Article 32. Analyse d'impact relative à la protection des données personnelles

Article 32. Analyse d'impact relative à la protection des données personnelles

1. Lorsqu'un type de traitement, en particulier s'il utilise de nouvelles technologies, et compte tenu de sa nature, de sa portée, de son contexte ou de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable, qu'il soit public ou privé, doit, avant le traitement, effectuer une analyse de l'impact des opérations de traitement sur la protection des données personnelles. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires.

2. Le responsable du traitement doit demander conseil au délégué à la protection des données, s'il en a désigné un, lorsqu'il effectue l'analyse d'impact relative à la protection des données.

3. L'analyse d'impact relative à la protection des données visée au paragraphe 1 doit être requise, en particulier, dans les cas suivants :

a) L'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard des personnes physiques ou les affectant de manière significative de façon similaire.

b) Le traitement à grande échelle des catégories particulières de données visées à l'article 9, ou de données personnelles relatives à des condamnations pénales et à des infractions visées à l'article 10.

c) La surveillance systématique à grande échelle d'une zone accessible au public.

4. L'Agence andorrane de protection des données doit établir et publier une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise, conformément au paragraphe 1.

5. L'Agence andorrane de protection des données peut également établir et publier la liste des types de traitement pour lesquels aucune analyse d'impact relative à la protection des données n'est requise.

6. L'analyse doit contenir au moins :

a) Une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement.

b) Une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard de leur finalité.

c) Une évaluation des risques pour les droits et libertés des personnes concernées visés au paragraphe 1.

d) Les mesures envisagées pour faire face aux risques, y compris les garanties, mesures de sécurité et mécanismes visant à assurer la protection des données personnelles et à apporter la preuve de la conformité à la présente Loi, compte tenu des droits et intérêts légitimes des personnes concernées et des autres personnes affectées.

7. Le respect des codes de conduite par les responsables ou sous-traitants concernés doit être dûment pris en compte lors de l'évaluation de l'impact des opérations de traitement effectuées par lesdits responsables ou sous-traitants, en particulier aux fins de l'analyse d'impact relative à la protection des données.

8. Le cas échéant, le responsable doit demander l'avis des personnes concernées ou de leurs représentants au sujet du traitement envisagé, sans préjudice de la protection des intérêts publics ou commerciaux ou de la sécurité des opérations de traitement.

9. Si nécessaire, le responsable doit procéder à un examen afin d'évaluer si le traitement est effectué conformément à l'analyse d'impact relative à la protection des données, au moins quand il se produit une modification du risque présenté par les opérations de traitement.

10. Les autres conditions dans lesquelles l'analyse est effectuée, ainsi que l'échelle des risques, sont fixées par voie réglementaire.