Statut: vigent · Texte en vigueur au 22/10/2026 · Données jusqu’au BOPA du 22/10/2026 · Publiée au BOPA núm. 118, any 2022 (05/10/2022) · Page complète (historique des versions)
Text consolidat de treball elaborat per MCA Assessors a partir del BOPA. No és un text oficial: en cas de discrepància mana el BOPA. Les notes (remissions, disposicions de la llei original, correccions) són d'elaboració pròpia i estan pendents de revisió professional.
Le présent Règlement a pour objet de développer la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles.
1. Le présent Règlement s'applique à tout traitement de données personnelles, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données personnelles contenues ou appelées à figurer dans un fichier, sous réserve des exceptions prévues par la Loi qualifiée de protection des données personnelles.
2. Le présent Règlement ne s'applique pas aux activités strictement personnelles ou domestiques sans aucun lien avec une activité professionnelle ou commerciale. L'exception personnelle ou domestique est applicable au sens strict aux activités relevant de la vie privée ou familiale. Ne relèvent pas de cette exception les activités économiques des particuliers qui excèdent ce cadre.
3. Le présent Règlement s'applique aux personnes physiques et morales lorsque des données personnelles sont partagées ou diffusées sur des plateformes numériques ou des réseaux sociaux ouverts au public, ou fermés mais donnant accès à un nombre élevé de contacts ou à un nombre indéterminé de contacts.
Aux fins du présent Règlement, on entend par :
a) Données personnelles ou à caractère personnel : toute information numérique, alphabétique, graphique, photographique, acoustique ou de tout autre type concernant une personne physique identifiée ou identifiable (« personne intéressée ») ; est réputée personne physique identifiable toute personne dont l'identité peut être déterminée, directement ou indirectement, sans efforts disproportionnés, notamment au moyen d'un identifiant ou d'un ou de plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. Aux fins du présent Règlement, n'est pas considérée comme une donnée à caractère personnel celle qui est obtenue d'un traitement comportant un simple mesurage, sans que le processus s'accompagne d'un enregistrement ni d'une identification des intéressés.
b) Métadonnées : toute information secondaire constituée de données qui qualifient d'autres données, pouvant renseigner sur la date, le lieu depuis lequel la donnée a été demandée, le moment, la personne qui l'a fournie, le type de capteur, son facteur de précision, etc. Les métadonnées sont considérées comme des données personnelles lorsqu'elles permettent d'identifier de manière directe ou indirecte, sans efforts disproportionnés, une personne physique.
c) Consentement de la personne intéressée : toute manifestation de volonté libre, spécifique ou granulaire, éclairée et univoque par laquelle la personne accepte, par une déclaration ou par un acte positif clair, le traitement des données personnelles la concernant. En tout état de cause, le consentement doit être séparé des autres opérations du traitement ou des conditions générales.
d) Profilage : toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels d'une personne physique ; notamment pour analyser ou prédire des éléments concernant le rendement professionnel, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation et les déplacements de cette personne, entre autres. Les décisions qui ne sont pas fondées exclusivement sur le traitement automatisé, mais qui impliquent une intervention humaine à une phase quelconque du traitement, peuvent également comprendre le profilage.
e) Anonymisation : processus consistant à supprimer tous les éléments d'identification d'un ensemble de données personnelles afin qu'il ne soit plus possible d'identifier la personne intéressée.
f) Pseudonymisation : traitement de données personnelles qui ne permet pas de les attribuer à une personne intéressée sans recourir à des informations supplémentaires, pour autant que ces informations soient conservées séparément et soumises à des mesures techniques et organisationnelles destinées à garantir que les données personnelles ne sont pas attribuées à une personne physique identifiée ou identifiable.
g) Violation de la sécurité des données personnelles : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, et en tout état de cause non autorisée, la perte, l'altération ou la divulgation de données personnelles transmises, conservées ou traitées d'une autre manière, ou la communication ou l'accès non autorisés à ces données.
h) Intérêt vital : intérêt essentiel à la vie de la personne intéressée.
i) Intérêt légitime : intérêt (licite) du responsable du traitement ou d'un tiers au traitement de données personnelles qui prévaut sur les intérêts, les droits ou les libertés fondamentales de l'intéressé, compte tenu des attentes raisonnables des intéressés fondées sur leur relation avec le responsable. Constituent des exemples d'intérêt légitime les traitements effectués dans le cadre d'une relation avec un client, lorsque des données personnelles sont traitées à des fins de prospection directe, et les traitements visant à prévenir la fraude ou à garantir la sécurité du réseau et des informations de ses systèmes informatiques, entre autres.
j) Données biométriques : données personnelles résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales, des données dactyloscopiques ou des modèles d'iris.
k) Données concernant la santé : données personnelles relatives à la santé physique ou mentale d'une personne physique qui révèlent des informations sur son état de santé, y compris la prestation de services de soins de santé. Y sont incluses les données relatives au code d'identification du dossier médical ou les informations relatives au dopage d'un sportif.
l) Données économiques et financières : données qui fournissent des informations sur la situation économique ou financière d'un individu. Elles présentent un degré de sensibilité élevé, bien qu'elles ne soient pas considérées comme des catégories particulières de données personnelles.
m) Données de mineurs ou de personnes handicapées : données de groupes vulnérables. Elles présentent un degré de sensibilité élevé, bien qu'elles ne soient pas considérées comme des catégories particulières de données personnelles.
n) Transfert international de données : la communication de données personnelles ou leur mise à disposition en faveur d'un destinataire soumis à la juridiction d'un pays tiers, ou lorsque le destinataire est une organisation internationale.
o) Principe d'extraterritorialité du traitement : le présent Règlement s'applique aux entités qui traitent des données personnelles lorsqu'elles utilisent des moyens de traitement situés sur le territoire andorran, que ces entités soient établies dans la Principauté d'Andorre ou non, conformément à l'article 2.2 de la Loi qualifiée de protection des données personnelles, ainsi qu'aux entités établies hors de la Principauté d'Andorre lorsque les activités de traitement ont pour objet le traitement de données d'intéressés andorrans ou résidant dans la Principauté d'Andorre ou le suivi du comportement de ces intéressés.
p) Principe de responsabilité proactive : le responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et être en mesure de démontrer que le traitement est conforme à la Loi qualifiée de protection des données personnelles. Ce principe exige une attitude consciente, diligente et proactive de la part des organisations à l'égard de tous les traitements de données personnelles qu'elles effectuent.
q) Coordinateur de la protection des données : personne physique faisant partie du personnel d'une entité qui assiste le délégué à la protection des données dans des tâches organisationnelles mais qui n'en assume en aucun cas les fonctions ni les responsabilités.
1. Sont assujettis aux dispositions du présent Règlement les responsables, coresponsables, sous-traitants et sous-traitants ultérieurs andorrans ou constitués conformément aux lois de la Principauté d'Andorre, ainsi que les acteurs extérieurs qui utilisent des moyens de traitement, automatisés ou non, situés sur le territoire andorran. Conformément au principe d'extraterritorialité du traitement, le présent Règlement s'applique également au traitement de données personnelles par des responsables ou des sous-traitants situés hors d'Andorre lorsqu'ils mènent des activités de traitement liées aux personnes concernées andorranes, ou qui résident dans la Principauté d'Andorre, ou bien lorsque le traitement consiste à offrir des biens et des services, y compris le simple suivi du comportement, à des personnes concernées de la Principauté d'Andorre.
