivent consigner dans le registre des activités de traitement l'évaluation et les garanties appropriées visées au paragraphe 2.

4. Les dérogations pour des situations particulières doivent être interprétées de manière stricte et restrictive, afin d'éviter que leur application n'entraîne une quelconque violation des droits de la personne, en particulier du droit à la vie privée.

Article 46. Nature juridique et structure organique de l'Agence andorrane de protection des données

1. L'Agence andorrane de protection des données (APDA), a été créée en 2003 en tant qu'organisme public doté de la personnalité juridique propre, indépendant des administrations publiques et jouissant de la pleine capacité d'agir. Elle est une institution de droit public qui conforme son activité à l'ordre juridique public.

2. L'Agence andorrane de protection des données est constituée en autorité indépendante qui agit avec objectivité et en pleine indépendance vis-à-vis des administrations publiques andorranes dans l'exercice de ses fonctions.

3. L'Agence andorrane de protection des données est composée :

a) Du Chef de l'Agence ;

b) Du personnel inspecteur

c) Du personnel contractuel au service de l'Agence.

Article 47. Sans contenu

Article 48. Champ d'action

1. L'Agence andorrane de protection des données exerce son autorité de contrôle sur les traitements de données à caractère personnel et sur toute utilisation ultérieure de ces données, effectués dans la Principauté d'Andorre par les organes qui constituent l'Administration publique, y compris les organismes autonomes ou entités parapubliques ; et par les personnes et entités privées qui, conformément aux dispositions de la présente Loi, sont res ponsables du traitement et ont leur domicile dans la Principauté d'Andorre ou ont été constituées conformément aux lois de la Principauté d'Andorre.

2. En ce qui concerne les sous-traitants qui ont leur domicile dans la Principauté d'Andorre ou ont été constitués conformément aux lois de la Principauté d'Andorre, et indépendamment du domicile ou de la nationalité des responsables du traitement pour lesquels ils fournissent leurs services, l'Agence est compétente pour vérifier le respect de la présente Loi.

3. L'Agence andorrane de protection des données exerce également son autorité de contrôle sur les traitements de données effectués par les responsables du traitement qui ne sont pas domiciliés dans la Principauté d'Andorre ou n'ont pas été constitués conformément aux lois de la Principauté d'Andorre mais qui utilisent des moyens de traitement de données à caractère personnel situés en Andorre.

4. Relève également de la compétence de l'Agence la collaboration avec d'autres autorités et entités de contrôle en matière de données à caractère personnel d'autres pays.

5. L'Agence andorrane de protection des données prendra des mesures pour créer des mécanismes de coopération internationale facilitant l'application effective de la législation relative à la protection des données à caractère personnel, pour se prêter mutuellement assistance dans l'application de la législation relative à la protection des données à caractère personnel et pro mouvoir l'échange et la documentation législative et les pratiques en matière de protection des données.

Article 49. Compétences de l'Agence andorrane de protection des données

1. L'Agence andorrane de protection des données dispose, dans son domaine d'action, de compétences de surveillance du respect de la présente Loi, de proposition d'améliorations de la réglementation en matière de protection des données personnelles, de rédaction éventuelle de rapports facultatifs et consultatifs préalables aux traitements, d'information, de consultation, d'enregistrement, de contrôle, de contrôle fiscal, d'enquête, de décision, de décision et de sanction, ainsi que de coopération avec d'autres autorités de contrôle, conformément aux obligations que les conventions internationales souscrites par la Principauté d'Andorre établissent à l'égard de ce dernier aspect.

2. L'Agence andorrane de protection des données n'est pas compétente pour contrôler les opérations de traitement effectuées par les tribunaux dans l'exercice de leur fonction juridictionnelle.

3. L'Agence andorrane de protection des données peut proposer les améliorations qu'elle juge opportunes de la réglementation en matière de protection des données personnelles ; elle élabore un rapport annuel relatif à son activité et aux résultats qui en découlent. Le rapport annuel est public.

Article 50. Fonctions de l'Agence andorrane de protection des données

1. Sans préjudice des autres fonctions et pouvoirs que lui attribuent la présente loi et ses textes d'application, les fonctions de l'Agence andorrane de protection des données sont les suivantes :

a) Contrôler et garantir l'application de la présente loi.

b) Promouvoir la sensibilisation du public et sa compréhension des risques, en édictant les instructions et les recommandations nécessaires pour adapter les traitements de données personnelles aux principes de la législation en vigueur en matière de protection des données personnelles ; les activités destinées spécifiquement aux mineurs font l'objet d'une attention particulière.

c) Émettre des avis, à titre consultatif, lorsqu'ils sont demandés, sur les projets de loi, les projets de dispositions normatives que le Gouvernement élabore en vertu d'une délégation législative, les projets de règlements ou de dispositions de caractère général qui concernent la protection des données à caractère personnel.

d) Émettre ses avis sur d'autres lois ou normes qui concernent la vie privée des personnes physiques ainsi que les traitements et la sécurité des données à caractère personnel.

e) Répondre par écrit, dans un délai maximal de 15 jours ouvrables, conformément aux conditions établies par voie réglementaire, aux consultations que lui adressent les administrations publiques, les entités publiques et privées et les citoyens sur l'application de la législation en matière de protection des données à caractère personnel ; et coopérer avec d'autres autorités de contrôle.

f) Traiter les requêtes que lui adressent les personnes intéressées.

g) Fournir des informations sur les droits des personnes en matière de protection des données personnelles, notamment au moyen des campagnes de diffusion jugées appropriées et, à cet effet, établir les prévisions budgétaires correspondantes.

h) Publier la liste des pays et des organisations internationales qui disposent d'une protection adéquate en matière de données personnelles.

i) Traiter les consultations relatives aux communications internationales de données personnelles vers des pays ou des organisations internationales qui n'offrent pas un niveau de protection adéquat.

j) Enjoindre aux responsables du traitement et aux sous-traitants de données personnelles l'adoption des mesures nécessaires pour adapter le traitement de données personnelles à la législation en vigueur.

k) Traiter les réclamations qui lui sont adressées, enquêter, dans la mesure appropriée, sur l'objet de la réclamation et informer l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête est nécessaire.

l) Engager, instruire et statuer sur les procédures de sanction.

m) Demander en justice, le cas échéant, la cessation des traitements, à titre de mesure conservatoire ou de mesure définitive.

n) Élaborer et publier un rapport annuel relatif à son activité, accessible gratuitement.

