Disposition finale troisième. Réglementation applicable au traitement de données à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales

Disposition finale troisième. Réglementation applicable au traitement de données à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales

1. Le Gouvernement est chargé de présenter, dans un délai maximal de deux ans à compter de l'entrée en vigueur de la présente Loi, un projet de loi relatif au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, selon le modèle prévu par la Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la Décision-cadre 2008/977/JAI du Conseil. Tant que la Loi prévue au paragraphe précédent n'est pas entrée en vigueur, le traitement de données à caractère personnel par les autorités compétentes à des fins de prévention, de recherche, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, doit se conformer aux dispositions prévues aux paragraphes suivants.

2. Les données à caractère personnel doivent être :

a) Traitées de manière licite et loyale ;

b) Collectées pour des finalités déterminées, explicites et légitimes, et ne doivent pas être traitées d'une manière incompatible avec ces finalités ;

c) Adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;

d) Exactes et, si nécessaire, tenues à jour, avec l'adoption de mesures raisonnables pour que les données à caractère personnel inexactes au regard des finalités pour lesquelles elles sont traitées soient rectifiées ou effacées sans délai ;

e) Conservées sous une forme permettant l'identification des personnes intéressées pendant une durée n'excédant pas celle nécessaire au regard des finalités du traitement de données à caractère personnel, la nécessité de conserver les données devant être évaluée périodiquement ; et

f) Traitées de façon à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite et contre leur perte, leur destruction ou leur dégât d'origine accidentelle, au moyen de mesures techniques et organisationnelles appropriées.

3. Les personnes intéressées peuvent exercer les droits d'information, d'accès, de rectification, d'effacement des données à caractère personnel et de limitation de leur traitement auprès du responsable du traitement, qui peut refuser, en tout ou en partie, les demandes d'exercice de ces droits, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne intéressée, afin de :

a) Éviter de faire obstacle à des enquêtes, des recherches ou des procédures officielles ou judiciaires.

b) Éviter de nuire à la prévention, à la détection, à la recherche ou à la poursuite d'infractions pénales ou à l'exécution de sanctions pénales.

c) Protéger la sécurité publique.

d) Protéger la sécurité nationale.

e) Protéger les droits et libertés d'autrui.

4. En cas de refus ou de restriction des droits prévus au paragraphe précédent, la personne intéressée peut introduire une réclamation auprès de l'Agence andorrane de protection des données, en sa qualité d'organe indépendant chargé de contrôler le respect des dispositions des paragraphes 2 et 3 ci-dessus. Le responsable du traitement doit informer par écrit la personne intéressée, sans retard injustifié, de sa décision et des raisons qui la fondent, ainsi que de la possibilité d'introduire une réclamation auprès de l'autorité de protection des données et de former un recours juridictionnel. Les raisons du refus ou de la restriction peuvent être omises ou remplacées par une formulation neutre lorsque la révélation des motifs qui le fondent peut mettre en péril les finalités du traitement.

5. L'Agence andorrane de protection des données n'est pas compétente pour contrôler les opérations de traitement de données à caractère personnel effectuées dans le cadre du traitement, par les organes juridictionnels et le Ministère public, des actes ou procédures relevant de leur compétence. L'exercice des droits d'information, d'accès, de rectification, d'effacement et de limitation du traitement visés aux paragraphes précédents doit s'effectuer conformément à la réglementation de procédure pénale lorsque les données figurent dans une décision judiciaire, ou dans un registre, des actes d'instruction ou des dossiers traités au cours d'enquêtes et de procès pénaux.