2. Les notions de responsable, de coresponsable, de sous-traitant, de sous-traitant ultérieur et de représentant définies dans la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles sont des notions fonctionnelles, dès lors qu'elles ont pour objet l'attribution de responsabilités conformément au rôle réel de chaque partie. Le statut juridique d'un acteur peut donc être déterminé au moyen d'une norme de rang législatif et d'application obligatoire pour les acteurs ou pour les activités réelles de ces acteurs dans un traitement de données déterminé, au-delà des désignations formelles qui peuvent exister.
3. Le régime de coresponsabilité, qui peut naître lorsque plusieurs participants interviennent dans le traitement, est régi par les conditions générales suivantes :
a) Les coresponsables déterminent conjointement la finalité et les moyens du traitement. Les principaux critères pour déterminer la coresponsabilité sont la participation conjointe de deux ou plusieurs entités à la détermination des finalités et des moyens d'un ou de plusieurs traitements et l'impossibilité du traitement sans la participation de l'autre ou des autres coresponsables.
b) Si une activité de traitement, une finalité ou un moyen de traitement est déterminé unilatéralement par l'un des coresponsables, ce dernier est réputé être le seul responsable de ce traitement de données.
c) En cas de coresponsabilité, les coresponsables doivent formaliser de manière transparente et par écrit les fonctions de chacun et leur relation avec les personnes concernées. Toutefois, le régime de responsabilité est réputé solidaire à l'égard des personnes concernées, et par conséquent les personnes concernées peuvent s'adresser à et agir contre n'importe lequel des responsables pour exercer leurs droits.
d) En cas de violation de la réglementation en matière de protection des données, tous les coresponsables répondent des dommages qu'ils ont pu causer, indépendamment des actions récursoires qui peuvent être exercées ultérieurement entre coresponsables.
e) La répartition des responsabilités respectives entre coresponsables doit déterminer l'exercice des droits des personnes concernées, le respect du devoir d'information, l'application de mesures de sécurité, la notification des violations de sécurité et les analyses d'impact relatives à la protection des données, entre autres aspects.
f) Dans des circonstances concrètes déterminées, comme dans le cadre des essais cliniques et d'autres investigations cliniques, il peut y avoir des responsables indépendants de leurs traitements respectifs. Dans ces cas, il incombe à chaque responsable de répondre des obligations découlant de son activité, de sorte qu'aucune responsabilité solidaire ne peut être retenue entre eux pour les manquements que l'autre partie ou les autres parties ont pu commettre.
4. Sans préjudice des dispositions de l'article 15 du présent Règlement, sont considérées comme sous-traitants les entités de toute nature ou les personnes physiques qui traitent des données personnelles pour le compte du responsable du traitement. La qualification de sous-traitant dépend de deux conditions essentielles : qu'il s'agisse d'une entité distincte du responsable du traitement et qu'elle traite des données personnelles pour le compte du responsable du traitement. Conformément à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, un responsable du traitement doit uniquement faire appel à des sous-traitants présentant des garanties suffisantes pour mettre en œuvre de manière appropriée des mesures techniques et organisationnelles afin que le traitement satisfasse aux conditions requises par la réglementation andorrane en matière de protection des données. Le caractère suffisant des garanties dépend d'une analyse de risque du responsable qui constate, entre autres aspects, les connaissances spécialisées du sous-traitant, sa fiabilité, les ressources du sous-traitant ou son adhésion à un code de conduite ou à un mécanisme de certification approuvé par Andorre ayant une validité générale en Andorre. L'obligation du responsable de choisir des sous-traitants présentant des garanties suffisantes est maintenue pendant toute la durée du traitement, ce qui requiert des mécanismes appropriés pour vérifier la persistance des garanties démontrées.
5. Conformément aux obligations contenues dans la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, et sans préjudice des dispositions de l'article 16 du présent Règlement, les responsables du traitement ou les sous-traitants non domiciliés en Andorre ou non constitués conformément aux lois de la Principauté, mais qui utilisent des moyens de traitement, automatisés ou non, situés sur le territoire andorran, doivent désigner auprès de l'Agence andorrane de protection des données un représentant établi dans la Principauté d'Andorre, conformément aux critères suivants :
a) Le représentant peut être une personne physique ou morale pouvant agir au nom et pour le compte du responsable.
b) Le représentant doit être désigné en tenant compte de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et de la pratique en matière de protection des données. Alternativement, le représentant peut ne pas disposer de ces connaissances à condition qu'il dispose d'un délégué à la protection des données déjà notifié auprès de l'Agence andorrane de protection des données.
c) La désignation doit être notifiée à l'Agence andorrane de protection des données par voie télématique au moyen des formulaires spécifiques, et doivent y être joints le contrat de représentation et la documentation permettant d'identifier le représentant (passeport andorran ou carte d'enregistrement du Registre des sociétés).
d) Le responsable doit tenir à jour les informations relatives au représentant auprès de l'Agence andorrane de protection des données.
1. L'exercice des droits prévus par la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles est strictement personnel, c'est-à-dire qu'il appartient uniquement aux personnes intéressées titulaires des données ou à un représentant justifié expressément et dûment. Dans le cas de mineurs de 16 ans ou de personnes en situation de handicap, les droits sont exercés par leurs représentants légaux dûment justifiés.
2. Lorsqu'il existe des doutes raisonnables quant à l'identité de la personne qui souhaite exercer les droits mentionnés à l'article précédent, l'Agence andorrane de protection des données peut demander à la personne intéressée de présenter le document officiel d'identité. La signature électronique peut être utilisée à la place du document d'identité comme moyen de justifier l'identité.
3. La justification de la qualité des représentants doit être effectuée au moyen de documents ou d'instruments juridiques qui identifient correctement la personne intéressée et le représentant et qui précisent le mandat ou la procédure pour lequel la représentation est déléguée.
4. Les actions et la qualité pour agir afin d'être partie aux procédures engagées par l'Agence andorrane de protection des données et aux procédures judiciaires qui peuvent en découler sont celles établies par le Code de procédure civile en vigueur. En outre, la représentation exercée par des associations et organisations légalement constituées qui disposent du consentement des intéressés pour les représenter est admise, à condition que ces associations et organisations démontrent leur représentativité dans le secteur.
1. L'accès aux contenus gérés par des prestataires de services de la société de l'information concernant des personnes décédées est régi par les règles suivantes :
a) Toute personne a le droit de prévoir un régime de gestion et de portée de ses volontés numériques afin qu'en cas de perte survenue de sa capacité, ou en cas de décès, ses héritiers, ou les personnes ou institutions expressément désignées, agissent auprès des prestataires de services numériques auprès desquels l'intéressé détient des comptes actifs, aux fins de les gérer, de leur donner des instructions sur l'utilisation et la destination des informations ou, même, de demander la fermeture du compte et/ou la suppression des données personnelles. Les prestataires de services ou le responsable du service de contenu numérique auxquels la volonté du défunt est communiquée doivent exécuter la demande sans délai.
b) Le droit au testament numérique comprend le droit de prévoir expressément l'interdiction d'accès aux contenus numériques, de manière totale ou partielle, à certaines personnes expressément mentionnées par le défunt. Cette interdiction n'affecte pas le droit des héritiers d'accéder aux contenus qui peuvent faire partie de la succession.
c) Dans le cas de défunts mineurs, ces facultés peuvent également être exercées par leurs représentants légaux ou, dans le cadre de ses compétences, par le Ministère public, qui peut agir d'office ou à la demande de toute personne physique ou morale intéressée.
d) En cas de décès de personnes en situation de handicap, ces facultés peuvent également être exercées, outre les personnes mentionnées à la lettre précédente, par les tuteurs ou les curateurs et autres mandataires judiciaires ou extrajudiciaires qui suppléent ou complètent la capacité d'autrui, si ces facultés sont réputées comprises dans les mesures d'accompagnement fournies par la personne désignée.