2. L'Agence andorrane de protection des données doit faciliter l'introduction des réclamations prévues à la lettre

k) du paragraphe précédent par des mesures telles qu'un formulaire de réclamation pouvant également être rempli par voie électronique, sans exclure d'autres moyens de communication.

3. L'accomplissement des fonctions de l'Agence andorrane de protection des données doit être gratuit pour la personne intéressée et, le cas échéant, pour le délégué à la protection des données.

4. Lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, il peut être exigé un prix public raisonnable fondé sur les coûts administratifs, ou il peut être refusé de donner suite à la demande. La charge de démontrer le caractère manifestement infondé ou excessif de la demande incombe à l'autorité de contrôle.

Article 50 bis. Le Chef de l'Agence andorrane de protection des données

1. Le Chef de l'Agence dirige l'Agence andorrane de protection des données et en exerce la représentation légale et institutionnelle. Il exerce ses fonctions en toute indépendance, neutralité et objectivité, sans être soumis à aucun mandat impératif ni à aucune instruction.

2. Le Chef de l'Agence a la qualité d'autorité publique dans l'exercice de son activité.

3. Le Chef de l'Agence de protection des données est désigné par le Conseil général, à la majorité qualifiée des deux tiers au premier tour de scrutin. Si, lors d'un premier tour de scrutin, la majorité précédemment requise n'est pas atteinte, est élu le candidat qui, lors d'un second tour de scrutin, obtient le vote favorable de la majorité absolue.

4. Le Chef de l'Agence est nommé pour une période renouvelable de quatre ans. La nomination du Chef de l'Agence est publiée au Bulletin officiel de la Principauté d'Andorre. Une fois nommé, le Chef de l'Agence de protection des données doit prêter serment ou faire la promesse de respect devant le syndic général, dans la forme prévue par le Règlement du Conseil général.

5. Trois mois avant l'expiration du mandat, ou une fois celui-ci expiré en cas de cessation de fonctions ou de démission, le Conseil général ordonnera la publication au Bulletin du Conseil général ainsi qu'au Bulletin officiel de la Principauté d'Andorre d'un avis de convocation publique des candidats. La Commission législative compétente en la matière, constituée en comité de validation, évalue les capacités, les compétences, l'aptitude et les mérites des candidats, en entendant ceux qui remplissent les conditions requises minimales. La procédure d'élection sera régie par le Règlement du Conseil général.

6. Le Chef de l'Agence andorrane de protection des données doit être titulaire d'un diplôme équivalant au minimum au niveau 6 du Cadre andorran des qualifications (MAQ), et posséder la compétence, l'expérience et les aptitudes, notamment dans le domaine de la protection des données personnelles, nécessaires à l'accomplissement de ses fonctions et à l'exercice de ses pouvoirs.

7. Le Chef de l'Agence andorrane de protection des données doit s'abstenir de tout acte incompatible avec ses fonctions et ne peut, pendant la durée de son mandat, exercer aucune activité professionnelle incompatible, rémunérée ou non.

8. La fonction de Chef de l'Agence andorrane de protection des données est incompatible :

a) Avec celle de membre du Conseil général.

b) Avec l'exercice de toute autre fonction publique rattachée à l'une des institutions de l'Administration publique, que ce soit par élection, par nomination, en qualité de fonctionnaire ou par contrat.

c) Avec toute fonction de direction ou exécutive au sein de partis politiques, de syndicats et d'associations, d'organisations patronales et d'ordres professionnels, qu'ils soient nationaux ou étrangers.

d) Avec toute activité susceptible de compromettre l'indépendance et l'impartialité dans l'accomplissement des obligations, selon l'appréciation du Conseil général.

e) Avec l'exercice de sa profession ou de toute autre activité rémunérée.

9. Le Chef de l'Agence andorrane de protection des données perd sa qualité pour les causes suivantes :

a) Par décès.

b) Par renonciation expresse, faite par écrit, devant le syndic général.

c) Par expiration du délai de son mandat.

d) Par interdiction d'exercer des fonctions publiques prononcée par une décision judiciaire définitive.

e) Par condamnation définitive pour délit.

f) Par incapacité permanente survenue pour l'exercice de ses fonctions

g) Par incompatibilité

h) Pour conduite irrégulière grave et pour manquement aux devoirs et obligations inhérents aux fonctions propres à sa charge. Sont considérés comme conduite irrégulière grave les cas qualifiés de faute très grave dans la Loi de la fonction publique qui lui sont applicables conformément à son statut défini dans la présente Loi. La perte de sa qualité, dans les cas prévus aux lettres f),

g) et h), requerra l'accord de l'Assemblée plénière du Conseil général, en séance publique, à la majorité qualifiée des deux tiers, après audition à huis clos devant la Commission législative compétente en matière de protection des données.

10. Le Chef de l'Agence andorrane de protection des données est soumis au devoir de secret professionnel, tant pendant son mandat qu'après celui-ci, en ce qui concerne les informations confidentielles dont il a connaissance dans l'accomplissement de ses fonctions ou dans l'exercice de ses pouvoirs. Pendant son mandat, ce devoir de secret professionnel s'applique en particulier aux informations reçues de personnes physiques concernant des infractions à la présente Loi.

Article 50 ter. Les fonctions du Chef de l'Agence

Il appartient au Chef de l'Agence :

a) D'édicter les instructions et les recommandations nécessaires pour adapter les traitements de données personnelles aux principes de la législation en vigueur en matière de protection des données personnelles.

b) De coopérer avec d'autres autorités de contrôle.

c) De statuer sur les réclamations formulées dans un délai raisonnable.

d) De statuer sur les dossiers de sanction, ouverts et instruits par le personnel inspecteur.

e) D'exercer le pouvoir disciplinaire à l'égard du personnel au service de l'Agence dans les termes prévus par la présente loi.

f) De demander en justice, le cas échéant, la cessation des traitements, à titre de mesure conservatoire ou de mesure définitive.

g) D'attribuer et de conclure les contrats que requiert la gestion de l'Agence et d'en surveiller le respect et l'exécution dans les limites du budget de l'Agence.

h) D'approuver les dépenses et d'ordonner les paiements, dans les limites du budget des dépenses de l'Agence.

i) D'élaborer le projet de budget de l'Agence en vue de sa soumission au Conseil général.

j) D'élaborer le rapport annuel de l'Agence.

k) Et les autres fonctions propres à l'Agence, sans préjudice de leur délégation au personnel inspecteur ou salarié.

