Article 25. Codes de conduite

Article 25. Codes de conduite

1. Un code de conduite est un instrument auquel peuvent adhérer des responsables et des sous-traitants du traitement et qui réunit les règles que doit respecter un secteur d'activités spécifique pour appliquer correctement la réglementation relative à la protection des données, compte tenu des caractéristiques et des besoins du secteur.

2. Les associations et autres organismes représentant des catégories de responsables ou de sous-traitants du traitement peuvent élaborer des codes de conduite, les modifier ou les étendre, afin de préciser l'application de la législation sur les aspects établis dans la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles.

3. Ces associations ou organisations doivent démontrer qu'elles sont représentatives du secteur au moyen, entre autres, d'indices du nombre de membres représentés ou de l'expérience de l'organisation dans le secteur.

4. Les projets de codes de conduite doivent être présentés à l'Agence andorrane de protection des données par voie télématique selon la procédure établie à cet effet par l'Agence. Aux projets de codes de conduite doivent être joints :

a) Un mémoire justificatif clair et concis, décrivant en détail l'objectif du code, son champ d'application et la manière dont il facilitera l'application effective de la réglementation andorrane en matière de protection des données.

b) Un mémoire explicatif de la gouvernance du code de conduite établissant, concrètement et au minimum, la manière dont sera organisée la relation entre les membres, le titulaire et l'organe régulateur tout au long de la vie du code de conduite, les conditions d'adhésion au code de conduite, le mécanisme de sortie du code, le processus de mise à jour des conditions requises du code et les critères de sélection de l'organe de contrôle.

c) Une documentation justifiant la justification de la qualité pour agir du promoteur.

d) Une documentation justifiant le champ d'application matériel et précisant les opérations de traitement de données personnelles qu'il couvre, ainsi que les catégories de responsables ou de sous-traitants du traitement auxquelles il s'applique.

e) Une documentation justifiant le champ d'application territorial.

f) Une documentation justifiant l'autorité compétente, s'il s'agit de codes transnationaux.

g) Une documentation établissant les mécanismes de supervision et l'organisme de supervision, le cas échéant.

h) Une documentation justifiant la consultation des parties intéressées, ou la justification de son absence.

5. Aux fins de leur approbation, l'Agence andorrane de protection des données doit apprécier si les codes présentés :

a) Respectent le contenu minimal prévu par la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles.

b) Respectent les conditions requises formelles du paragraphe précédent.

c) Répondent à un besoin spécifique du secteur ou de l'activité de traitement concernée.

d) Facilitent et précisent l'application de la réglementation en matière de protection des données.

e) Apportent des garanties suffisantes.

f) Disposent de mécanismes suffisants pour en superviser le respect.

6. Conformément à la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles, la supervision des codes de conduite peut être confiée à un tiers dont la mission n'interfère pas avec celles de l'autorité de contrôle. Les organismes de supervision du respect des codes doivent être agréés par l'Agence andorrane de protection des données. Les conditions requises générales du cadre d'agrément de l'Agence sont les suivantes :

a) Que l'ensemble du traitement effectué par l'organe de supervision dans le cadre de ses missions respecte la réglementation andorrane en matière de protection des données.

b) Que l'organe de supervision dispose de ressources humaines, financières et matérielles en rapport avec la portée du code de conduite.

c) Que l'organe de supervision accomplit les tâches prévues dans le code de conduite et dispose de procédures de contrôle régulières, complètes et transparentes.

d) Que l'organe de supervision conserve les documents relatifs à l'exercice de ses fonctions, de manière à en préserver la confidentialité, ou les détruit de manière permanente et sécurisée s'ils s'avèrent inutiles.

e) Que l'organe de supervision respecte les mesures de sécurité établies par les adhérents au code, dans l'exercice de ses fonctions.

f) Que l'organe de supervision respecte les conditions requises de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles.

7. Les organisations qui souhaitent être agréées en tant qu'organismes de supervision de codes de conduite doivent d'abord s'adresser au porteur du code pour exprimer leur intérêt à être identifiées comme organe de contrôle. Lors de la phase d'approbation définitive des codes de conduite auprès de l'Agence andorrane de protection des données, elles doivent lui présenter la documentation nécessaire pour justifier le respect des conditions requises générales établies au paragraphe précédent.