2. Les volontés numériques peuvent être ordonnées au moyen des instruments suivants :
a) Testament, codicille ou mémoires testamentaires.
b) Un document qui doit être inscrit au Registre électronique des volontés numériques, si la personne n'a pas pris de dispositions de dernière volonté. Le document relatif aux volontés numériques peut être modifié et révoqué à tout moment.
3. Les personnes ayant qualité peuvent décider du maintien ou de la suppression des profils de personnes décédées, conformément aux indications du défunt ou, à défaut, selon leur propre appréciation.
4. Si le défunt n'a pas expressément prévu l'accès de la personne ayant qualité pour procéder à la modification ou à la suppression des données, la personne ayant qualité doit exécuter ou mettre en œuvre la demande du défunt sans avoir accès aux comptes ou fichiers numériques, sauf si elle obtient une autorisation judiciaire à cet effet.
1. Il est créé le Registre électronique des volontés numériques, rattaché au Registre civil.
2. Les documents de volontés numériques sont inscrits au Registre électronique des volontés numériques.
3. L'accès au Registre électronique des volontés numériques est réservé au titulaire des volontés numériques et, après le décès du titulaire, aux personnes ou aux institutions habilitées par le défunt.
4. Après le décès du titulaire, les personnes qui justifient d'un intérêt légitime peuvent demander un certificat relatif à l'existence ou non d'un document de volontés numériques inscrit au Registre électronique des volontés numériques.
5. Le Registre électronique des volontés numériques, si le décès d'un disposant y est consigné, peut communiquer d'office l'existence de volontés numériques inscrites aux personnes désignées pour les exécuter.
1. Conformément à l'article 7 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, le consentement doit être libre, spécifique, éclairé et univoque, et il doit être donné au moyen d'un acte ou d'une déclaration positifs.
a) Le consentement est réputé avoir été donné librement lorsque la personne concernée a disposé d'un choix réel et non conditionné à la survenance d'un préjudice en cas de refus.
b) Le consentement doit être lié à une ou à chacune des finalités spécifiées. Si le consentement doit légitimer le traitement de catégories particulières de données personnelles, l'information de la personne concernée doit y faire expressément référence.
c) Les mécanismes mis à la disposition de la personne concernée par le responsable pour retirer le consentement doivent être aussi intuitifs et accessibles que ceux qu'il fournit pour obtenir le consentement.
d) Le consentement ne peut être implicite ou tacite, et il doit être donné au moyen d'une déclaration ou d'une action active. Le silence ou l'inaction de la personne concernée ne peuvent être considérés comme des outils valables pour donner le consentement.
e) Seul est valable le consentement qui peut être révoqué ou refusé, gratuitement, sans subir de préjudices ou d'effets négatifs. Le consentement incité est également valable. Ne constitue pas un préjudice le fait de cesser de percevoir une incitation admissible sans que la prestation du service soit diminuée.
f) Le consentement ne peut légitimer un traitement lorsqu'une autre base juridique est applicable, telle que l'intérêt légitime, le respect d'une obligation légale applicable, la nécessité de l'exécution d'un contrat, la protection d'intérêts vitaux ou l'intérêt public.
g) Si un responsable du traitement choisit de fonder le traitement, ou une partie concrète ou certaines parties concrètes du traitement, sur le consentement de la personne concernée, il doit être prêt à respecter ce choix et à arrêter cette partie du traitement si une personne retire son consentement. Le responsable ne peut changer de base de légitimation selon sa convenance, mais doit maintenir le choix initial de la base juridique.
h) Le responsable doit requérir le consentement explicite dans certaines situations dans lesquelles il existe un risque élevé en ce qui concerne la protection des données et dans lesquelles il est approprié qu'il y ait un niveau de contrôle élevé sur les données personnelles, comme dans le cas de transferts internationaux de données hors d'Andorre, en l'absence de garanties appropriées, conformément à l'article 45.1.a de la Loi qualifiée de protection des données personnelles, ou si le traitement comprend des décisions individuelles automatisées, y compris le profilage.
2. Les caractéristiques et les conditions établies aux articles 7 et 8 de la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles et au présent article constituent le cadre légal pour la rédaction des politiques de confidentialité des sites web et des politiques d'information relatives aux traceurs web.
1. L'anonymisation résulte de la dissociation définitive et irréversible des données personnelles, sans efforts disproportionnés. Une anonymisation correcte requiert la mise en œuvre d'un processus ou d'une technique garantissant la confidentialité des informations personnelles anonymisées. La réglementation en matière de protection des données n'est pas applicable aux données anonymisées, dès lors qu'elles ne sont pas considérées comme des données personnelles.
2. Lorsque la dissociation est réversible, il s'agit d'une pseudonymisation. La réglementation en matière de protection des données est applicable aux données pseudonymisées.
1. Pour que l'intérêt puisse être considéré comme légitime, il doit être :
a) Licite, c'est-à-dire conforme à la législation andorrane.
b) Formulé avec une clarté suffisante pour permettre que le test visant à l'examiner ou à le mettre en balance soit effectué au regard des intérêts et des droits fondamentaux de la personne concernée, c'est-à-dire suffisamment spécifique.
c) Non spéculatif, c'est-à-dire qu'il doit représenter un intérêt réel et actuel.
2. Peuvent relever de l'intérêt légitime, à titre indicatif, les situations suivantes :
a) L'exercice du droit à la liberté d'expression ou d'information, y compris les situations dans lesquelles ce droit est exercé dans les médias et dans les arts.
b) La prospection conventionnelle et d'autres formes de commercialisation ou de publicité.
c) Les messages non commerciaux non sollicités, y compris ceux relevant de campagnes politiques ou de collecte de fonds pour des organisations caritatives.
d) L'exécution de droits reconnus dans des procédures judiciaires, y compris le recouvrement de créances au moyen de procédures extrajudiciaires.
e) La prévention de la fraude, de l'utilisation abusive de services ou du blanchiment d'argent.
f) La surveillance des employés à des fins de sécurité ou de gestion.
g) Les dispositifs internes de signalement d'irrégularités.
h) La sécurité physique, les technologies de l'information et la sécurité des réseaux.
i) Le traitement à des fins historiques, scientifiques ou statistiques.
j) Le traitement à des fins de recherche (y compris les études de marché).
3. L'intérêt est légitime lorsque le traitement est effectué dans le cadre de la relation avec un client, lorsque les données personnelles sont traitées à des fins de marketing direct, pour prévenir la fraude ou pour garantir la sécurité du réseau et des informations de ses systèmes informatiques.
4. L'intérêt légitime ne constitue pas une base juridique appropriée pour un traitement portant sur les catégories particulières de données établies dans la Loi qualifiée de protection des données personnelles.
1. Un transfert de données à caractère personnel vers un État membre de l'Union européenne, vers un pays de l'Espace économique européen, vers un pays offrant un niveau de protection adéquat selon la Commission européenne, vers un pays ayant ratifié la Convention 108+, ou encore vers un pays tiers déclaré comme offrant un niveau adéquat par l'Agence andorrane de protection des données, peut être effectué au moyen d'un instrument juridique contraignant.
2. Un transfert international de données en dehors des pays mentionnés au point précédent peut être effectué lorsque des garanties appropriées sont offertes.