Article 51. Régime du personnel

1. L'Agence andorrane de protection des données, dans l'exercice de son pouvoir d'auto-organisation, et dans le respect de la limite des dépenses de personnel inscrite dans les dotations annuelles du budget dont l'Agence est dotée, approuve la liste des postes de travail et en informe le Conseil général.

2. Le personnel au service de l'Agence andorrane de protection des données est composé de fonctionnaires ou de personnel contractuel. En tout état de cause, les fonctions qui impliquent l'exercice de l'autorité ou la participation directe ou indirecte à des prérogatives de puissance publique sont réservées au personnel fonctionnaire.

3. L'ensemble du personnel de l'Agence andorrane de protection des données est soumis au devoir de secret professionnel en ce qui concerne les informations confidentielles dont ils ont connaissance dans l'exercice de leurs fonctions, même après avoir cessé de les exercer. Le devoir de secret professionnel pendant l'exercice des fonctions s'applique en particulier aux informations reçues de personnes physiques en relation avec des infractions à la présente Loi.

Article 51 bis. Le personnel inspecteur

1. Le personnel inspecteur de l'Agence andorrane de protection des données est un personnel fonctionnaire affecté au service de l'Agence, et il assiste la personne Chef de l'Agence et collabore avec elle dans l'exercice des fonctions propres à l'Agence.

2. Le personnel inspecteur est soumis au régime établi par les dispositions de la Loi de la fonction publique pour tout ce qui concerne les droits, les obligations, la mobilité ainsi que la qualification des fautes et des sanctions du régime disciplinaire.

3. Les conditions requises et l'organisation de l'ensemble des épreuves de sélection du personnel inspecteur, ainsi que l'évaluation de leurs résultats, relèvent de la compétence d'un Comité technique de sélection qui est régi par les principes d'objectivité, d'impartialité et de professionnalisme, et qui est composé de la personne Chef de l'Agence, de deux membres de la Commission législative compétente en matière de protection des données du Conseil général désignés par la Commission elle-même, et de deux experts externes désignés par les membres de la Commission. Le Comité technique de sélection est présidé par le conseiller général désigné par la Commission. Les coûts découlant du recrutement d'experts par le Comité technique de sélection, ainsi que les autres coûts pouvant découler des activités dudit Comité technique de sélection, sont à la charge de l'Agence.

4. Les bases de la convocation de la procédure de sélection du personnel inspecteur, que ce soit sous la modalité de procédure de sélection externe ou de promotion interne, doivent inclure la formation académique, les compétences professionnelles, ainsi que l'expérience, dans le domaine de la protection des données personnelles, nécessaires à l'accomplissement et à l'exercice de ses fonctions.

5. La procédure d'ouverture, d'instruction et de décision des dossiers disciplinaires est régie par la Loi de la fonction publique. La personne Chef de l'Agence est chargée d'ouvrir et d'instruire les dossiers disciplinaires. La décision des dossiers disciplinaires relève de la compétence d'un Comité technique d'évaluation qui est régi par les principes d'objectivité, d'impartialité et de professionnalisme, et qui est composé de deux membres de la Commission législative compétente en matière de protection des données du Conseil général, désignés par la Commission elle-même, et de deux experts externes désignés par les membres de la Commission.

6. Le personnel inspecteur a la qualité d'agent de l'autorité publique dans l'exercice de ses fonctions et ils sont tenus de garder le secret sur les informations dont ils ont connaissance dans l'exercice de celles-ci, même après avoir cessé leurs fonctions.

7. Il incombe spécifiquement au personnel inspecteur de l'Agence :

a) De réaliser les inspections que leur confie la personne Chef de l'Agence, conformément aux dispositions de la présente loi.

b) D'ouvrir et d'instruire des dossiers de sanction.

8. La qualité de personnel inspecteur est incompatible avec toute activité susceptible de mettre en péril l'indépendance et l'impartialité dans l'accomplissement des obligations.

Article 51 ter. Le personnel contractuel

1. Le personnel contractuel assiste la personne Chef de l'Agence et collabore avec elle dans l'exercice des fonctions propres à l'Agence.

2. Le régime applicable au personnel contractuel est celui établi par la réglementation en vigueur en matière de travail, y compris en ce qui concerne le régime disciplinaire. Le pouvoir disciplinaire est exercé par la personne Chef de l'Agence, conformément aux garanties, formalités et à la gradation des fautes et des sanctions prévues par ladite réglementation.

3. Les postes réservés au personnel contractuel affecté à l'Agence sont pourvus au moyen d'une convocation publique et conformément aux principes d'égalité, de mérite et de capacité.

4. Les fonctions propres au personnel contractuel sont celles que la personne Chef de l'Agence lui confie.

5. La qualité de personnel contractuel est incompatible avec toute activité susceptible de mettre en péril l'indépendance et l'impartialité dans l'accomplissement des obligations.

Article 52. Régime économique

1. L'Agence andorrane de protection des données dispose des dotations annuelles établies dans les budgets du Conseil général.

2. Le contrôle externe de la gestion économique, financière et comptable de l'Agence incombe à la Cour des comptes.

3. Le contrôle financier du Conseil général, conformément à ses règles régissant son fonctionnement, contrôle l'ensemble des actes, documents et dossiers ayant une incidence sur les finances de l'Agence, laquelle doit conformer sa comptabilité au régime de la comptabilité publique en prévoyant un régime interne de signature conjointe pour la gestion des fonds.

4. Le contrôle ne porte que sur la légalité des précédents financiers et non sur le choix des priorités dans l'exécution du mandat.

Article 53. Budget

L'Agence andorrane de protection des données élabore chaque année un projet de budget, qui doit être suffisant, tant sur le plan des ressources économiques qu'humaines, pour exercer de manière efficace et efficiente ses compétences. Ce budget est présenté au Conseil général, dans le cadre de ses compétences, pour approbation.

Article 54. Régime patrimonial et de passation des marchés

1. L'acquisition, le bail (location) et la passation de marchés de biens et de services par l'Agence sont soumis à la législation en vigueur en matière de marchés publics. Elle a l'obligation de respecter les principes d'objectivité, de concurrence, de transparence et de publicité, dans toute procédure de recrutement de personnel.

