Loi n° 1/2016 du 22 juillet 2016 relative à la protection des données personnelles (Ley n° 1/2016, de fecha 22 de julio, de protección de datos personales)

La personne humaine constitue le fondement essentiel et la composante principale de la société ; elle mérite le respect et la protection de son honneur, de sa dignité, de son intégrité et de sa vie privée, à tous les égards et dans toutes les sphères de la vie sociale.

Pour être effective, efficace et performante, la protection des données à caractère personnel doit reposer sur la qualité de ces données. À cet égard, seules peuvent être collectées en vue de leur traitement les données à caractère personnel qui sont adéquates, exactes, véridiques, pertinentes, complètes et non excessives au regard du champ d’application et des finalités déterminées, explicites et légitimes pour lesquelles elles ont été obtenues ; leur collecte par des moyens frauduleux et illicites est interdite.

1. Les données à caractère personnel seront conservées de manière cohérente, de façon à permettre l’exercice du droit d’accès à celles-ci, sauf si elles font l’objet d’une suppression légale.

2. Les données à caractère personnel seront effacées lorsqu’elles ne seront plus nécessaires ou pertinentes au regard de la finalité pour laquelle elles ont été collectées et enregistrées. Elles ne seront pas conservées sous une forme permettant l’identification de la personne concernée pendant une durée supérieure à celle nécessaire aux fins pour lesquelles elles ont été collectées ou enregistrées.

3. Si les données à caractère personnel collectées et enregistrées s’avèrent inexactes, en tout ou en partie, ou incomplètes, elles seront effacées et remplacées d’office par les données rectifiées ou complétées correspondantes, sans préjudice des droits reconnus aux personnes concernées par la présente loi.

1. Le traitement des données pour le compte de tiers doit être régi par un contrat écrit et signé par les parties, dans lequel il sera clairement stipulé que le sous-traitant traitera les données uniquement conformément aux instructions du responsable du traitement, qu’il ne les utilisera pas à des fins autres que celles figurant dans ledit contrat, et qu’il ne les communiquera pas, même à des fins de conservation, à d’autres personnes.

2. Les données à caractère personnel doivent être détruites ou restituées au responsable du traitement, de même que tout support ou document sur lequel figurent des données à caractère personnel faisant l’objet du traitement.

3. Si le sous-traitant utilise les données à d’autres fins, les communique ou les utilise en violation des dispositions du contrat, il sera également considéré comme responsable du traitement et répondra personnellement des infractions qu’il aura commises.

Les personnes concernées auxquelles des données à caractère personnel sont demandées doivent être préalablement informées de manière expresse, concise et sans ambiguïté, lorsque leurs données à caractère personnel leur sont demandées ou requises ; elles doivent être informées de la finalité et des conséquences de la collecte et du traitement de leurs données à caractère personnel, de leur destination et des destinataires de ces informations ; du caractère obligatoire ou facultatif de leur réponse aux questions qui leur sont posées, des conséquences d’un refus de les fournir ; de l’existence de fichiers ou de traitements de données à caractère personnel, ainsi que de l’identité et de l’adresse du responsable du traitement ou de son représentant.

1. Le traitement des données à caractère personnel requiert le consentement clair, indéniable et incontestable de la personne concernée ou de la personne visée ; sauf si ce consentement est obtenu dans le cadre de l’activité administrative de l’organe compétent de l’administration générale de l’État, ou dans le cadre de tout type de contrat entre les parties concernées, ou par le biais de moyens et de sources relevant du service public, à condition que les droits et libertés fondamentaux de la personne concernée ne soient pas violés.

2. Le consentement en question peut être révoqué lorsqu’il existe un motif justifié à cet effet et n’aura pas d’effet rétroactif.

3. Le consentement à la communication de données à caractère personnel à un tiers est nul lorsque les informations fournies à la personne concernée ne lui permettent pas de connaître la finalité à laquelle seront destinées les données dont la communication est autorisée, ni la nature de l’activité de celui à qui elles sont destinées.

4. Ce n’est qu’avec le consentement exprès et écrit de la personne concernée ou de la personne visée que les données à caractère personnel relatives à la race, à l’appartenance tribale ou ethnique, à la santé, à la vie sexuelle, ainsi qu’aux convictions religieuses, politiques ou syndicales, peuvent faire l’objet d’une collecte ou d’un traitement, sauf dans le cas de fichiers spécialement créés à cet effet et liés aux partis politiques, aux confessions religieuses, aux syndicats et autres associations ou fondations apparentées.

5. Les données à caractère personnel relatives à la commission d’infractions pénales ou administratives ne peuvent être incluses que dans les fichiers des organes de l’administration générale de l’État compétents, dans les cas prévus par les réglementations respectives.

6. Nonobstant les dispositions des alinéas précédents, les données à caractère personnel peuvent faire l’objet d’un traitement lorsque ce traitement s’avère nécessaire à la prévention ou au diagnostic médical, à la prestation de soins de santé ou de traitements médicaux, ou à la gestion des services de santé, à condition que ce traitement soit effectué par un professionnel de santé soumis au secret professionnel ou par une autre personne soumise à une obligation de secret équivalente.

7. Les données visées au paragraphe précédent peuvent également faire l’objet d’un traitement lorsque celui-ci est nécessaire pour sauvegarder l’intérêt vital de la personne concernée ou d’une autre personne, dans le cas où la personne concernée serait physiquement ou juridiquement incapable de donner son consentement.

1. Le responsable du fichier et, à défaut, le sous-traitant doivent adopter les mesures techniques et organisationnelles nécessaires pour garantir la sécurité des données à caractère personnel traitées, en veillant à leur conservation et en empêchant leur altération, leur perte, leur traitement ou tout accès non autorisé.

2. Les données à caractère personnel ne seront pas enregistrées dans des fichiers, des centres de traitement, des équipements, des systèmes, des applications et des programmes qui ne remplissent pas les conditions de sécurité nécessaires à leur intégrité, à leur confidentialité et à leur protection.

3. Les exigences et conditions auxquelles doivent satisfaire les fichiers et les personnes intervenant dans le traitement des données à caractère personnel feront l’objet d’une réglementation spécifique.

1. Le responsable ou le sous-traitant du fichier, ainsi que toutes les personnes intervenant dans le processus de traitement des données à caractère personnel, sont tenus de respecter à tout moment le secret professionnel et la confidentialité de ces données.

2. Les données à caractère personnel ne peuvent être communiquées à un tiers que pour la réalisation de finalités directement liées aux fonctions légitimes du cédant et du cessionnaire, avec le consentement préalable de la personne concernée ; sauf si la cession est autorisée par la loi, s’il s’agit de données obtenues par des moyens au service du public ou provenant d’une source publique, ou lorsque la communication est adressée à un organe compétent tel que les tribunaux, le ministère public et autres ; ou si elle concerne la santé publique ou l’acceptation libre et légitime d’une relation juridique, ou si elle est effectuée entre les organes et institutions de l’administration générale de l’État à des fins statistiques et scientifiques.