3. En tout état de cause, avant d'effectuer un transfert international en dehors des pays mentionnés au paragraphe 1, une analyse doit être réalisée dans le cadre du respect du principe de responsabilité proactive. L'analyse doit inclure, au minimum :
a) La vérification de la destination des données à caractère personnel (pays de destination), et du fait que les données transférées sont adéquates et pertinentes et limitées à ce qui est strictement nécessaire au regard des finalités pour lesquelles elles sont transférées et traitées dans le pays tiers.
b) La vérification de l'instrument sur lequel repose le transfert, en particulier ceux régis par la Loi qualifiée de protection des données à caractère personnel. Si des données sont transmises vers un pays tiers offrant un niveau de protection adéquat selon la Commission européenne, ou vers un pays tiers déclaré comme offrant un niveau adéquat par l'Agence andorrane de protection des données, il suffit de vérifier la validité de la décision d'adéquation.
c) L'évaluation de l'existence éventuelle d'un aspect de la législation ou de la pratique du pays tiers susceptible d'affecter l'efficacité des garanties appropriées des instruments de transfert sur lesquels il repose, dans le contexte du transfert spécifique. L'évaluation doit porter principalement sur la législation des pays tiers qui est pertinente pour le transfert des données. En l'absence d'une législation régissant les circonstances dans lesquelles les autorités publiques peuvent accéder aux données à caractère personnel, d'autres éléments pertinents et objectifs doivent être examinés, et il ne doit pas être tenu compte de facteurs subjectifs tels que la probabilité que les autorités publiques accèdent aux données d'une manière contraire aux règles de protection des données d'Andorre.
4. L'analyse relative à l'existence d'un niveau adéquat de protection des données incombe au responsable ou au sous-traitant du traitement qui entend exporter des données, ce qui a un impact évident sur les mesures que ces responsables doivent prendre ex ante, puisque, si le résultat de l'évaluation met en évidence un risque qui ne peut être atténué, des mesures supplémentaires ou complémentaires doivent être adoptées. Les mesures supplémentaires ou complémentaires peuvent être les suivantes, de manière indépendante ou complémentaire, selon les besoins :
a) Des mesures techniques susceptibles d'empêcher ou de rendre inefficace l'accès des autorités publiques de pays tiers aux données à caractère personnel, en particulier à des fins de surveillance.
b) Des mesures contractuelles supplémentaires susceptibles de renforcer le niveau général de protection des données, en faisant obstacle, par exemple, aux tentatives des autorités publiques d'accéder aux données d'une manière non conforme aux règles d'Andorre.
c) Des mesures organisationnelles, qui peuvent consister en des politiques internes, des méthodes organisationnelles et des normes que les responsables et sous-traitants du traitement peuvent s'appliquer à eux-mêmes et imposer aux importateurs de données dans des pays tiers.
5. Si, malgré la mise en œuvre des mesures supplémentaires ou complémentaires, le risque du transfert international vers un pays tiers ne peut être atténué, une consultation doit être formulée auprès de l'Agence andorrane de protection des données, qui évalue la pertinence et l'efficacité des mesures adoptées et émet un avis favorable ou défavorable sur ces mêmes mesures et, en conséquence, sur le transfert international.
1. Le responsable du traitement doit établir au sein de son organisation les protocoles et les systèmes de réponse effectifs pour l'exercice des droits des personnes concernées. Ces protocoles doivent être connus de tous les membres de l'organisation. Les protocoles et la formation des membres de l'organisation doivent être adaptés au type de données traitées, aux risques inhérents au traitement de données effectué et à la nature des fonctions des travailleurs.
2. La redevance raisonnable définie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel doit être établie conformément aux coûts administratifs devant être supportés et ne peut jamais constituer un facteur dissuasif pour l'exercice des droits de la personne concernée. La redevance fixée par le responsable peut faire l'objet d'un recours devant l'Agence andorrane de protection des données.
3. Conformément aux dispositions de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel, lors de la phase préalable à l'ouverture d'un dossier administratif, l'Agence andorrane de protection des données peut décider de l'exception à l'obligation de verrouillage si elle l'estime opportun compte tenu de l'analyse du cas concret.
4. La personne intéressée exerce le droit d'accès conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel. Lorsque le responsable traite une grande quantité de données relatives à une même personne intéressée et que cette personne exerce un droit d'accès générique, sans préciser s'il porte sur la totalité ou sur une partie des données, le responsable peut lui demander, avant de fournir l'information, de préciser les données ou les activités de traitement auxquelles se rapporte la demande.
5. Le droit d'accès est réputé accordé si le responsable du traitement fournit à la personne concernée un système d'accès à distance, direct et sécurisé aux données à caractère personnel qui garantit de manière permanente l'accès à la totalité des données. À cet effet, la communication du responsable à la personne concernée sur la manière dont elle peut accéder au système suffit pour considérer que la demande d'exercice du droit a été satisfaite.
1. Les personnes physiques ou morales, publiques ou privées, peuvent procéder au traitement d'images au moyen de systèmes de caméras ou de caméras vidéo aux fins de préserver la sécurité des personnes et des biens, ainsi que de leurs installations, dans les conditions prévues par la Loi qualifiée de sécurité publique.
2. Le devoir d'information prévu par la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles est réputé satisfait par l'apposition d'un dispositif d'information, placé à un endroit suffisamment visible, qui mentionne, au moins, l'existence du traitement, l'identité du responsable et la possibilité d'exercer les droits régis par ladite Loi. Le dispositif d'information peut également comporter un code de connexion ou une adresse Internet contenant ces informations. En tout état de cause, le responsable du traitement doit tenir à la disposition des personnes concernées les informations relatives au droit à la transparence de l'information.
3. En vertu de l'article 2.4 de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, est réputé exclu du champ d'application du présent Règlement le traitement, par une personne physique, d'images qui ne captent que l'intérieur de son domicile. En sont également exclues la captation d'images au moyen de systèmes de vidéophone, pour autant que ceux-ci ne s'activent que pendant la durée nécessaire pour identifier les personnes souhaitant accéder à l'immeuble et que les images ne soient pas enregistrées, ou bien l'installation de fausses caméras qui ne sont pas aptes à capter des images.
4. Un traitement au moyen de systèmes de vidéosurveillance ne peut être effectué que conformément au principe de minimisation des données de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, c'est-à-dire si la finalité du traitement ne peut raisonnablement être atteinte par d'autres moyens moins intrusifs pour les droits et libertés fondamentaux de la personne concernée.
5. L'utilisation de la vidéosurveillance, y compris la fonction de reconnaissance biométrique installée par des entités privées pour leurs propres finalités (p. ex. marketing, statistiques, voire sécurité), requiert le consentement explicite de toutes les personnes concernées, conformément à l'article 9.2.a de la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles ; toutefois, une autre exception de l'article 9.2 peut également s'appliquer, le cas échéant.
6. Si la personne concernée souhaite, au moyen d'un droit d'accès, recevoir une copie du matériel audiovisuel capté par les caméras de vidéosurveillance, le responsable doit éviter de porter atteinte aux droits et libertés d'autres personnes concernées sur ce matériel. Pour éviter cet effet, le responsable du traitement doit, en règle générale, appliquer des mesures techniques pour satisfaire la demande d'accès ; par exemple, en éditant les images par masquage ou codage.
1. La protection de la vie privée dès la conception est celle qui impose d'adopter une approche méthodologique axée sur la gestion du risque et sur la responsabilité proactive, permettant de fixer ex ante les conditions requises en matière de vie privée auxquelles tout traitement de données doit satisfaire. La mise en œuvre efficace et efficiente des principes de protection de la vie privée exige que ces conditions requises fassent partie intégrante de la nature des traitements, des produits et des services ; elles doivent donc être prises en compte dès la phase initiale de conception, d'élaboration et de développement des traitements, des produits et des services, comme un élément de l'ensemble des spécifications, fonctionnelles et non fonctionnelles.