2. L'Agence andorrane de protection des données dispose d'un patrimoine propre constitué des biens et des droits qu'elle acquiert.

3. L'organe de passation des marchés de biens et de services est la personne Chef de l'Agence, en tant qu'organe unipersonnel.

Article 55. Sans contenu

Article 56. Sans contenu

Article 57. Sans contenu

Article 58. Régime de rémunération

Le régime de rémunération de la personne Chef de l'Agence, du personnel fonctionnaire, ainsi que du personnel contractuel se conforment aux prévisions du budget de l'Agence approuvé par le Conseil général. En tout état de cause, le régime de rémunération de la personne Chef de l'Agence doit être approuvé par la Sindicatura, après avoir entendu la Junta de Presidents.

Article 59. Abstention et récusation

Les motifs d'abstention et de récusation de la personne Chef de l'Agence et du personnel fonctionnaire ainsi que du reste du personnel de l'Agence sont ceux prévus au Code de l'Administration.

Article 60. Pouvoirs d'autorisation et consultatifs de l'Agence andorrane de protection des données

L'Agence andorrane de protection des données dispose des pouvoirs d'autorisation et consultatifs indiqués ci-après :

a) Conseiller le responsable du traitement.

b) Émettre, de sa propre initiative ou sur demande, des avis à l'attention du Conseil général, du Gouvernement, ou d'autres institutions et organismes, ainsi que du public, sur toute question relative à la protection des données personnelles.

Article 61. Droit d'introduire une réclamation auprès de l'autorité de contrôle

1. Toute personne intéressée qui considère que le traitement de données personnelles la concernant enfreint la présente Loi a le droit d'introduire une réclamation auprès de l'Agence andorrane de protection des données, par voie électronique ou en personne, et cette autorité de contrôle évalue la recevabilité de la réclamation.

2. Si elle déclare la réclamation recevable, l'Agence andorrane de protection des données ouvre une phase d'actes préalables d'enquête afin de parvenir à une meilleure détermination des faits et des circonstances qui justifient l'instruction de la procédure ; et elle informe la personne réclamante de l'état d'avancement et de l'issue de sa réclamation.

3. Si l'Agence rejette la réclamation, elle doit le faire de manière motivée, et la décision de rejet ou le silence valant rejet, selon les délais prévus au Code de l'Administration, sont susceptibles de recours devant les tribunaux andorrans.

4. La personne intéressée peut agir personnellement ou être représentée par un mandataire.

5. Toutefois, la personne intéressée a le droit de mandater une entité, une organisation ou une association sans but lucratif, constituée conformément à la réglementation andorrane, dont les objectifs statutaires sont d'intérêt public et qui est active dans le domaine de la protection des droits et libertés des personnes intéressées en matière de protection de leurs données personnelles, pour qu'elle introduise en son nom la réclamation prévue au présent article et, en son nom, exerce les droits à une protection juridictionnelle effective contre l'Agence andorrane de protection des données et contre le responsable et le sous-traitant.

Article 62. Pouvoirs d'enquête de l'Agence andorrane de protection des données

L'Agence andorrane de protection des données dispose des pouvoirs d'enquête indiqués ci-après :

a) Ordonner au responsable et au sous-traitant du traitement de données personnelles et, le cas échéant, au représentant du responsable ou du sous-traitant, de fournir toute information nécessaire à l'accomplissement de ses missions.

b) Mener des enquêtes sous la forme d'audits de protection des données ; le cas échéant avec le concours d'experts nommés ad hoc de manière motivée par l'APDA.

c) Notifier au responsable ou au sous-traitant les violations alléguées de la présente Loi.

d) Obtenir du responsable ou du sous-traitant l'accès à toutes les données personnelles et à toutes les informations nécessaires à l'exercice de ses missions.

e) Obtenir l'accès à tous les locaux du responsable et du sous-traitant, y compris à toute installation et à tout moyen de traitement des données.

Article 63. Exercice des pouvoirs d'enquête et de contrôle fiscal de l'Agence andorrane de protection des données

1. L'Agence andorrane de protection des données dispose de pouvoirs d'enquête qu'elle peut exercer de sa propre initiative, ou à la demande de toute personne intéressée qui considère que ses droits ont été affectés ou qu'un responsable ou le sous-traitant a manqué aux obligations établies par la présente Loi.

2. Pour exercer ses missions et pouvoirs, l'Agence andorrane de protection des données peut s'adresser directement aux responsables du traitement ou aux sous-traitants ou aux représentants ou, le cas échéant, aux délégués à la protection des données. Tant les responsables que les sous-traitants ou les représentants, ainsi que les délégués à la protection des données, sont tenus de fournir aux inspecteurs de l'Agence toutes les informations qu'ils demandent et de leur faciliter l'accès aux locaux et aux ressources informatiques, ou d'autre nature, destinés au traitement des données lorsque la demande leur en est faite dans l'exercice de ce pouvoir de contrôle.

3. Dans le cadre de toute enquête, afin de réunir les preuves nécessaires, les inspecteurs de l'Agence, le cas échéant assistés d'experts externes conformément au paragraphe

b) de l'article précédent, peuvent se rendre sur le lieu où se trouvent les fichiers, constater le matériel et réaliser, s'il y a lieu, un reportage photographique ou par d'autres moyens.

4. Dans le cadre des contrôles fiscaux, l'Agence peut requérir la documentation ou les informations qu'elle juge pertinentes ; à cet égard, elle peut :

a) Demander la présentation ou l'envoi de documents et la remise de copies.

b) Examiner les supports d'information contenant des données personnelles.

c) Examiner les équipements matériels et logiciels.

d) Examiner les systèmes de transmission (cession) et d'accès aux données.

e) Réaliser des audits des systèmes informatiques afin de vérifier qu'ils sont conformes aux exigences de la Loi de protection des données personnelles.

f) Instruire et statuer sur les dossiers d'information ou de sanction qui s'imposent. Les pouvoirs d'enquête et de contrôle fiscal de l'Agence andorrane de protection des données peuvent être exercés pendant la réalisation des actes préalables d'enquête ou après l'ouverture d'une procédure de sanction.

Article 64. Procédure de contrôle fiscal

La procédure de contrôle fiscal est régie par les règles déterminées par voie réglementaire.

Article 65. Procédure de sanction

1. L'Agence andorrane de protection des données dispose de la capacité d'imposer les sanctions prévues par la présente Loi.

