Protection des données personnelles en Andorre

Lorsque nous confions des données personnelles à des professionnels — en particulier s’il s’agit de données sensibles, comme celles fournies aux professionnels de santé, avocats, comptables ou conseillers fiscaux, entre autres — il est essentiel que ces données soient traitées de manière appropriée. C’est pourquoi il est important d’avoir des connaissances générales, même basiques, pour savoir ce que nous pouvons attendre légalement du traitement de ces données par ces professionnels.

En Andorre, outre les tribunaux, il existe un organisme spécifique chargé de veiller au bon respect de cette matière : l’Agence Andorrane de Protection des Données (APDA).

Le rôle de l’APDA

L’APDA est l’autorité de contrôle indépendante chargée de la vie privée et de la protection des données personnelles dans le pays. Sa mission est de garantir le respect des droits fondamentaux liés à la vie privée, dans un contexte de transformation technologique constante qui influence la manière dont les données sont collectées, stockées et utilisées.

L’Agence fournit des outils et des informations à la fois aux citoyens — pour leur permettre de connaître et d’exercer leurs droits — et aux entreprises et administrations — pour les aider à respecter leurs obligations conformément à la Loi qualifiée 29/2021 sur la protection des données personnelles.

Réglementation applicable

Les principaux textes régissant la protection des données en Andorre sont :

• Constitution de la Principauté d’Andorre (BOPA n° 24, 04/05/1993)
• Loi qualifiée 29/2021, du 28 octobre, sur la protection des données personnelles (BOPA n° 119, 17/11/2021) – en vigueur depuis mai 2022
• Loi 12/2024, du 15 juillet, modifiant la Loi 29/2021
• Décret 368/2022, du 14/09/2022 – Règlement de l’APDA
• Décret 391/2022, du 28/09/2022 – Règlement d’application de la Loi 29/2021
• Convention de 1981 pour la protection des données (et Protocole additionnel de 2001) du Conseil de l’Europe

 

Fondement constitutionnel

Le droit à la vie privée est reconnu à l’article 14 de la Constitution andorrane, aux côtés du droit à l’honneur et à l’image. Ce droit fondamental protège les personnes contre les intrusions illégitimes, tant dans la sphère publique que privée.

La Cour Constitutionnelle d’Andorre a établi une jurisprudence selon laquelle :

• Ce droit n’est pas absolu, et peut être restreint pour des raisons légitimes, telles que :
  • une enquête pénale en cours,
  • la protection des droits de tiers,
  • ou l’intérêt général.
• Toute limitation de ce droit doit respecter le principe de proportionnalité, c’est-à-dire :
  • être nécessaire,
  • appropriée,
  • et proportionnée au sens strict.

Étant donné qu’il s’agit d’un droit fondamental, sa régulation s’effectue par une loi qualifiée, et sa protection peut être assurée par voie administrative (via l’APDA) ou judiciaire (tribunaux ordinaires et, le cas échéant, la Cour Constitutionnelle).

Que doit savoir un client lorsqu’il fournit des données personnelles ?

Selon l’article 16 de la Loi 29/2021, le responsable du traitement doit informer la personne concernée des éléments suivants :

• Identité et coordonnées du responsable, et le cas échéant, de son représentant
• Coordonnées du délégué à la protection des données (DPD)
• Finalité du traitement et base juridique
• Intérêt légitime du responsable ou de tiers (le cas échéant)
• Destinataires ou catégories de destinataires
• Transferts internationaux de données et garanties applicables

Pour garantir la transparence, il convient également de fournir :

• Durée de conservation ou critères utilisés pour la déterminer
• Droits que la personne concernée peut exercer (voir ci-dessous)
• Droit de retirer son consentement à tout moment, si celui-ci constitue la base légale
• Droit d’introduire une réclamation auprès de l’autorité de contrôle (APDA)
• Si la communication des données est obligatoire ou volontaire, et les conséquences d’un refus
• Existence de décisions automatisées ou de profilage, incluant la logique utilisée et les conséquences prévues

Si les données doivent être utilisées à une autre fin que celle initialement prévue, la personne concernée doit être informée au préalable.

Droits de la personne concernée

Droit	Description
Accès	Savoir si des données personnelles sont traitées et obtenir des informations
Rectification	Corriger des données inexactes ou incomplètes
Suppression	Demander la suppression de données lorsqu’elles ne sont plus nécessaires ou sont traitées illégalement
Opposition	Refuser le traitement pour des raisons personnelles
Portabilité	Recevoir les données dans un format structuré et interopérable
Limitation	Restreindre temporairement le traitement dans certaines circonstances

 

Limitations de ces droits

Ces droits ne sont pas absolus. Par exemple, selon l’article 37 de la Loi qualifiée sur la prévention du blanchiment, les professionnels ont l’obligation de conserver les données de leurs clients pendant une durée minimale de cinq ans, pour des raisons légales ou réglementaires.

Conseil spécialisé

Si vous avez des doutes concernant l’application de la législation sur la protection des données — que ce soit en tant que personne concernée ou en tant que professionnel ou entreprise traitant des données personnelles — notre cabinet peut vous conseiller de manière personnalisée. Nous analyserons votre situation et vous aiderons à assurer la conformité légale avec sécurité juridique et selon les normes actuelles.