Protection des données en Andorre : la loi 29/2021

Quelle loi s'applique et qui la contrôle

En Andorre, c'est la Llei 29/2021, qualificada de protecció de dades personals, qui s'applique. Elle est parue au Butlletí Oficial del Principat d'Andorra (BOPA) le 17 novembre 2021 et elle est entrée en vigueur six mois plus tard, en mai 2022.

Elle suit de près le RGPD européen. Si vous avez déjà travaillé avec le RGPD, vous reconnaîtrez presque tout : bases légales, droits, registre des traitements, violations, DPO et transferts.

L'autorité est l'Agència Andorrana de Protecció de Dades, l'APDA. Elle reçoit les violations, les désignations de DPO et les réclamations, et c'est elle qui inflige les amendes. Les courriers à l'APDA se font en catalan.

Si vous créez une entreprise tech ici, cette loi vous concerne dès le premier client. Une appli, un site avec un formulaire ou un CRM traitent déjà des données personnelles. Pour le reste du lancement, voyez le guide de l'entreprise tech en Andorre et, si votre projet est innovant, celui pour créer une startup en Andorre.

Les obligations de la Llei 29/2021 pour une entreprise privée

Obligation	Qui est concerné	Délai ou règle	Article
Informer la personne	Toute entreprise qui traite des données	Au moment de la collecte	Principe de transparence
Répondre aux demandes d'exercice des droits	Toute entreprise qui traite des données	En cas de refus, l'expliquer sous 1 mois	Droits de la personne concernée
Registre des traitements	Plus de 50 salariés ou données sensibles, pénales ou à risque (critère de l'APDA)	Par écrit ou au format électronique	Art. 34
Analyse d'impact	Traitements à risque élevé	Avant de commencer le traitement	Art. 32.3
Notification de violation à l'APDA	Responsable du traitement	72 heures après en avoir pris connaissance	Art. 36
Communication de la violation aux personnes	En cas de risque élevé pour elles	Sans retard injustifié	Art. 37
Délégué à la protection des données	Décisions automatisées, données sensibles à grande échelle ou risque élevé	Le communiquer sous 10 jours ouvrables	Art. 38
Transferts hors d'Andorre	Quiconque transfère des données vers un autre pays	Seulement vers des pays adéquats ou avec garanties	Art. 42 et 43

Ce que fait toute entreprise qui traite des données

Certaines obligations ne dépendent pas de la taille.

Le registre des activités de traitement

Depuis mai 2022, on ne déclare plus de fichiers à l'APDA. À la place, l'entreprise tient son propre registre de ce qu'elle fait des données.

La loi dit que les entreprises privées le tiennent «si escau», c'est-à-dire le cas échéant. L'APDA précise sur son site qui doit l'avoir :

• les entreprises de plus de 50 salariés ;
• les entreprises qui traitent de façon habituelle des données sensibles (de santé, par exemple) ;
• les entreprises qui traitent des données sur des condamnations et infractions pénales ;
• les entreprises dont les traitements présentent un risque pour les droits des personnes.

Le registre indique qui est le responsable, à quoi servent les données, quels types de données et de personnes sont concernés, à qui elles sont communiquées et, quand c'est possible, les délais d'effacement et les mesures de sécurité. Il peut être sur papier ou au format électronique.

Avec ce critère de l'APDA, une startup de cinq personnes qui gère des données de santé en a besoin, puisqu'elle traite des données sensibles. Une agence de dix personnes avec un CRM clients, selon le critère de l'APDA, en principe non. L'avoir à jour vous épargne quand même du travail le jour où on vous demande des comptes.

Quand il vous faut un DPO

Selon l'article 38.2, une entreprise privée doit désigner un DPO si elle fait l'une de ces choses :

• elle prend des décisions automatisées qui produisent des effets juridiques sur les personnes ;
• elle traite à grande échelle des catégories particulières de données, comme les données de santé ;
• elle traite beaucoup de données qui peuvent toucher beaucoup de gens et créer un risque élevé pour leurs droits.

D'après notre lecture, une clinique ou une appli de santé avec beaucoup d'utilisateurs entrent en général dans ce groupe. En cas de doute, posez la question à l'APDA.