2. Pour imposer des sanctions pour des infractions commises en matière de protection des données personnelles, l'instruction d'un dossier est obligatoire, au cours de laquelle doivent être respectées les garanties et les conditions requises prévues par la présente Loi et les règlements qui la développent. La procédure de sanction doit respecter les dispositions de la réglementation en vigueur à tout moment relative à la procédure administrative de sanction.

3. La procédure de sanction comprend les phases suivantes :

a) Phase d'instruction : elle relève des inspecteurs de l'Agence andorrane de protection des données.

b) Phase de sanction : elle relève de la compétence du chef de l'Agence andorrane de protection des données.

4. L'ouverture d'une procédure d'instruction doit préciser les faits, l'identification de la personne ou de l'entité contre laquelle la procédure est dirigée, l'infraction qui a pu être commise et la sanction éventuelle. Au cours de la procédure de contrôle ou lors de l'ouverture de la procédure de sanction, l'autorité de contrôle peut décider, de manière motivée, l'application de mesures provisoires nécessaires et proportionnelles pour sauvegarder le droit à la protection des données personnelles.

5. En tout état de cause, il incombe aux inspecteurs de l'Agence andorrane de protection des données de transmettre au chef de l'Agence les propositions de sanctions découlant de leurs inspections, et il incombe au chef de l'Agence andorrane de protection des données de statuer sur ces propositions.

Article 66. Procédure d'urgence, mesures provisoires et de garantie des droits

1. Dans des circonstances extraordinaires et exceptionnelles, si l'Agence andorrane de protection des données considère qu'il est urgent d'intervenir pour protéger les droits et les libertés des personnes intéressées, elle peut adopter immédiatement, de manière motivée, des mesures provisoires destinées à produire des effets juridiques.

2. Au cours de la réalisation des actes préalables d'enquête ou une fois une procédure de sanction ouverte, l'Agence andorrane de protection des données peut également décider, de manière motivée, les mesures provisoires nécessaires et proportionnées pour sauvegarder le droit fondamental à la vie privée.

Article 67. Pouvoirs correctifs de l'Agence andorrane de protection des données

L'Agence andorrane de protection des données dispose, de manière cumulative, des pouvoirs correctifs indiqués ci-après :

a) Sanctionner tout responsable du traitement ou sous-traitant par un avertissement, si les opérations de traitement envisagées enfreignent la présente Loi.

b) Sanctionner tout responsable du traitement ou sous-traitant par un rappel à l'ordre, si les opérations de traitement ont enfreint la présente Loi.

c) Ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes d'exercice des droits de l'intéressé, en vertu des dispositions de la présente Loi.

d) Ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions de la présente Loi, de manière déterminée et dans un délai précisé, le cas échéant.

e) Ordonner au responsable du traitement de communiquer à la personne intéressée les violations de la sécurité des données personnelles.

f) Imposer une limitation temporaire ou définitive du traitement, y compris son interdiction.

g) Ordonner la rectification ou l'effacement de données personnelles ou la limitation du traitement, conformément aux articles 19, 20 et 22, ainsi que la notification de ces mesures aux destinataires auxquels les données personnelles ont été communiquées.

h) Ordonner la suspension des flux de données vers un destinataire situé dans un pays tiers ou vers une organisation internationale.

i) Imposer une amende administrative conformément à l'article suivant, en complément des mesures correctives, selon les circonstances de chaque cas.

Article 68. Conditions générales d'imposition des amendes administratives

1. Le non-respect de la présente Loi peut faire l'objet d'une amende administrative. Le montant de la sanction est fixé par l'autorité de contrôle, compte tenu des critères indiqués au paragraphe 2. Les amendes administratives pour les infractions à la présente Loi doivent être, dans chaque cas individuel, effectives, proportionnées et dissuasives.

2. Selon les circonstances de chaque cas individuel, les amendes administratives sont imposées en complément ou à la place des mesures correctives indiquées à l'article précédent. Pour décider de l'imposition d'une amende administrative et de son montant, il doit être tenu compte, dans chaque cas individuel :

a) De la nature, de la gravité et de la durée de l'infraction, compte tenu de la nature, de la portée ou de la finalité de l'opération de traitement, ainsi que du nombre de personnes intéressées concernées et du niveau des dommages et préjudices qu'elles ont subis.

b) Du caractère intentionnel ou négligent de l'infraction.

c) De toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer les dommages et préjudices subis par les personnes intéressées.

d) Du degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques ou organisationnelles qu'ils ont mises en œuvre en matière de protection des données et de sécurité du traitement.

e) De toute infraction antérieure commise par le responsable du traitement ou le sous-traitant.

f) Du degré de coopération avec l'autorité de contrôle en vue de remédier à l'infraction et d'en atténuer les éventuels effets négatifs.

g) Des catégories de données à caractère personnel concernées par l'infraction.

h) De la manière dont l'autorité de contrôle a eu connaissance de l'infraction, notamment si le responsable du traitement ou le sous-traitant a notifié l'infraction et, dans l'affirmative, dans quelle mesure et dans quel délai il l'a fait.

i) Du respect des mesures correctives, lorsqu'elles ont été ordonnées antérieurement à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet ;

j) De l'adhésion à des codes de conduite.

k) De toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement.

3. Si un responsable du traitement ou un sous-traitant viole délibérément ou par négligence, pour les mêmes opérations de traitement ou pour des transactions entre parties liées, plusieurs dispositions de la présente Loi, le montant total de l'amende administrative ne doit pas excéder le montant prévu pour les infractions les plus graves.

Article 69. Traitement de la procédure de sanction en cas de procès pénal

1. Si, au cours du traitement d'une procédure de sanction engagée en vertu de la présente Loi, apparaissent des indices de comportements susceptibles de constituer une infraction pénale, le chef de l'Agence andorrane de protection des données doit en informer l'organe juridictionnel compétent. Par ailleurs, la personne compétente pour engager la procédure ou, le cas échéant, l'instructeur doit suspendre immédiatement le traitement du dossier susmentionné, ce qui interrompt le décompte des délais de prescription et de péremption (caducité), conformément aux dispositions de l'article suivant.

2. La déclaration des faits prouvés que peut faire le tribunal pénal lie le chef de l'Agence andorrane de protection des données en tant qu'organe compétent pour rendre la décision de sanction.

