Article 72. Infractions

Article 72. Infractions

Constituent des infractions les actes et les comportements contraires à la présente Loi.

1. Sont considérées comme des infractions très graves :

a) Le traitement de données à caractère personnel qui enfreint l'article 5.

b) Le traitement de données à caractère personnel sans que soit remplie l'une des conditions de licéité du traitement établies à l'article 6.

c) Le non-respect des conditions de validité du consentement exigées par les articles 7 et 8.

d) L'utilisation des données pour une finalité qui n'est pas compatible avec la finalité pour laquelle elles ont été collectées, sans disposer du consentement de la personne intéressée ou d'une base légale à cet effet.

e) Le traitement de données à caractère personnel relevant des catégories visées à l'article 9, sans que soit réunie l'une des circonstances prévues par ledit précepte.

f) Le non-respect des articles 10 et 11 en ce qui concerne le traitement de données à caractère personnel relatives aux condamnations et aux infractions pénales ainsi qu'à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.

g) L'omission du devoir d'informer la personne intéressée sur le traitement de ses données à caractère personnel conformément aux articles 16 et 17.

h) L'exigence du paiement d'une redevance pour fournir à la personne intéressée des informations au titre des articles 16 et 17, ainsi que toute communication relative au traitement des données, en rapport avec ses droits, sauf dans les cas autorisés par la présente Loi.

i) Le fait d'empêcher ou d'entraver l'exercice des droits établis aux articles 18, 19, 20, 21, 22, 24 et 25, ou de ne pas y donner suite.

j) La violation des conditions requises nécessaires pour effectuer des transferts internationaux de données à caractère personnel vers un destinataire se trouvant dans un pays ou une organisation internationale qui ne remplit pas les conditions établies par la présente Loi.

k) Le non-respect des décisions rendues par l'Agence andorrane de protection des données ;

l) Le fait de ne pas faciliter l'accès du personnel habilité de l'autorité de protection des données aux données à caractère personnel, aux informations, aux locaux, aux équipements et aux moyens de traitement que l'autorité de protection des données requiert pour l'exercice de ses pouvoirs d'enquête.

m) La résistance ou l'obstruction à l'exercice de la fonction d'inspection de l'autorité de protection des données ;

n) L'inversion délibérée d'une procédure d'anonymisation afin de permettre la réidentification des personnes intéressées.

2. Sont considérées comme des infractions graves :

a) Le fait de confier le traitement de données à un tiers sans la formalisation préalable d'un contrat ou d'un autre acte juridique équivalent.

b) Le recrutement par un sous-traitant d'autres sous-traitants sans l'autorisation préalable du responsable du traitement, ou sans l'avoir informé des changements intervenus dans la sous-traitance lorsque cela est légalement exigible ; et, en général, toute infraction à l'article 31.

c) Le traitement de données à caractère personnel sans effectuer une analyse d'impact des opérations de traitement sur la protection des données à caractère personnel, conformément à l'article 32.

d) Le fait de ne pas disposer du registre des activités de traitement prévu à l'article 34.

e) Le non-respect des devoirs de notification ou de communication d'une violation de la sécurité des données à caractère personnel.

f) Le non-respect de la désignation d'un délégué à la protection des données lorsque sa nomination est exigible conformément à l'article 38.

g) Le non-respect de l'obligation de verrouillage des données.

h) Le traitement de données à caractère personnel d'un mineur sans obtenir son consentement ou celui de son représentant légal.

i) Le fait de ne pas justifier la réalisation d'efforts raisonnables pour vérifier la validité du consentement donné par un mineur ou par son représentant légal.

j) Le fait d'empêcher, d'entraver ou de ne pas donner suite de manière réitérée aux droits d'accès, de rectification, d'effacement, de limitation du traitement ou à la portabilité des données dans des traitements qui n'exigent pas l'identification de la personne intéressée, lorsque celle-ci, pour l'exercice de ces droits, a fourni des informations supplémentaires permettant son identification.

k) L'absence d'adoption des mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules sont traitées les données à caractère personnel nécessaires à chacune des finalités spécifiques du traitement ou qui sont appropriées pour garantir un niveau de sécurité adapté au risque du traitement.

l) Le non-respect, par suite d'un défaut de la diligence requise, des mesures techniques et organisationnelles qui ont été mises en place.

m) Le non-respect de l'obligation de désigner un représentant du responsable du traitement ou du sous-traitant non établi dans la Principauté d'Andorre.

n) L'absence de suite donnée par le représentant du responsable du traitement ou du sous-traitant aux demandes formulées par l'autorité de protection des données ou par les personnes intéressées.

o) Le fait de ne pas permettre la participation effective du délégué à la protection des données à toutes les questions relatives à la protection des données à caractère personnel, de ne pas lui apporter de soutien ou d'interférer dans l'exercice de ses fonctions.

3. Sont considérées comme des infractions légères :

a) Le non-respect du principe de transparence de l'information ou du droit à l'information de la personne intéressée du fait de ne pas fournir toutes les informations exigées par les articles 16 et 17.

b) Le non-respect de l'obligation d'informer la personne intéressée, lorsqu'elle l'a demandé, des destinataires auxquels ont été communiquées les données à caractère personnel rectifiées, effacées ou dont le traitement a été limité.

c) Le non-respect de l'obligation d'effacer les données relatives à une personne décédée.

d) L'absence de formalisation par les responsables conjoints du traitement de l'accord qui détermine leurs obligations, fonctions et responsabilités respectives à l'égard du traitement de données à caractère personnel et leurs relations avec les personnes intéressées.

e) Le fait de ne pas mettre à la disposition des personnes intéressées les grandes lignes de l'accord formalisé entre les responsables conjoints du traitement.

f) Le non-respect de l'obligation du sous-traitant d'informer le responsable du traitement de l'éventuelle violation, du fait d'une instruction reçue de celui-ci, des dispositions de la présente Loi.

g) Le non-respect par le sous-traitant des stipulations imposées dans le contrat qui régit le traitement ou des instructions du responsable du traitement, sauf s'il y est tenu conformément à la présente Loi.

h) Le fait de disposer d'un registre des activités de traitement qui ne comporte pas toutes les informations requises.

i) La notification incomplète, tardive ou défectueuse à l'autorité de protection des données des informations relatives à une violation de la sécurité des données à caractère personnel.

j) Le non-respect de l'obligation de documenter toute violation de la sécurité.

k) Le fait de ne pas publier les coordonnées du délégué à la protection des données, ou de ne pas les communiquer à l'autorité de protection des données, lorsque sa nomination est exigible.

l) Les autres actes et comportements contraires à la présente Loi qui ne sont pas considérés comme des infractions très graves ou graves.