Article 3. Définitions

Article 3. Définitions

Aux fins du présent Règlement, on entend par :

a) Données personnelles ou à caractère personnel : toute information numérique, alphabétique, graphique, photographique, acoustique ou de tout autre type concernant une personne physique identifiée ou identifiable (« personne intéressée ») ; est réputée personne physique identifiable toute personne dont l'identité peut être déterminée, directement ou indirectement, sans efforts disproportionnés, notamment au moyen d'un identifiant ou d'un ou de plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. Aux fins du présent Règlement, n'est pas considérée comme une donnée à caractère personnel celle qui est obtenue d'un traitement comportant un simple mesurage, sans que le processus s'accompagne d'un enregistrement ni d'une identification des intéressés.

b) Métadonnées : toute information secondaire constituée de données qui qualifient d'autres données, pouvant renseigner sur la date, le lieu depuis lequel la donnée a été demandée, le moment, la personne qui l'a fournie, le type de capteur, son facteur de précision, etc. Les métadonnées sont considérées comme des données personnelles lorsqu'elles permettent d'identifier de manière directe ou indirecte, sans efforts disproportionnés, une personne physique.

c) Consentement de la personne intéressée : toute manifestation de volonté libre, spécifique ou granulaire, éclairée et univoque par laquelle la personne accepte, par une déclaration ou par un acte positif clair, le traitement des données personnelles la concernant. En tout état de cause, le consentement doit être séparé des autres opérations du traitement ou des conditions générales.

d) Profilage : toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels d'une personne physique ; notamment pour analyser ou prédire des éléments concernant le rendement professionnel, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation et les déplacements de cette personne, entre autres. Les décisions qui ne sont pas fondées exclusivement sur le traitement automatisé, mais qui impliquent une intervention humaine à une phase quelconque du traitement, peuvent également comprendre le profilage.

e) Anonymisation : processus consistant à supprimer tous les éléments d'identification d'un ensemble de données personnelles afin qu'il ne soit plus possible d'identifier la personne intéressée.

f) Pseudonymisation : traitement de données personnelles qui ne permet pas de les attribuer à une personne intéressée sans recourir à des informations supplémentaires, pour autant que ces informations soient conservées séparément et soumises à des mesures techniques et organisationnelles destinées à garantir que les données personnelles ne sont pas attribuées à une personne physique identifiée ou identifiable.

g) Violation de la sécurité des données personnelles : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, et en tout état de cause non autorisée, la perte, l'altération ou la divulgation de données personnelles transmises, conservées ou traitées d'une autre manière, ou la communication ou l'accès non autorisés à ces données.

h) Intérêt vital : intérêt essentiel à la vie de la personne intéressée.

i) Intérêt légitime : intérêt (licite) du responsable du traitement ou d'un tiers au traitement de données personnelles qui prévaut sur les intérêts, les droits ou les libertés fondamentales de l'intéressé, compte tenu des attentes raisonnables des intéressés fondées sur leur relation avec le responsable. Constituent des exemples d'intérêt légitime les traitements effectués dans le cadre d'une relation avec un client, lorsque des données personnelles sont traitées à des fins de prospection directe, et les traitements visant à prévenir la fraude ou à garantir la sécurité du réseau et des informations de ses systèmes informatiques, entre autres.

j) Données biométriques : données personnelles résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales, des données dactyloscopiques ou des modèles d'iris.

k) Données concernant la santé : données personnelles relatives à la santé physique ou mentale d'une personne physique qui révèlent des informations sur son état de santé, y compris la prestation de services de soins de santé. Y sont incluses les données relatives au code d'identification du dossier médical ou les informations relatives au dopage d'un sportif.

l) Données économiques et financières : données qui fournissent des informations sur la situation économique ou financière d'un individu. Elles présentent un degré de sensibilité élevé, bien qu'elles ne soient pas considérées comme des catégories particulières de données personnelles.

m) Données de mineurs ou de personnes handicapées : données de groupes vulnérables. Elles présentent un degré de sensibilité élevé, bien qu'elles ne soient pas considérées comme des catégories particulières de données personnelles.

n) Transfert international de données : la communication de données personnelles ou leur mise à disposition en faveur d'un destinataire soumis à la juridiction d'un pays tiers, ou lorsque le destinataire est une organisation internationale.

o) Principe d'extraterritorialité du traitement : le présent Règlement s'applique aux entités qui traitent des données personnelles lorsqu'elles utilisent des moyens de traitement situés sur le territoire andorran, que ces entités soient établies dans la Principauté d'Andorre ou non, conformément à l'article 2.2 de la Loi qualifiée de protection des données personnelles, ainsi qu'aux entités établies hors de la Principauté d'Andorre lorsque les activités de traitement ont pour objet le traitement de données d'intéressés andorrans ou résidant dans la Principauté d'Andorre ou le suivi du comportement de ces intéressés.

p) Principe de responsabilité proactive : le responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et être en mesure de démontrer que le traitement est conforme à la Loi qualifiée de protection des données personnelles. Ce principe exige une attitude consciente, diligente et proactive de la part des organisations à l'égard de tous les traitements de données personnelles qu'elles effectuent.

q) Coordinateur de la protection des données : personne physique faisant partie du personnel d'une entité qui assiste le délégué à la protection des données dans des tâches organisationnelles mais qui n'en assume en aucun cas les fonctions ni les responsabilités.