Article 31. Sous-traitant du traitement de données personnelles

Article 31. Sous-traitant du traitement de données personnelles

1. Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou du sous-traitant qui a accès à des données personnelles ne peut traiter ces données que sur instruction du responsable du traitement, sauf s'il y est tenu par une exigence légale.

2. Le responsable du traitement a le devoir de choisir un sous-traitant qui présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière que le traitement soit conforme aux conditions requises de la présente Loi et garantisse la protection des droits de la personne intéressée.

3. Le sous-traitant ne peut recruter un autre sous-traitant sans l'autorisation préalable, écrite, spécifique ou générale, du responsable du traitement. Le sous-traitant doit informer le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants et donner ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.

4. Le traitement effectué par le sous-traitant du traitement de données personnelles est régi par un contrat écrit qui lie le sous-traitant au responsable du traitement et qui définit, dans les termes définis par voie réglementaire, l'objet, la durée, la nature et la finalité du traitement, ainsi que le type de données personnelles, les catégories de personnes intéressées et les obligations et les droits du responsable du traitement. Le contrat doit prévoir, notamment, que le sous-traitant doit :

a) Traiter les données personnelles uniquement sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données personnelles vers un pays tiers ou à une organisation internationale, sauf s'il y est tenu en vertu de la réglementation qui lui est applicable. Dans ce cas, le sous-traitant doit informer le responsable du traitement de cette exigence légale avant le traitement, sauf si cette réglementation l'interdit pour des motifs importants d'intérêt public.

b) Veiller à ce que les personnes autorisées à traiter les données personnelles s'engagent à en respecter la confidentialité ou soient soumises à une obligation de confidentialité de nature statutaire.

c) Prendre toutes les mesures nécessaires en matière de sécurité du traitement.

d) Respecter les conditions prévues aux paragraphes 3 et 5 pour recruter un autre sous-traitant.

e) Aider le responsable du traitement, dans toute la mesure du possible, compte tenu de la nature du traitement et au moyen de mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes ayant pour objet l'exercice des droits des personnes intéressées prévus au chapitre troisième.

f) Aider le responsable du traitement à garantir le respect des obligations prévues aux articles 32, 33 et 35 à 37, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant.

g) Selon le choix du responsable du traitement, supprimer ou restituer toutes les données personnelles au terme de la prestation de services de traitement, et supprimer les copies existantes, à moins que la conservation des données personnelles ne soit nécessaire en vertu d'une obligation légale.

h) Mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article. En outre, il doit permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur autorisé par ce responsable, et y contribuer. Si le sous-traitant considère qu'une instruction enfreint la présente Loi et ses normes d'application, il doit en informer immédiatement le responsable du traitement.

5. Lorsqu'un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection des données que celles fixées dans le contrat entre le responsable du traitement et le sous-traitant doivent être imposées à cet autre sous-traitant au moyen d'un contrat écrit, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement soit conforme aux dispositions de la présente Loi. Si cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.

6. L'adhésion du sous-traitant à des codes de conduite ou à un mécanisme de certification approuvé conformément à la réglementation de l'Union européenne en matière de protection des données personnelles ayant une validité générale au sein de l'Union peut servir d'élément pour démontrer l'existence des garanties suffisantes visées aux paragraphes 2 et 5.

7. Sans préjudice de la conclusion d'un contrat individuel entre le responsable du traitement et le sous-traitant, le contrat visé aux paragraphes 4 et 5 peut être fondé, en tout ou en partie, sur les clauses contractuelles types visées au paragraphe 8 ou sur les clauses contractuelles types approuvées par la Commission européenne, y compris lorsqu'elles font partie d'une certification octroyée au responsable du traitement ou au sous-traitant conformément à la réglementation de l'Union européenne en matière de protection des données personnelles.

8. L'Agence andorrane de protection des données peut adopter des clauses contractuelles types pour les questions visées aux paragraphes 4 et 5.

9. Le contrat visé aux paragraphes 4 et 5 doit revêtir la forme écrite, y compris la forme électronique.

10. Sans préjudice du régime de sanctions prévu par la présente Loi, si un sous-traitant enfreint la présente Loi en déterminant les finalités et les moyens du traitement, il doit être considéré comme responsable du traitement pour ce qui concerne ledit traitement.

11. Dans le domaine du secteur public, les compétences propres à un sous-traitant peuvent être attribuées à un organe déterminé de l'Administration publique concernée ou à ses organismes rattachés ou dépendants au moyen de l'adoption d'une norme régissant lesdites compétences, qui doit comporter le contenu prévu au paragraphe 4.