Article 70. Prescription et péremption (caducité) des infractions

1. Les infractions très graves, graves et légères prévues par la présente Loi se prescrivent par trois ans, deux ans et un an, respectivement.

2. Le délai de prescription des infractions est décompté à partir de la date du fait générateur ou du jour où il aurait dû en être pris connaissance.

3. Le délai de prescription est interrompu par tout acte accompli à la connaissance formelle de la personne faisant l'objet de la procédure qui vise l'engagement, le traitement ou la décision de la procédure de sanction.

4. En cas de suspension du traitement de la procédure de sanction pour cause de question préjudicielle pénale, le délai de prescription de la faute demeure suspendu jusqu'à ce que le chef de l'Agence andorrane de protection des données ait connaissance formelle de la décision définitive rendue en matière pénale.

5. Les procédures de contrôle fiscal et de sanction engagées par l'Agence andorrane de protection des données sont frappées de péremption (caducité) six mois après le dernier acte accompli sans qu'un nouvel acte ait été accompli ou qu'une décision ait été rendue, pour une cause non imputable à la personne intéressée.

Article 71. Droit à indemnisation et responsabilité

1. Les sanctions régies par les articles suivants s'entendent sans préjudice de la responsabilité civile que peut encourir un responsable ou un sous-traitant du traitement pour les dommages et préjudices causés par le non-respect de la présente Loi.

2. Toute personne ayant subi des dommages et préjudices, matériels ou immatériels, du fait d'une infraction à la présente Loi a le droit d'obtenir du responsable ou du sous-traitant du traitement une indemnisation pour les dommages et préjudices subis.

3. Tout responsable qui participe à l'opération de traitement doit répondre des dommages et préjudices qu'il a causés, si cette opération n'est pas conforme aux dispositions de la présente Loi. Un sous-traitant du traitement ne doit répondre des dommages et préjudices causés par le traitement que lorsqu'il n'a pas respecté les obligations de la présente Loi qui incombent spécifiquement aux sous-traitants du traitement, ou lorsqu'il a agi en dehors des instructions du responsable ou contrairement à celles-ci.

4. Afin d'être exonérés de responsabilité, le responsable ou le sous-traitant du traitement doivent prouver qu'ils ne sont pas responsables du fait ayant causé les dommages et préjudices.

5. Lorsqu'un ou plusieurs responsables ou un ou plusieurs sous-traitants du traitement ont participé à la même opération de traitement et sont déclarés responsables du dommage ou préjudice causé par ce traitement, leur responsabilité peut être considérée comme solidaire, sans préjudice d'un éventuel droit de recours.

6. Les actions en justice exercées au titre du droit à indemnisation doivent être introduites devant les tribunaux compétents, dans un délai d'un an à compter de la date à laquelle la déclaration de la responsabilité du responsable ou du sous-traitant du traitement est devenue définitive.

7. Toute personne intéressée peut exercer son droit à la juridiction et accéder à une protection juridictionnelle effective, en agissant contre un responsable ou un sous-traitant du traitement, dans la Principauté d'Andorre si le responsable ou le sous-traitant du traitement est un organe qui constitue l'Administration publique andorrane, y compris les organismes autonomes ou entités parapubliques, ou si le responsable du traitement est une personne privée.

Article 72. Infractions

Constituent des infractions les actes et les comportements contraires à la présente Loi.

1. Sont considérées comme des infractions très graves :

a) Le traitement de données à caractère personnel qui enfreint l'article 5.

b) Le traitement de données à caractère personnel sans que soit remplie l'une des conditions de licéité du traitement établies à l'article 6.

c) Le non-respect des conditions de validité du consentement exigées par les articles 7 et 8.

d) L'utilisation des données pour une finalité qui n'est pas compatible avec la finalité pour laquelle elles ont été collectées, sans disposer du consentement de la personne intéressée ou d'une base légale à cet effet.

e) Le traitement de données à caractère personnel relevant des catégories visées à l'article 9, sans que soit réunie l'une des circonstances prévues par ledit précepte.

f) Le non-respect des articles 10 et 11 en ce qui concerne le traitement de données à caractère personnel relatives aux condamnations et aux infractions pénales ainsi qu'à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.

g) L'omission du devoir d'informer la personne intéressée sur le traitement de ses données à caractère personnel conformément aux articles 16 et 17.

h) L'exigence du paiement d'une redevance pour fournir à la personne intéressée des informations au titre des articles 16 et 17, ainsi que toute communication relative au traitement des données, en rapport avec ses droits, sauf dans les cas autorisés par la présente Loi.

i) Le fait d'empêcher ou d'entraver l'exercice des droits établis aux articles 18, 19, 20, 21, 22, 24 et 25, ou de ne pas y donner suite.

j) La violation des conditions requises nécessaires pour effectuer des transferts internationaux de données à caractère personnel vers un destinataire se trouvant dans un pays ou une organisation internationale qui ne remplit pas les conditions établies par la présente Loi.

k) Le non-respect des décisions rendues par l'Agence andorrane de protection des données ;

l) Le fait de ne pas faciliter l'accès du personnel habilité de l'autorité de protection des données aux données à caractère personnel, aux informations, aux locaux, aux équipements et aux moyens de traitement que l'autorité de protection des données requiert pour l'exercice de ses pouvoirs d'enquête.

m) La résistance ou l'obstruction à l'exercice de la fonction d'inspection de l'autorité de protection des données ;

n) L'inversion délibérée d'une procédure d'anonymisation afin de permettre la réidentification des personnes intéressées.

