Article 4. Assujettis

Article 4. Assujettis

1. Sont assujettis aux dispositions du présent Règlement les responsables, coresponsables, sous-traitants et sous-traitants ultérieurs andorrans ou constitués conformément aux lois de la Principauté d'Andorre, ainsi que les acteurs extérieurs qui utilisent des moyens de traitement, automatisés ou non, situés sur le territoire andorran. Conformément au principe d'extraterritorialité du traitement, le présent Règlement s'applique également au traitement de données personnelles par des responsables ou des sous-traitants situés hors d'Andorre lorsqu'ils mènent des activités de traitement liées aux personnes concernées andorranes, ou qui résident dans la Principauté d'Andorre, ou bien lorsque le traitement consiste à offrir des biens et des services, y compris le simple suivi du comportement, à des personnes concernées de la Principauté d'Andorre.

2. Les notions de responsable, de coresponsable, de sous-traitant, de sous-traitant ultérieur et de représentant définies dans la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles sont des notions fonctionnelles, dès lors qu'elles ont pour objet l'attribution de responsabilités conformément au rôle réel de chaque partie. Le statut juridique d'un acteur peut donc être déterminé au moyen d'une norme de rang législatif et d'application obligatoire pour les acteurs ou pour les activités réelles de ces acteurs dans un traitement de données déterminé, au-delà des désignations formelles qui peuvent exister.

3. Le régime de coresponsabilité, qui peut naître lorsque plusieurs participants interviennent dans le traitement, est régi par les conditions générales suivantes :

a) Les coresponsables déterminent conjointement la finalité et les moyens du traitement. Les principaux critères pour déterminer la coresponsabilité sont la participation conjointe de deux ou plusieurs entités à la détermination des finalités et des moyens d'un ou de plusieurs traitements et l'impossibilité du traitement sans la participation de l'autre ou des autres coresponsables.

b) Si une activité de traitement, une finalité ou un moyen de traitement est déterminé unilatéralement par l'un des coresponsables, ce dernier est réputé être le seul responsable de ce traitement de données.

c) En cas de coresponsabilité, les coresponsables doivent formaliser de manière transparente et par écrit les fonctions de chacun et leur relation avec les personnes concernées. Toutefois, le régime de responsabilité est réputé solidaire à l'égard des personnes concernées, et par conséquent les personnes concernées peuvent s'adresser à et agir contre n'importe lequel des responsables pour exercer leurs droits.

d) En cas de violation de la réglementation en matière de protection des données, tous les coresponsables répondent des dommages qu'ils ont pu causer, indépendamment des actions récursoires qui peuvent être exercées ultérieurement entre coresponsables.

e) La répartition des responsabilités respectives entre coresponsables doit déterminer l'exercice des droits des personnes concernées, le respect du devoir d'information, l'application de mesures de sécurité, la notification des violations de sécurité et les analyses d'impact relatives à la protection des données, entre autres aspects.

f) Dans des circonstances concrètes déterminées, comme dans le cadre des essais cliniques et d'autres investigations cliniques, il peut y avoir des responsables indépendants de leurs traitements respectifs. Dans ces cas, il incombe à chaque responsable de répondre des obligations découlant de son activité, de sorte qu'aucune responsabilité solidaire ne peut être retenue entre eux pour les manquements que l'autre partie ou les autres parties ont pu commettre.

4. Sans préjudice des dispositions de l'article 15 du présent Règlement, sont considérées comme sous-traitants les entités de toute nature ou les personnes physiques qui traitent des données personnelles pour le compte du responsable du traitement. La qualification de sous-traitant dépend de deux conditions essentielles : qu'il s'agisse d'une entité distincte du responsable du traitement et qu'elle traite des données personnelles pour le compte du responsable du traitement. Conformément à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, un responsable du traitement doit uniquement faire appel à des sous-traitants présentant des garanties suffisantes pour mettre en œuvre de manière appropriée des mesures techniques et organisationnelles afin que le traitement satisfasse aux conditions requises par la réglementation andorrane en matière de protection des données. Le caractère suffisant des garanties dépend d'une analyse de risque du responsable qui constate, entre autres aspects, les connaissances spécialisées du sous-traitant, sa fiabilité, les ressources du sous-traitant ou son adhésion à un code de conduite ou à un mécanisme de certification approuvé par Andorre ayant une validité générale en Andorre. L'obligation du responsable de choisir des sous-traitants présentant des garanties suffisantes est maintenue pendant toute la durée du traitement, ce qui requiert des mécanismes appropriés pour vérifier la persistance des garanties démontrées.

5. Conformément aux obligations contenues dans la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, et sans préjudice des dispositions de l'article 16 du présent Règlement, les responsables du traitement ou les sous-traitants non domiciliés en Andorre ou non constitués conformément aux lois de la Principauté, mais qui utilisent des moyens de traitement, automatisés ou non, situés sur le territoire andorran, doivent désigner auprès de l'Agence andorrane de protection des données un représentant établi dans la Principauté d'Andorre, conformément aux critères suivants :

a) Le représentant peut être une personne physique ou morale pouvant agir au nom et pour le compte du responsable.

b) Le représentant doit être désigné en tenant compte de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et de la pratique en matière de protection des données. Alternativement, le représentant peut ne pas disposer de ces connaissances à condition qu'il dispose d'un délégué à la protection des données déjà notifié auprès de l'Agence andorrane de protection des données.

c) La désignation doit être notifiée à l'Agence andorrane de protection des données par voie télématique au moyen des formulaires spécifiques, et doivent y être joints le contrat de représentation et la documentation permettant d'identifier le représentant (passeport andorran ou carte d'enregistrement du Registre des sociétés).

d) Le responsable doit tenir à jour les informations relatives au représentant auprès de l'Agence andorrane de protection des données.