Article 30. Verrouillage des données à caractère personnel

Article 30. Verrouillage des données à caractère personnel

1. Le responsable du traitement est tenu de verrouiller les données à caractère personnel lorsqu'il procède à leur rectification ou à leur effacement.

2. Le verrouillage des données à caractère personnel consiste en leur identification et leur réservation, avec l'adoption de mesures techniques et organisationnelles, afin d'en empêcher le traitement, y compris la visualisation, sauf pour la mise à disposition des données auprès des organes juridictionnels, du Ministère public ou des Administrations publiques compétentes, en particulier de l'autorité de contrôle, aux fins de la mise en jeu d'éventuelles responsabilités découlant du traitement et uniquement pendant le délai de prescription de celles-ci. À l'expiration de ce délai, les données doivent être détruites.

3. Les données verrouillées ne peuvent être traitées pour aucune finalité autre que celle indiquée au paragraphe précédent.

4. Lorsque, pour l'exécution de cette obligation, la configuration du système d'information ne permet pas le verrouillage ou requiert une adaptation impliquant un effort disproportionné, une copie sécurisée de l'information doit être réalisée de manière à ce qu'il existe une preuve numérique, ou d'une autre nature, permettant de justifier l'authenticité de celle-ci, la date du verrouillage et l'absence de manipulation des données pendant le verrouillage.

5. L'Agence andorrane de protection des données peut fixer des exceptions à l'obligation de verrouillage prévue au présent article, dans les cas où, compte tenu de la nature des données ou du fait qu'elles concernent un nombre particulièrement élevé de personnes concernées, leur simple conservation, même verrouillées, peut engendrer un risque élevé pour les droits des personnes concernées, ainsi que dans les cas où la conservation des données verrouillées peut impliquer un coût disproportionné pour le responsable du traitement.