Article 38. Le délégué à la protection des données (DPD)

Article 38. Le délégué à la protection des données (DPD)

1. Les organes qui constituent l'Administration publique, y compris les organismes autonomes ou les entités parapubliques, doivent désigner un délégué à la protection des données. Sont expressément exclus de cette obligation les tribunaux agissant dans l'exercice de leur fonction juridictionnelle.

2. Toute entreprise ou organisation privée, qui est responsable du traitement de données personnelles ou sous-traitant du traitement de données de personnes physiques de manière automatisée pour prendre des décisions produisant des effets juridiques à l'égard des personnes physiques, qui traite à grande échelle des catégories particulières de données ou qui traite une quantité considérable de données personnelles au niveau national ou supranational susceptibles d'affecter un grand nombre de personnes concernées et pouvant comporter un risque élevé pour les droits et libertés des personnes concernées, en particulier lorsque les opérations de traitement entravent l'exercice de leurs droits, doit désigner un délégué à la protection des données.

3. Lorsque le responsable ou le sous-traitant du traitement est un organisme public, il peut désigner un seul délégué à la protection des données pour plusieurs de ces organismes, en fonction de leur structure organisationnelle et de leur taille. Un groupe d'entreprises peut également nommer un seul délégué à la protection des données, à condition qu'il soit facilement joignable à partir de chaque établissement.

4. Le responsable ou le sous-traitant du traitement doit communiquer les coordonnées du délégué à la protection des données à l'Agence andorrane de protection des données dans le délai de dix jours ouvrables suivant la date de sa nomination ; la cessation des fonctions des délégués à la protection des données doit également être communiquée dans tous les cas. L'Agence andorrane de protection des données tient une liste à jour des délégués à la protection des données.

5. Le délégué à la protection des données doit être désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit, de son expérience en matière de protection des données et de sa capacité à exercer les fonctions mentionnées au présent article.

6. Le délégué à la protection des données peut faire partie de l'effectif du responsable ou du sous-traitant du traitement ou exercer ses fonctions dans le cadre d'un contrat de services.

7. Les fonctions générales des délégués à la protection des données consistent à informer et conseiller le responsable ou le sous-traitant du traitement ainsi que les employés qui procèdent au traitement sur leurs obligations ; à contrôler les politiques du responsable ou du sous-traitant du traitement en matière de protection des données personnelles, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ; à dispenser des conseils en ce qui concerne l'analyse d'impact et à en vérifier l'exécution ; à coopérer avec l'autorité de contrôle ; et à faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 33, et à mener des consultations, le cas échéant, sur tout autre sujet.

8. Le délégué à la protection des données doit exercer ses fonctions en tenant dûment compte du risque associé aux opérations de traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement.