Article 26. Registre des activités de traitement

Article 26. Registre des activités de traitement

1. Le Registre des activités de traitement (RAT) peut être intégré dans les catalogues de processus déjà existants au sein de l'entité et en faire partie, en y incluant toutes les informations que le responsable estime nécessaires pour protéger les droits et libertés des personnes physiques et pour démontrer le respect de la réglementation, compte tenu de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des sources possibles des risques que ce traitement peut entraîner pour les personnes concernées.

2. Le Registre des activités de traitement n'a pas à être tenu dans les entreprises ou organisations employant moins de cinquante personnes, sauf si l'une des circonstances suivantes est réunie :

a) Le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées.

b) Le traitement n'est pas occasionnel.

c) Le traitement porte sur des catégories particulières de données, conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, ou sur des infractions et condamnations pénales. Les traitements dans lesquels l'une de ces circonstances est réunie doivent être inclus dans le Registre.

3. Le Registre des activités de traitement contient des informations qui facilitent l'application effective de la responsabilité proactive et constitue un outil attestant que l'action du responsable du traitement est conforme à la réglementation andorrane en matière de protection des données. Le responsable ou le sous-traitant et, le cas échéant, son représentant doivent mettre le Registre à la disposition de l'Agence andorrane de protection des données lorsque cette autorité de contrôle en fait la demande.

4. Le Registre des activités de traitement doit également être mis à la disposition de toute personne concernée qui en fait la demande, directement ou au moyen de sa publication sur le site web du responsable du traitement ou du sous-traitant.

5. Lorsqu'un délégué à la protection des données a été désigné, le responsable du traitement ou le sous-traitant doivent lui communiquer tout ajout, toute modification ou toute suppression du contenu du Registre des activités de traitement.

6. Les personnes énumérées dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles doivent rendre public un inventaire de leurs activités de traitement, accessible par voie électronique, dans lequel figurent les informations prévues par cette même Loi.