2. Sur la base de l'analyse de risque effectuée lors de la phase de conception, doivent être établis tant les objectifs spécifiques de protection des données que les objectifs de sécurité du point de vue de la vie privée qui garantissent les principes fondamentaux de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles. Ces objectifs doivent se concrétiser dans l'élaboration de stratégies de protection de la vie privée qui identifient les conditions requises de chaque objectif.
3. La configuration par défaut, qui doit garantir que seules les données personnelles nécessaires à chaque finalité du traitement sont traitées, doit être établie dès la conception de manière à être aussi respectueuse que possible de la vie privée. Si la personne concernée n'effectue aucune action de configuration, sa vie privée doit être garantie dès le départ, dès lors qu'elle doit être intégrée au système et configurée par défaut. En tout état de cause, il convient de :
a) Fixer des critères de collecte limités à la finalité poursuivie par le traitement.
b) Limiter l'utilisation des données personnelles aux finalités pour lesquelles elles ont été collectées et s'assurer de l'existence d'une base de légitimation du traitement.
c) Restreindre les accès aux données personnelles aux parties impliquées dans les traitements, conformément au principe du need to know (ou « besoin d'en connaître ») et selon la fonction qu'elles exercent, au moyen de la création de profils d'accès différenciés.
d) Définir des durées de conservation strictes et établir des mécanismes opérationnels qui en garantissent le respect.
e) Créer des barrières technologiques et procédurales qui empêchent le rapprochement non autorisé de sources de données indépendantes.
4. Lors de la phase d'élaboration, les objectifs identifiés lors de la phase de conception doivent être développés et intégrés au moyen de décisions de conception qui régissent les procédures de mise en œuvre effective et les problèmes communs, répétables et prévisibles, et qui identifient et corrigent les vulnérabilités potentielles du système. Les mesures techniques et organisationnelles de la phase d'élaboration sont réputées correctement mises en œuvre en matière de sécurité si elles parviennent à garantir :
a) La confidentialité, en ce qu'elles empêchent les accès non autorisés aux systèmes.
b) L'intégrité, en ce qu'elles protègent les données contre les modifications ou altérations non autorisées de l'information.
c) La disponibilité, en ce qu'elles garantissent que les données et les systèmes sont disponibles lorsque cela est nécessaire.
5. Lors de la phase de développement, les modèles doivent être appliqués de manière concrète et il doit être confirmé que les conditions requises en matière de vie privée qui ont été définies ont été correctement mises en œuvre et répondent aux attentes et aux besoins des parties intéressées (vérification et validation de la protection de la vie privée).
6. Les responsables du traitement doivent se tenir informés des avancées technologiques liées au traitement, des risques et des opportunités de la technologie, ainsi que des mesures et des garanties applicables compte tenu de l'évolution du paysage technologique.
7. Les utilisateurs jouent un rôle actif dans la gestion et le contrôle de la gestion de leurs données. Pour mettre en œuvre des configurations par défaut robustes, le responsable du traitement doit informer les utilisateurs des conséquences de la modification des paramètres du service fourni sur leur vie privée.
1. La régulation de la relation entre le responsable du traitement et le sous-traitant doit être établie au moyen d'un contrat qui les lie juridiquement et définit la position du sous-traitant. Le contrat ou l'acte juridique doit être établi par écrit et peut revêtir la forme électronique.
2. Conformément à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, le contrat doit définir l'objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable.
3. Le mandat doit décrire de manière claire et concrète, avec des instructions précises, les traitements de données que le sous-traitant doit effectuer, le type de service et les modalités de sa prestation. Il doit déterminer de manière claire les communications à des tiers que le responsable confie au sous-traitant ou qui découlent du service fourni. La soumission aux instructions du responsable doit également s'appliquer dans le cas des transferts internationaux de données qui ont lieu du fait de la prestation du service.
4. Le responsable est tenu d'une obligation particulière de diligence dans le choix et la supervision du sous-traitant et ne peut se limiter à une liste dans laquelle il est indiqué si une mesure s'applique ou non. La diligence du responsable est réputée satisfaite par la justification d'une analyse ou d'une évaluation réelle des mesures de sécurité.
5. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque existant. Les mesures de sécurité concrètes peuvent être déterminées au moyen d'une liste exhaustive ou d'un renvoi à une norme ou à un cadre réglementaire reconnu. L'adhésion à des codes de conduite ou la détention d'un certificat sont des éléments permettant de démontrer le respect de ces conditions requises.
6. Le responsable du traitement et le sous-traitant doivent prendre des mesures afin de garantir que toute personne agissant sous leur autorité et ayant accès à des données personnelles ne puisse traiter ces données que sur instruction du responsable, sauf si elle y est tenue en vertu d'une norme légale.
7. Le régime de sous-traitance ultérieure peut être établi dans le contrat et repose en tout état de cause sur l'autorisation préalable du responsable du traitement. Cette autorisation peut être générale ou spécifique, identifiant l'entité concrète. Si l'autorisation est de caractère général, le sous-traitant doit informer le responsable de l'intégration d'un sous-traitant ultérieur ou du remplacement par d'autres sous-traitants ultérieurs ; il donne ainsi au responsable la possibilité de s'opposer à ces changements. Le sous-traitant ultérieur doit être soumis aux mêmes conditions et aux mêmes formalités que le sous-traitant, en ce qui concerne le traitement approprié des données personnelles et la garantie des droits des personnes concernées. Si le sous-traitant ultérieur ne les respecte pas, le sous-traitant initial demeure pleinement responsable, à l'égard du responsable du traitement, de l'exécution des obligations du sous-traitant ultérieur.
8. Si tout ou partie du mandat repose sur la collecte de données, il incombe au sous-traitant de respecter le droit à l'information des personnes concernées au nom et pour le compte du responsable. Le contrat du sous-traitant doit fixer la forme et le moment selon lesquels cette obligation doit être exécutée.
9. Si tout ou partie du mandat repose sur les obligations relatives à l'analyse d'impact, à la consultation préalable, à la sécurité et à la confidentialité du traitement ou à la notification et à la communication d'une violation de la sécurité des données personnelles à l'autorité de contrôle ou à la personne intéressée, l'exécution de ces obligations est subordonnée à la nature du traitement effectué et aux informations dont dispose le sous-traitant.
10. Lorsque la législation relative aux marchés publics s'applique, il convient également de tenir compte des dispositions spécifiques établies dans le présent Règlement.
11. Le principe d'extraterritorialité permet d'appliquer les obligations du présent Règlement aux sous-traitants qui traitent des données personnelles dans le cadre des activités d'un établissement du sous-traitant en Andorre, que le traitement ait lieu en Andorre ou dans un autre pays. Si l'établissement se trouve hors du territoire andorran, le Règlement s'applique dès lors qu'il offre des biens ou des services à des personnes concernées résidant en Andorre, ou qu'ils contrôlent le comportement de personnes concernées résidant sur le territoire andorran. La transmission de données personnelles dans le cadre d'un accord de sous-traitance à l'étranger est régie par la réglementation établie par la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles pour les transferts internationaux.
1. Le représentant d'un responsable du traitement ou d'un sous-traitant non domicilié dans la Principauté ou non constitué conformément aux lois de la Principauté d'Andorre doit être désigné expressément par mandat écrit du responsable du traitement ou du sous-traitant, afin qu'il agisse en son nom à l'égard des obligations qui lui incombent conformément à la réglementation andorrane en matière de protection des données. La désignation dudit représentant n'affecte pas la responsabilité du responsable ou du sous-traitant en vertu de la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles et du présent Règlement, ni la capacité des personnes concernées d'exercer des actions contre le responsable ou le sous-traitant.
