Article 11. Transfert international de données

Article 11. Transfert international de données

1. Un transfert de données à caractère personnel vers un État membre de l'Union européenne, vers un pays de l'Espace économique européen, vers un pays offrant un niveau de protection adéquat selon la Commission européenne, vers un pays ayant ratifié la Convention 108+, ou encore vers un pays tiers déclaré comme offrant un niveau adéquat par l'Agence andorrane de protection des données, peut être effectué au moyen d'un instrument juridique contraignant.

2. Un transfert international de données en dehors des pays mentionnés au point précédent peut être effectué lorsque des garanties appropriées sont offertes.

3. En tout état de cause, avant d'effectuer un transfert international en dehors des pays mentionnés au paragraphe 1, une analyse doit être réalisée dans le cadre du respect du principe de responsabilité proactive. L'analyse doit inclure, au minimum :

a) La vérification de la destination des données à caractère personnel (pays de destination), et du fait que les données transférées sont adéquates et pertinentes et limitées à ce qui est strictement nécessaire au regard des finalités pour lesquelles elles sont transférées et traitées dans le pays tiers.

b) La vérification de l'instrument sur lequel repose le transfert, en particulier ceux régis par la Loi qualifiée de protection des données à caractère personnel. Si des données sont transmises vers un pays tiers offrant un niveau de protection adéquat selon la Commission européenne, ou vers un pays tiers déclaré comme offrant un niveau adéquat par l'Agence andorrane de protection des données, il suffit de vérifier la validité de la décision d'adéquation.

c) L'évaluation de l'existence éventuelle d'un aspect de la législation ou de la pratique du pays tiers susceptible d'affecter l'efficacité des garanties appropriées des instruments de transfert sur lesquels il repose, dans le contexte du transfert spécifique. L'évaluation doit porter principalement sur la législation des pays tiers qui est pertinente pour le transfert des données. En l'absence d'une législation régissant les circonstances dans lesquelles les autorités publiques peuvent accéder aux données à caractère personnel, d'autres éléments pertinents et objectifs doivent être examinés, et il ne doit pas être tenu compte de facteurs subjectifs tels que la probabilité que les autorités publiques accèdent aux données d'une manière contraire aux règles de protection des données d'Andorre.

4. L'analyse relative à l'existence d'un niveau adéquat de protection des données incombe au responsable ou au sous-traitant du traitement qui entend exporter des données, ce qui a un impact évident sur les mesures que ces responsables doivent prendre ex ante, puisque, si le résultat de l'évaluation met en évidence un risque qui ne peut être atténué, des mesures supplémentaires ou complémentaires doivent être adoptées. Les mesures supplémentaires ou complémentaires peuvent être les suivantes, de manière indépendante ou complémentaire, selon les besoins :

a) Des mesures techniques susceptibles d'empêcher ou de rendre inefficace l'accès des autorités publiques de pays tiers aux données à caractère personnel, en particulier à des fins de surveillance.

b) Des mesures contractuelles supplémentaires susceptibles de renforcer le niveau général de protection des données, en faisant obstacle, par exemple, aux tentatives des autorités publiques d'accéder aux données d'une manière non conforme aux règles d'Andorre.

c) Des mesures organisationnelles, qui peuvent consister en des politiques internes, des méthodes organisationnelles et des normes que les responsables et sous-traitants du traitement peuvent s'appliquer à eux-mêmes et imposer aux importateurs de données dans des pays tiers.

5. Si, malgré la mise en œuvre des mesures supplémentaires ou complémentaires, le risque du transfert international vers un pays tiers ne peut être atténué, une consultation doit être formulée auprès de l'Agence andorrane de protection des données, qui évalue la pertinence et l'efficacité des mesures adoptées et émet un avis favorable ou défavorable sur ces mêmes mesures et, en conséquence, sur le transfert international.