2. Sont considérées comme des infractions graves :

a) Le fait de confier le traitement de données à un tiers sans la formalisation préalable d'un contrat ou d'un autre acte juridique équivalent.

b) Le recrutement par un sous-traitant d'autres sous-traitants sans l'autorisation préalable du responsable du traitement, ou sans l'avoir informé des changements intervenus dans la sous-traitance lorsque cela est légalement exigible ; et, en général, toute infraction à l'article 31.

c) Le traitement de données à caractère personnel sans effectuer une analyse d'impact des opérations de traitement sur la protection des données à caractère personnel, conformément à l'article 32.

d) Le fait de ne pas disposer du registre des activités de traitement prévu à l'article 34.

e) Le non-respect des devoirs de notification ou de communication d'une violation de la sécurité des données à caractère personnel.

f) Le non-respect de la désignation d'un délégué à la protection des données lorsque sa nomination est exigible conformément à l'article 38.

g) Le non-respect de l'obligation de verrouillage des données.

h) Le traitement de données à caractère personnel d'un mineur sans obtenir son consentement ou celui de son représentant légal.

i) Le fait de ne pas justifier la réalisation d'efforts raisonnables pour vérifier la validité du consentement donné par un mineur ou par son représentant légal.

j) Le fait d'empêcher, d'entraver ou de ne pas donner suite de manière réitérée aux droits d'accès, de rectification, d'effacement, de limitation du traitement ou à la portabilité des données dans des traitements qui n'exigent pas l'identification de la personne intéressée, lorsque celle-ci, pour l'exercice de ces droits, a fourni des informations supplémentaires permettant son identification.

k) L'absence d'adoption des mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules sont traitées les données à caractère personnel nécessaires à chacune des finalités spécifiques du traitement ou qui sont appropriées pour garantir un niveau de sécurité adapté au risque du traitement.

l) Le non-respect, par suite d'un défaut de la diligence requise, des mesures techniques et organisationnelles qui ont été mises en place.

m) Le non-respect de l'obligation de désigner un représentant du responsable du traitement ou du sous-traitant non établi dans la Principauté d'Andorre.

n) L'absence de suite donnée par le représentant du responsable du traitement ou du sous-traitant aux demandes formulées par l'autorité de protection des données ou par les personnes intéressées.

o) Le fait de ne pas permettre la participation effective du délégué à la protection des données à toutes les questions relatives à la protection des données à caractère personnel, de ne pas lui apporter de soutien ou d'interférer dans l'exercice de ses fonctions.

3. Sont considérées comme des infractions légères :

a) Le non-respect du principe de transparence de l'information ou du droit à l'information de la personne intéressée du fait de ne pas fournir toutes les informations exigées par les articles 16 et 17.

b) Le non-respect de l'obligation d'informer la personne intéressée, lorsqu'elle l'a demandé, des destinataires auxquels ont été communiquées les données à caractère personnel rectifiées, effacées ou dont le traitement a été limité.

c) Le non-respect de l'obligation d'effacer les données relatives à une personne décédée.

d) L'absence de formalisation par les responsables conjoints du traitement de l'accord qui détermine leurs obligations, fonctions et responsabilités respectives à l'égard du traitement de données à caractère personnel et leurs relations avec les personnes intéressées.

e) Le fait de ne pas mettre à la disposition des personnes intéressées les grandes lignes de l'accord formalisé entre les responsables conjoints du traitement.

f) Le non-respect de l'obligation du sous-traitant d'informer le responsable du traitement de l'éventuelle violation, du fait d'une instruction reçue de celui-ci, des dispositions de la présente Loi.

g) Le non-respect par le sous-traitant des stipulations imposées dans le contrat qui régit le traitement ou des instructions du responsable du traitement, sauf s'il y est tenu conformément à la présente Loi.

h) Le fait de disposer d'un registre des activités de traitement qui ne comporte pas toutes les informations requises.

i) La notification incomplète, tardive ou défectueuse à l'autorité de protection des données des informations relatives à une violation de la sécurité des données à caractère personnel.

j) Le non-respect de l'obligation de documenter toute violation de la sécurité.

k) Le fait de ne pas publier les coordonnées du délégué à la protection des données, ou de ne pas les communiquer à l'autorité de protection des données, lorsque sa nomination est exigible.

l) Les autres actes et comportements contraires à la présente Loi qui ne sont pas considérés comme des infractions très graves ou graves.

Article 73. Sanctions

Le non-respect de la présente Loi est sanctionné compte tenu de la graduation établie au paragraphe 2 de l'article 68.

1. Les sanctions administratives pécuniaires pour des infractions considérées comme très graves sont sanctionnées par un montant compris entre 30.001 euros et 100.000 euros.

2. Les sanctions administratives pécuniaires pour des infractions considérées comme graves sont sanctionnées par un montant compris entre 15.001 euros et 30.000 euros.

3. Les sanctions administratives pécuniaires pour des infractions considérées comme légères sont sanctionnées par un montant compris entre 500 euros et 15.000 euros.

Article 74. Régime applicable à certains responsables du traitement ou sous-traitants

1. Le régime établi au présent article s'applique aux traitements dont sont responsables ou sous-traitants :

a) L'Administration générale et les organes placés sous sa direction.

b) Les comuns et les organes qui en dépendent.

c) Le Conseil général, le Conseil supérieur de la Justice, le Raonador del Ciutadà (Médiateur Public) et la Cour des comptes.

d) Les organes juridictionnels.

e) Les organismes publics et les entités parapubliques liées aux Administrations publiques ou qui en dépendent.

f) Les corporations de droit public lorsque les finalités du traitement se rapportent à l'exercice de prérogatives de droit public.

2. Par exception aux dispositions de l'article précédent, lorsque les responsables du traitement ou sous-traitants énumérés au paragraphe 1 commettent l'une des infractions prévues par la présente Loi, l'Agence andorrane de protection des données doit rendre une décision les sanctionnant par un avertissement. La décision doit également établir les mesures qu'il convient d'adopter pour que cesse le comportement ou que soient corrigés les effets de l'infraction qui aurait été commise. La décision doit être notifiée au responsable du traitement ou au sous-traitant, à l'organe dont il dépend hiérarchiquement et aux personnes concernées ayant la qualité de personnes intéressées, le cas échéant.

3. Sans préjudice des dispositions du paragraphe précédent, l'Agence andorrane de protection des données doit également proposer l'ouverture de poursuites disciplinaires lorsqu'il existe des indices suffisants à cet égard. Dans ce cas, la procédure et les sanctions à appliquer sont celles établies par la législation sur le régime disciplinaire ou de sanctions applicable. Toutefois, lorsque les infractions sont imputables à des autorités et à des dirigeants et qu'est établie l'existence de rapports techniques ou de recommandations relatifs au traitement qui n'ont pas été dûment pris en compte, la décision imposant la sanction doit inclure un avertissement mentionnant la fonction du responsable et doit ordonner la publication au Bulletin officiel de la Principauté d'Andorre.

4. Les décisions rendues en relation avec les mesures et actions visées aux paragraphes précédents doivent être communiquées à l'Agence andorrane de protection des données.

5. L'Agence andorrane de protection des données doit publier sur son site web, avec la séparation requise, les décisions relatives aux entités énumérées au paragraphe 1, avec indication expresse de l'identité du responsable du traitement ou du sous-traitant qui aurait commis l'infraction.