2. Le représentant peut être aussi bien une personne physique qu'une personne morale. En tout état de cause, le mandat écrit doit désigner un individu déterminé comme destinataire final du mandat. Il est expressément interdit que le représentant puisse être désigné également comme délégué à la protection des données, car il ne peut pas assumer les deux responsabilités.
3. Le représentant doit exercer ses fonctions conformément au mandat reçu du responsable ou du sous-traitant. En cas de manquement, le responsable ou le sous-traitant sont compétents pour appliquer des mesures coercitives au représentant désigné.
4. Le mandat écrit doit stipuler, au minimum, que le représentant :
a) Agit au nom du responsable du traitement ou du sous-traitant ;
b) Peut répondre aux demandes des personnes concernées ou des autorités de contrôle conjointement avec le responsable ou le sous-traitant, ou en leur nom, et
c) Peut recevoir et/ou traiter ou non les demandes d'exercice des droits des personnes concernées.
5. La désignation du représentant est incluse dans le contenu du devoir d'information. En outre, le représentant est tenu de tenir un registre des activités de traitement et doit collaborer étroitement avec le sous-traitant ou le responsable.
6. Au moyen du formulaire correspondant, le responsable du traitement ou le sous-traitant doit communiquer à l'Agence Andorrane de Protection des Données l'identité du représentant andorran et de ses suppléants ou les cessations de fonctions qui se produisent. Il incombe au responsable du traitement ou au sous-traitant de maintenir ces informations à jour.
7. Conformément aux dispositions de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, est considéré comme traitement occasionnel, et, par conséquent, exonéré de l'obligation de désigner un représentant, le traitement limité dans le temps ou quant au nombre de personnes concernées. Pour qu'un traitement soit considéré comme occasionnel, le nombre de personnes concernées en Andorre ne peut en aucun cas être supérieur à un tiers du nombre total de personnes concernées par un traitement.
1. Lorsqu'un type de traitement, en particulier s'il recourt à de nouvelles technologies, et compte tenu de sa nature, de sa portée, de son contexte ou de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement, qu'il soit public ou privé, doit effectuer, avant le traitement, une analyse de l'impact des opérations de traitement sur la protection des données personnelles. Dans le cas d'une opération de traitement déjà en cours, une analyse d'impact doit être effectuée dès qu'un risque grave pour les droits et libertés des personnes est détecté.
2. L'analyse d'impact n'est pas une tâche ponctuelle ; elle doit être mise à jour périodiquement.
3. Un traitement comporte un risque élevé soit lorsque se produisent les trois situations précisées dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, soit lorsque deux ou plusieurs des critères suivants apparaissent dans une opération de traitement :
a) L'évaluation ou la notation des personnes concernées, y compris le profilage.
b) La prise de décisions automatisées produisant des effets juridiques significatifs à l'égard des personnes physiques ou les affectant de manière significative de façon similaire.
c) L'observation systématique des personnes concernées.
d) Des données sensibles (spécialement protégées).
e) Un traitement de données à grande échelle.
f) L'association ou la combinaison d'ensembles de données.
g) Des données relatives à des personnes concernées vulnérables, telles que des mineurs, des employés ou des groupes plus vulnérables de la population qui nécessitent une protection spéciale.
h) L'usage innovant ou l'application de nouvelles solutions technologiques ou organisationnelles.
i) Le traitement empêche les personnes concernées d'exercer un droit, d'utiliser un service ou d'exécuter un contrat.
j) Des traitements de données économiques et financières par des entités bancaires ou des établissements financiers.
4. Le délégué à la protection des données peut suggérer à tout moment la réalisation d'une analyse d'impact et, en cas de doute, il doit se prononcer sur la nécessité ou non de cette analyse.
5. La notion de grande échelle établie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles dépend des critères suivants :
a) Le nombre de personnes concernées, soit en valeur absolue, soit en proportion d'une population déterminée.
b) Le volume et la variété des données traitées. En tout état de cause, le traitement de données personnelles de plus de cinq mille personnes concernées implique la qualification de traitement à grande échelle.
c) La durée ou la permanence de l'activité de traitement.
d) L'étendue géographique de l'activité de traitement.
6. Sans préjudice des traitements mentionnés, conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, l'Agence andorrane de protection des données peut publier à tout moment une liste complémentaire d'activités qui requièrent une analyse d'impact.
7. Indépendamment du risque que peut présenter une opération de traitement, il n'est pas nécessaire d'effectuer une analyse d'impact :
a) Si une analyse d'impact a déjà été effectuée pour un autre traitement très similaire en termes de nature, de portée, de contexte et de finalités.
b) Lorsque le traitement figure sur une liste de traitements (publiée par l'Agence andorrane de protection des données) qui ne requièrent pas d'analyse d'impact.
8. L'échelle des risques établie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles doit être établie compte tenu des critères d'impact et de probabilité de la menace. Pour calculer le niveau de risque associé à un traitement de données, le responsable du traitement doit combiner la gravité de l'impact éventuel avec la probabilité de la menace, en prenant toujours comme point de vue et comme référence les personnes concernées, conformément au tableau d'évaluation des risques figurant à l'annexe 1 du présent Règlement.
9. Lorsque, avant de commencer un traitement, le responsable (ou le sous-traitant) du traitement constate que le risque de conséquences pour les droits et libertés des personnes est élevé, il doit soumettre à l'Agence andorrane de protection des données l'opportunité du traitement et les mesures qu'il entend y appliquer.
10. La communication à l'Agence andorrane de protection des données des analyses d'impact qui présentent un risque élevé, établie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, s'effectue par voie télématique et est accompagnée de la documentation définie dans ladite Loi. L'Agence peut inviter le responsable à fournir ultérieurement toute information qu'elle juge pertinente pour répondre à la consultation effectuée.
1. Les responsables du traitement et les sous-traitants ont la responsabilité active de transmettre à leurs travailleurs les connaissances nécessaires en matière de vie privée et de sensibiliser l'ensemble du personnel ayant accès à des données personnelles à l'importance de la sécurité et de la confidentialité ainsi qu'aux protocoles internes en la matière. L'information doit être adaptée au type de données traitées, aux risques inhérents au traitement de données effectué et à la nature propre des fonctions du travailleur.
2. Le devoir de confidentialité que le responsable du traitement ou le sous-traitant doit imposer aux travailleurs doit contenir, au minimum, les informations et obligations suivantes :
a) Ce qu'il faut entendre par information confidentielle.
b) Les moyens, les ressources ou l'information mis à la disposition du travailleur.
c) L'obligation de secret et de confidentialité.
d) L'obligation de restituer au responsable du traitement ou au sous-traitant, à la fin de la relation contractuelle, l'information confidentielle à laquelle il a eu accès à l'occasion de la relation de travail.
e) Le délai fixé par les parties pendant lequel l'obligation de secret et de confidentialité demeurera en vigueur une fois la relation contractuelle terminée.
f) Les conséquences que peut avoir pour le travailleur le manquement à l'obligation de confidentialité et de secret.
1. Une violation de la sécurité des données se produit lorsque les données à caractère personnel traitées par un responsable ou un sous-traitant du traitement subissent un incident de sécurité qui donne lieu à la violation de la confidentialité, de la disponibilité ou de l'intégrité des données.
2. Si la violation met en danger les droits et les libertés d'une personne, ainsi que le prévoit la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel, le responsable du traitement doit la notifier à l'autorité de contrôle dans les meilleurs délais et, au plus tard, 72 heures – y compris les heures écoulées pendant les fins de semaine et les jours fériés – après que le responsable a eu connaissance que l'incident de sécurité a affecté des données à caractère personnel. Si la notification n'a pas lieu dans ce délai, les motifs du retard doivent être justifiés. Le sous-traitant doit notifier chaque violation de la sécurité des données au responsable du traitement.
