Article 33. Consultation préalable

Article 33. Consultation préalable

1. Le responsable doit consulter l'Agence andorrane de protection des données préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données personnelles effectuée en vertu des dispositions de l'article 32 indique que le traitement présenterait un risque élevé si le responsable ne prenait pas de mesures pour l'atténuer.

2. Lorsque l'Agence andorrane de protection des données estime que le traitement visé au paragraphe 1 est susceptible d'enfreindre la présente Loi, en particulier lorsque le responsable n'a pas suffisamment identifié ou atténué le risque, elle doit, dans un délai de huit semaines à compter de la demande de consultation, fournir par écrit un avis au responsable et, le cas échéant, au sous-traitant, et elle peut faire usage de l'un quelconque des pouvoirs que lui confère la présente Loi. Ce délai peut être prolongé de six semaines, en fonction de la complexité du traitement envisagé. L'Agence andorrane de protection des données doit informer le responsable et, le cas échéant, le sous-traitant de cette prolongation dans un délai d'un mois à compter de la réception de la demande de consultation, et lui indiquer les motifs du retard. Ces délais peuvent être suspendus jusqu'à ce que l'Agence andorrane de protection des données ait obtenu les informations qu'elle a demandées pour les besoins de la consultation.

3. Lorsqu'il consulte l'Agence andorrane de protection des données conformément au paragraphe 1, le responsable du traitement doit lui communiquer les informations suivantes :

a) Le cas échéant, les responsabilités respectives du responsable, des responsables conjoints et des sous-traitants participant au traitement, en particulier pour le traitement au sein d'un groupe d'entreprises.

b) Les finalités et les moyens du traitement envisagé.

c) Les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées conformément à la présente Loi.

d) Le cas échéant, les coordonnées du délégué à la protection des données.

e) L'analyse d'impact relative à la protection des données personnelles prévue à l'article 32.

f) Toute autre information demandée par l'autorité de contrôle.