Disposition additionnelle. Mesures réglementaires d'application et modification de normes réglementaires

1. Le Gouvernement est chargé d'approuver, dans un délai de six mois à compter de la date de publication de la présente Loi, les dispositions réglementaires nécessaires à son application.

2. Le Gouvernement est chargé d'approuver, dans un délai de six mois à compter de la date de publication de la présente Loi, les modifications appropriées du Règlement de l'Agence andorrane de protection des données, afin d'adapter ses dispositions à la présente Loi.

Disposition transitoire Lorsque.

le responsable du traitement et le sous-traitant sont des organes constituant l'Administration publique, y compris les organismes autonomes ou les entités parapubliques, ils disposent d'un délai de six mois à compter de la date de publication de la présente Loi pour désigner le délégué à la protection des données (DPD).

Disposition abrogatoire première.

Est abrogée toute disposition contraire aux dispositions de la présente Loi sur les données personnelles et, en particulier, la Loi 15/2003, du 18 décembre, qualifiée de protection des données personnelles.

Disposition abrogatoire deuxième.

Est abrogée toute la réglementation relative aux fichiers et au Registre public d'inscription des fichiers de données personnelles, et le Registre lui-même est privé d'effet.

Disposition finale première. Modification de la Loi 2/2013, du 18 avril, de la fonction de la statistique publique

1. Le paragraphe 1 de l'article 11 de la Loi 2/2013, du 18 avril, de la fonction de la statistique publique, est modifié et rédigé dans les termes suivants : « Article 11. Demande et fourniture de l'information

1. Les organismes du système statistique peuvent solliciter des données pour recueillir des informations destinées à l'élaboration de statistiques publiques. […]. »

2. Le paragraphe 2 de l'article 15 de la Loi 2/2013, du 18 avril, de la fonction de la statistique publique, est modifié et rédigé dans les termes suivants : « Article 15. Données à caractère volontaire et protection du droit à l'intimité […]

2. Toute demande d'information à des fins statistiques doit mettre en balance l'intérêt public de la statistique publique concernée, afin de respecter le droit à l'honneur et à l'intimité personnelle et familiale, ainsi qu'à l'image, conformément aux dispositions de l'article 14 de la Constitution et à la réglementation relative à la protection des données personnelles en vigueur à tout moment. »

Disposition finale deuxième. Texte consolidé

Le Gouvernement est chargé de présenter, dans un délai maximal de trois mois à compter de l'entrée en vigueur de la présente Loi et dans les termes prévus à l'article 116 du Règlement du Conseil général, le Projet de consolidation de la Loi 2/2013, du 18 avril, de la fonction de la statistique publique, intégrant la législation en vigueur sur la matière réglementée.

Disposition finale troisième. Réglementation applicable au traitement de données à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales

1. Le Gouvernement est chargé de présenter, dans un délai maximal de deux ans à compter de l'entrée en vigueur de la présente Loi, un projet de loi relatif au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, selon le modèle prévu par la Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la Décision-cadre 2008/977/JAI du Conseil. Tant que la Loi prévue au paragraphe précédent n'est pas entrée en vigueur, le traitement de données à caractère personnel par les autorités compétentes à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, doit se conformer aux dispositions prévues aux paragraphes suivants.

2. Les données à caractère personnel doivent être :

a) Traitées de manière licite et loyale ;

b) Collectées pour des finalités déterminées, explicites et légitimes, et ne doivent pas être traitées d'une manière incompatible avec ces finalités ;

c) Adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;

d) Exactes et, si nécessaire, tenues à jour, avec l'adoption de mesures raisonnables pour que les données à caractère personnel inexactes au regard des finalités pour lesquelles elles sont traitées soient rectifiées ou effacées sans délai ;

e) Conservées sous une forme permettant l'identification des personnes intéressées pendant une durée n'excédant pas celle nécessaire au regard des finalités du traitement de données à caractère personnel, la nécessité de conserver les données devant être évaluée périodiquement ; et

f) Traitées de façon à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite et contre leur perte, leur destruction ou leur dégât d'origine accidentelle, au moyen de mesures techniques et organisationnelles appropriées.

3. Les personnes intéressées peuvent exercer les droits d'information, d'accès, de rectification, d'effacement des données à caractère personnel et de limitation de leur traitement auprès du responsable du traitement, qui peut refuser, en tout ou en partie, les demandes d'exercice de ces droits, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne intéressée, afin de :

a) Éviter de faire obstacle à des enquêtes, des recherches ou des procédures officielles ou judiciaires.

b) Éviter de nuire à la prévention, à la détection, à la recherche ou à la poursuite d'infractions pénales ou à l'exécution de sanctions pénales.

c) Protéger la sécurité publique.

d) Protéger la sécurité nationale.

e) Protéger les droits et libertés d'autrui.

4. En cas de refus ou de restriction des droits prévus au paragraphe précédent, la personne intéressée peut introduire une réclamation auprès de l'Agence andorrane de protection des données, en sa qualité d'organe indépendant chargé de contrôler le respect des dispositions des paragraphes 2 et 3 ci-dessus. Le responsable du traitement doit informer par écrit la personne intéressée, sans retard injustifié, de sa décision et des raisons qui la fondent, ainsi que de la possibilité d'introduire une réclamation auprès de l'autorité de protection des données et de former un recours juridictionnel. Les raisons du refus ou de la restriction peuvent être omises ou remplacées par une formulation neutre lorsque la révélation des motifs qui le fondent peut mettre en péril les finalités du traitement.

5. L'Agence andorrane de protection des données n'est pas compétente pour contrôler les opérations de traitement de données à caractère personnel effectuées dans le cadre du traitement, par les organes juridictionnels et le Ministère public, des actes ou procédures relevant de leur compétence. L'exercice des droits d'information, d'accès, de rectification, d'effacement et de limitation du traitement visés aux paragraphes précédents doit s'effectuer conformément à la réglementation de procédure pénale lorsque les données figurent dans une décision judiciaire, ou dans un registre, des actes d'instruction ou des dossiers traités au cours d'enquêtes et de procès pénaux.

Disposition finale quatrième. Entrée en vigueur de la Loi

La présente Loi entre en vigueur dans un délai de six mois à compter de sa publication au Bulletin officiel de la Principauté d'Andorre .