3. Lorsqu'au moment de la notification il n'est pas possible de fournir toutes les informations nécessaires, le responsable du traitement doit les communiquer de manière échelonnée, le plus tôt possible et sans retard.
4. Conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel, si la violation de la sécurité des données engendre un risque élevé pour les personnes concernées, ces personnes doivent également en être informées dans les meilleurs délais raisonnablement possibles.
5. Lorsque le responsable du traitement notifie une violation de sécurité à l'autorité de contrôle, conformément à la Loi 29/2021 du 28 octobre, qualifiée de protection des données à caractère personnel, il doit, au minimum :
a) Décrire la nature de la violation de la sécurité des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation, ainsi que les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés.
b) Communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.
c) Décrire les conséquences possibles de la violation de la sécurité des données à caractère personnel.
d) Décrire les mesures prises ou proposées par le responsable du traitement pour remédier à la violation de la sécurité des données à caractère personnel, y compris, le cas échéant, les mesures prises pour en atténuer les éventuelles conséquences négatives.
6. La notification est effectuée au moyen du formulaire correspondant de l'Agence andorrane de protection des données. L'Agence peut exiger les informations supplémentaires nécessaires et émettre l'ordre ou la communication appropriés, ainsi que fixer le délai dans lequel le responsable doit satisfaire à la demande (mise en demeure).
7. S'il estime qu'il n'existe pas de risques pour les droits et les libertés des personnes physiques, le responsable doit documenter toute violation de la sécurité des données à caractère personnel, y compris les faits concernant la violation de sécurité, ses effets et les mesures correctives prises, afin que l'autorité de contrôle puisse vérifier le respect du principe de responsabilité proactive.
Les violations de sécurité sont classées, conformément aux trois principes de la sécurité de l'information, de la manière suivante :
a) Violation de la confidentialité. Elle a lieu lorsque se produit une divulgation non autorisée ou accidentelle des données à caractère personnel ou l'accès aux données à caractère personnel.
b) Violation de l'intégrité. Elle a lieu lorsque se produit une altération non autorisée ou accidentelle des données à caractère personnel.
c) Violation de la disponibilité. Elle a lieu lorsque se produit une perte d'accès accidentelle ou non autorisée aux données à caractère personnel, ou la destruction des données à caractère personnel.
1. Il appartient au responsable du traitement d'apprécier s'il convient de désigner un seul délégué à la protection des données ou plusieurs, et si celui-ci doit appartenir ou non à sa structure, afin d'en garantir à tout moment l'indépendance et la disponibilité. 2 Dans les groupes d'entreprises ou les entreprises de grande structure, un seul délégué à la protection des données peut suffire s'il est facilement joignable à partir de chaque établissement.
3. Même s'il n'existe qu'un seul délégué à la protection des données, au sein de l'Administration publique ou des organisations privées où cela est nécessaire en raison de l'ampleur, de la structure ou de la complexité du traitement, un ou plusieurs coordinateurs de la protection des données doivent être nommés en interne afin d'appuyer les tâches organisationnelles du délégué à la protection des données.
4. Toute entreprise ou organisation privée dont l'activité principale repose sur le traitement de données de sujets vulnérables ou en risque d'exclusion sociale ou bien de mineurs de quatorze ans doit désigner un délégué à la protection des données en tenant compte de la protection spécifique que méritent ce type de personnes concernées.
5. Les responsables et sous-traitants du traitement doivent communiquer à l'Agence andorrane de protection des données, dans un délai de dix jours, les désignations, les nominations et les cessations de fonctions des délégués à la protection des données, qu'ils soient tenus d'en désigner ou que la désignation du délégué à la protection des données ait été volontaire.
6. Si la fonction est externalisée, le délégué à la protection des données a la qualité de sous-traitant.
1. L'Agence andorrane de protection des données peut fixer ou analyser à tout moment les connaissances et la formation suffisantes pour être délégué à la protection des données.
2. Tant les personnes physiques que les personnes morales peuvent démontrer la qualification suffisante en tant que délégué à la protection des données au moyen de certificats volontaires ou de diplômes universitaires attestant de connaissances spécialisées dans le droit et la pratique du domaine de la protection des données.
1. Le responsable du traitement ou le sous-traitant doivent garantir que le délégué à la protection des données dispose du temps suffisant pour exercer correctement ses fonctions et peut compter sur les ressources financières, l'infrastructure et le personnel nécessaires. Il doit également garantir que le délégué à la protection des données est associé de manière appropriée et en temps utile à toutes les actions relatives à la protection des données à caractère personnel et qu'il a accès au niveau hiérarchique le plus élevé.
2. Sans préjudice des dispositions de la Loi 29/2021 du 28 octobre, qualifiée de protection des données à caractère personnel, le délégué à la protection des données ne peut exercer simultanément d'autres fonctions de responsabilité ou de haute direction au sein de l'organisation susceptibles de générer un conflit d'intérêts, telles que directeur général, directeur des opérations, directeur financier, responsable juridique, responsable des systèmes, responsable de la conformité, chef du marketing ou chef des ressources humaines, entre autres postes, ni d'autres responsabilités inférieures disposant d'un pouvoir de décision sur les finalités ou les moyens du traitement.
3. L'Agence andorrane de protection des données met à la disposition des responsables du traitement et des sous-traitants les outils télématiques et en présentiel nécessaires pour communiquer les désignations de délégués à la protection des données et les changements susceptibles de se produire. Les communications doivent contenir, au minimum :
a) Les données de la personne physique qui communique la désignation ou le changement.
b) Les données du responsable du traitement ou du sous-traitant.
c) Les coordonnées publiques du délégué à la protection des données et, le cas échéant, du délégué à la protection des données suppléant.
4. L'Agence andorrane de protection des données publie sur son site web les coordonnées publiques des délégués déclarés par les responsables du traitement ou les sous-traitants à titre de garantie juridique pour les personnes concernées.
1. En application de la fonction de coopération avec l'autorité de contrôle qui lui est légalement attribuée, le délégué à la protection des données lui facilite l'accès aux documents et aux informations nécessaires à l'exercice de ses fonctions dans le cadre de ses compétences. L'obligation de secret et de confidentialité n'est pas incompatible avec la possibilité de consulter l'autorité de contrôle et de prendre contact avec elle.
2. Le délégué à la protection des données, avec l'aide d'une équipe si nécessaire, doit également être en mesure de communiquer efficacement avec les personnes concernées et de coopérer avec les autorités de contrôle compétentes.
3. Avant de statuer sur la recevabilité d'une réclamation, l'Agence andorrane de protection des données peut la transmettre au délégué à la protection des données, s'il en existe un.
1. Un code de conduite est un instrument auquel peuvent adhérer des responsables et des sous-traitants du traitement et qui réunit les règles que doit respecter un secteur d'activités spécifique pour appliquer correctement la réglementation relative à la protection des données, compte tenu des caractéristiques et des besoins du secteur.
2. Les associations et autres organismes représentant des catégories de responsables ou de sous-traitants du traitement peuvent élaborer des codes de conduite, les modifier ou les étendre, afin de préciser l'application de la législation sur les aspects établis dans la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles.
3. Ces associations ou organisations doivent démontrer qu'elles sont représentatives du secteur au moyen, entre autres, d'indices du nombre de membres représentés ou de l'expérience de l'organisation dans le secteur.