Le DPO peut être un salarié ou un prestataire externe. Sa désignation se communique à l'APDA dans les 10 jours ouvrables, via la rubrique notifications de son site, et la fin de sa mission aussi. Ne pas le désigner quand il le faut est une infraction grave (article 72.2.f).

L'analyse d'impact

Si un traitement peut créer un risque élevé, il faut l'analyser avant de le lancer. L'article 32.3 de la loi prévoit trois cas nets :

• le profilage automatique qui produit des effets juridiques ou comparables sur les personnes ;
• le traitement à grande échelle de catégories particulières de données ou de données pénales ;
• la surveillance systématique à grande échelle d'une zone accessible au public.

Pour un produit tech, c'est le premier cas qui pèse le plus. Un système qui décide seul si quelqu'un obtient un prêt, une assurance ou un emploi est en plein dedans. Si vous avez un DPO, son avis doit figurer dans l'analyse.

Que faire en cas de violation

Une violation est toute faille de sécurité qui expose, efface ou modifie des données personnelles. Un portable volé non chiffré, un mail avec la liste des clients envoyé à la mauvaise personne ou une attaque par rançongiciel.

Le responsable prévient l'APDA sans délai et, si possible, dans les 72 heures après en avoir pris connaissance. On le fait avec le formulaire de notification que l'APDA publie sur son site. Ce n'est pas nécessaire s'il est peu probable que la violation crée un risque pour les personnes, mais il vaut mieux noter par écrit pourquoi vous l'avez décidé.

Si le risque pour les personnes concernées est élevé, il faut aussi les prévenir, dans un langage clair, en expliquant ce qui s'est passé et les mesures que vous avez prises.

Exemple : une fuite de données et les délais

Votre équipe découvre le vendredi à 18 h qu'une base de données clients est restée exposée. Les 72 heures se terminent le lundi à 18 h. La loi compte 72 heures à partir du moment où vous en avez connaissance, pas des jours ouvrables.

D'après notre lecture, le week-end compte donc. Si vous dépassez le délai, vous devez justifier le retard.

Si le lundi vous ne savez pas encore combien d'enregistrements sont touchés, notifiez avec ce que vous avez et complétez ensuite. Si en plus l'attaque touche vos systèmes et que vous entrez dans le champ de la Llei 22/2022, vous avez une autre notification de 72 heures au CSIRT-AD, expliquée dans le guide de la cybersécurité.

Transférer des données hors d'Andorre

Faire circuler des données entre l'Union européenne (UE) et l'Andorre est le cas le plus courant, et l'Andorre a une décision d'adéquation de l'UE.

De l'UE vers l'Andorre. La Commission européenne reconnaît à l'Andorre un niveau de protection adéquat depuis la décision 2010/625/UE. Un client ou un partenaire européen peut vous envoyer des données sans demander de garanties supplémentaires.

De l'Andorre vers d'autres pays. La loi interdit d'envoyer des données vers des pays qui n'ont pas un niveau de protection équivalent. Sont considérés comme adéquats les pays de la liste d'adéquation de l'UE et ceux soumis à la Convention 108+ du Conseil de l'Europe.

Pour les autres, il vous faut des garanties, comme des clauses types ou des règles d'entreprise contraignantes, et l'APDA les examine. Si son avis est négatif, le transfert n'est pas légitime.

C'est important au moment de choisir un fournisseur cloud ou des outils SaaS. Avant de signer, regardez dans quel pays sont les serveurs et quelles garanties prévoit le contrat.

Amendes

La loi fixe trois échelles dans son article 73 :

Par où commencer cette semaine

1. Listez les données personnelles que vous traitez, pourquoi et avec quels outils.
2. Relisez la politique de confidentialité de votre site et de vos formulaires.
3. Signez ou relisez les contrats avec ceux qui traitent des données pour vous.
4. Décidez, avec le critère de l'APDA, s'il vous faut un registre des traitements, un DPO ou une analyse d'impact.
5. Gardez sous la main le formulaire de violation et le nom de la personne qui le remplit.

Si vous lancez aussi votre site avec un nom de domaine .ad, la politique de confidentialité doit y être dès le premier jour.