4. Les projets de codes de conduite doivent être présentés à l'Agence andorrane de protection des données par voie télématique selon la procédure établie à cet effet par l'Agence. Aux projets de codes de conduite doivent être joints :
a) Un mémoire justificatif clair et concis, décrivant en détail l'objectif du code, son champ d'application et la manière dont il facilitera l'application effective de la réglementation andorrane en matière de protection des données.
b) Un mémoire explicatif de la gouvernance du code de conduite établissant, concrètement et au minimum, la manière dont sera organisée la relation entre les membres, le titulaire et l'organe régulateur tout au long de la vie du code de conduite, les conditions d'adhésion au code de conduite, le mécanisme de sortie du code, le processus de mise à jour des conditions requises du code et les critères de sélection de l'organe de contrôle.
c) Une documentation justifiant la justification de la qualité pour agir du promoteur.
d) Une documentation justifiant le champ d'application matériel et précisant les opérations de traitement de données personnelles qu'il couvre, ainsi que les catégories de responsables ou de sous-traitants du traitement auxquelles il s'applique.
e) Une documentation justifiant le champ d'application territorial.
f) Une documentation justifiant l'autorité compétente, s'il s'agit de codes transnationaux.
g) Une documentation établissant les mécanismes de supervision et l'organisme de supervision, le cas échéant.
h) Une documentation justifiant la consultation des parties intéressées, ou la justification de son absence.
5. Aux fins de leur approbation, l'Agence andorrane de protection des données doit apprécier si les codes présentés :
a) Respectent le contenu minimal prévu par la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles.
b) Respectent les conditions requises formelles du paragraphe précédent.
c) Répondent à un besoin spécifique du secteur ou de l'activité de traitement concernée.
d) Facilitent et précisent l'application de la réglementation en matière de protection des données.
e) Apportent des garanties suffisantes.
f) Disposent de mécanismes suffisants pour en superviser le respect.
6. Conformément à la Loi 29/2021 du 28 octobre, qualifiée de protection des données personnelles, la supervision des codes de conduite peut être confiée à un tiers dont la mission n'interfère pas avec celles de l'autorité de contrôle. Les organismes de supervision du respect des codes doivent être agréés par l'Agence andorrane de protection des données. Les conditions requises générales du cadre d'agrément de l'Agence sont les suivantes :
a) Que l'ensemble du traitement effectué par l'organe de supervision dans le cadre de ses missions respecte la réglementation andorrane en matière de protection des données.
b) Que l'organe de supervision dispose de ressources humaines, financières et matérielles en rapport avec la portée du code de conduite.
c) Que l'organe de supervision accomplit les tâches prévues dans le code de conduite et dispose de procédures de contrôle régulières, complètes et transparentes.
d) Que l'organe de supervision conserve les documents relatifs à l'exercice de ses fonctions, de manière à en préserver la confidentialité, ou les détruit de manière permanente et sécurisée s'ils s'avèrent inutiles.
e) Que l'organe de supervision respecte les mesures de sécurité établies par les adhérents au code, dans l'exercice de ses fonctions.
f) Que l'organe de supervision respecte les conditions requises de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles.
7. Les organisations qui souhaitent être agréées en tant qu'organismes de supervision de codes de conduite doivent d'abord s'adresser au porteur du code pour exprimer leur intérêt à être identifiées comme organe de contrôle. Lors de la phase d'approbation définitive des codes de conduite auprès de l'Agence andorrane de protection des données, elles doivent lui présenter la documentation nécessaire pour justifier le respect des conditions requises générales établies au paragraphe précédent.
1. Le Registre des activités de traitement (RAT) peut être intégré dans les catalogues de processus déjà existants au sein de l'entité et en faire partie, en y incluant toutes les informations que le responsable estime nécessaires pour protéger les droits et libertés des personnes physiques et pour démontrer le respect de la réglementation, compte tenu de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des sources possibles des risques que ce traitement peut entraîner pour les personnes concernées.
2. Le Registre des activités de traitement n'a pas à être tenu dans les entreprises ou organisations employant moins de cinquante personnes, sauf si l'une des circonstances suivantes est réunie :
a) Le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées.
b) Le traitement n'est pas occasionnel.
c) Le traitement porte sur des catégories particulières de données, conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, ou sur des infractions et condamnations pénales. Les traitements dans lesquels l'une de ces circonstances est réunie doivent être inclus dans le Registre.
3. Le Registre des activités de traitement contient des informations qui facilitent l'application effective de la responsabilité proactive et constitue un outil attestant que l'action du responsable du traitement est conforme à la réglementation andorrane en matière de protection des données. Le responsable ou le sous-traitant et, le cas échéant, son représentant doivent mettre le Registre à la disposition de l'Agence andorrane de protection des données lorsque cette autorité de contrôle en fait la demande.
4. Le Registre des activités de traitement doit également être mis à la disposition de toute personne concernée qui en fait la demande, directement ou au moyen de sa publication sur le site web du responsable du traitement ou du sous-traitant.
5. Lorsqu'un délégué à la protection des données a été désigné, le responsable du traitement ou le sous-traitant doivent lui communiquer tout ajout, toute modification ou toute suppression du contenu du Registre des activités de traitement.
6. Les personnes énumérées dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles doivent rendre public un inventaire de leurs activités de traitement, accessible par voie électronique, dans lequel figurent les informations prévues par cette même Loi.
En cas de concours de deux ou plusieurs infractions très graves prévues par la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, les sanctions pécuniaires peuvent être portées jusqu'à 2% du chiffre d'affaires annuel mondial de la société.
Un délai d'adaptation de six mois est fixé pour les assujettis afin qu'ils adaptent leurs processus internes et mettent en œuvre les obligations qui y sont réglementées.
Les responsables du traitement ayant déclaré un ou plusieurs fichiers au Registre public d'inscription des fichiers de données personnelles disposent d'un délai de deux mois à compter de la publication du présent Règlement pour supprimer les fichiers dudit registre et retirer la copie originale du dossier dans les locaux de l'Agence andorrane de protection des données. À l'expiration de ce délai, l'Agence détruit la documentation sur support papier et n'en conserve qu'une version numérisée.
Les contrats de sous-traitance conclus avant le 17 mai 2022 conformément à la Loi 15/2003 restent en vigueur jusqu'à la date d'échéance qui y est indiquée et, s'ils ont été conclus pour une durée indéterminée, jusqu'au 17 mai 2024. Pendant ces délais, chacune des parties peut exiger de l'autre la modification du contrat afin qu'il soit conforme aux dispositions de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles.
l'entrée en vigueur du présent Décret, sont abrogées les dispositions de rang égal ou inférieur qui y sont contraires, et notamment le Décret 367/2022 , du 14-9-2022, portant approbation du Règlement d'application de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles.
L'échelle des risques établie à l'article 32.10 de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles doit être établie en tenant compte des critères d'impact et de probabilité de la menace. Pour calculer le niveau de risque associé à un traitement de données, le responsable du traitement doit combiner la gravité de l'impact possible avec la probabilité de la menace, en prenant toujours comme point de vue et comme référence les personnes concernées. Impact Description Faible Les personnes concernées peuvent subir quelques désagréments mineurs, qui peuvent être réparés sans difficulté. Moyen Risque de subir des inconvénients importants réparables. Élevé Risque de subir des conséquences importantes, réparables mais avec de grandes difficultés. Très élevé Risque de subir des conséquences graves irréparables. Impact Faible Moyen Élevé Très élevé Probabilité Improbable Risque faible Risque faible Risque moyen Risque élevé Possible Risque faible Risque moyen Risque élevé Risque élevé Probable Risque moyen Risque élevé Risque élevé Risque élevé Lorsque, avant de commencer un traitement, le responsable (ou le sous-traitant) du traitement constate que le risque de conséquences pour les droits et libertés des personnes est élevé, il doit soumettre à l'Agence andorrane de protection des données l'adéquation du traitement et les mesures qu'il entend y appliquer.