Ce n'est pas le RGPD, bien que cela y ressemble
L'erreur la plus courante chez les entreprises andorranes avec un site web est de supposer que le RGPD européen s'y applique, de copier une politique de confidentialité d'un site espagnol et de se croire en conformité. Andorre n'est pas un État membre de l'Union européenne et dispose de sa propre législation.
La norme en vigueur est la Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals, qui remplace la Llei 15/2003. Elle s'accompagne de deux décrets adoptés en septembre 2022 : le Decret 367/2022 portant application de la loi, et le Decret 368/2022, qui régit l'Agència Andorrana de Protecció de Dades, l'APDA.
La ressemblance avec le cadre européen est réelle et délibérée, mais les références légales diffèrent. Une politique de confidentialité citant des articles du RGPD sur un site andorran cite la mauvaise norme.
Le minimum que votre site doit respecter
Avec la loi et son décret d'application en main, voici ce qui incombe à un site corporatif andorran.
Politique de confidentialité. Le décret d'application précise expressément les conditions de consentement, l'information relative à la confidentialité et les rastreeurs web comme cadre pour rédiger les politiques de confidentialité des sites web. Ce n'est ni optionnel ni cosmétique.
Identification du responsable du traitement. Nom ou raison sociale, adresse, téléphone, courrier électronique et adresse où exercer les droits d'accès, de rectification, de suppression et d'opposition. Un site avec un formulaire de contact mais sans responsable identifié constitue un manquement élémentaire.
Information à la collecte de données. Identité du responsable, finalité du traitement, destinataires, droits de la personne concernée et mesures de sécurité appliquées.
Consentement valide. C'est ici que la norme devient stricte et explicite.
Le consentement, là où presque tout le monde échoue
Le décret d'application impose que le consentement soit libre, spécifique, éclairé et non équivoque, et accordé au moyen d'une action ou déclaration affirmative.
Il énumère explicitement ce qui ne vaut pas :
- Le silence n'est pas un consentement
- L'inaction n'est pas un consentement
- Le consentement tacite n'est pas un consentement
De plus, il doit pouvoir être retiré sans coûts ni préjudice, aussi facilement qu'il a été donné. Ce dernier point invalide d'un seul coup le modèle de banneau avec un grand bouton « Accepter » et l'option de refus cachée derrière trois clics.
Pour le profilage automatisé et les transferts internationaux sans garanties adéquates, le consentement doit être explicite, un degré au-dessus.
Andie recommande
Testez votre propre banneau de cookies avec un chronomètre. Si accepter c'est un clic et refuser trois clics, votre site ne respecte pas la norme, aussi élégant soit le design. La symétrie entre accepter et refuser n'est pas une bonne pratique : c'est ce que prescrit le décret sur le retrait du consentement avec la même facilité.
Cookies et rastreeurs
Le décret place les politiques d'information relatives aux rastreeurs web dans le même cadre. En pratique, cela signifie consentement préalable avant l'installation de cookies non strictement nécessaires, banneau explicite et mécanismes de retrait aussi accessibles que ceux d'acceptation.
Les cookies d'analyse et de suivi relèvent du consentement préalable. Charger Google Analytics avant que l'utilisateur ne décide est le manquement le plus répandu sur les sites andorrans, et aussi le plus facile à détecter de l'extérieur : les outils développeur suffisent.
L'APDA publie des ressources et guides sur son site. Nous n'avons pas pu accéder au détail d'un guide spécifique sur les cookies, donc si votre cas est complexe, c'est la source à consulter directement.
Registre des traitements et délégué
Le registre des activités de traitement est une obligation documentaire que beaucoup de petites entreprises ignorent. Selon le décret, il doit relever la nature, l'étendue, le contexte et les finalités du traitement, les catégories de données personnelles, les destinataires et les mesures de sécurité implémentées. Il peut s'intégrer aux catalogues de processus existants.
Concernant le délégué à la protection des données, le décret régit ses fonctions avec détail : conseiller, coopérer avec l'APDA, agir comme point de contact et disposer de ressources suffisantes. Il peut être externe à l'entreprise pourvu qu'il préserve son indépendance. Ce que nous n'avons pas pu vérifier, c'est le seuil exact à partir duquel sa nomination devient obligatoire, donc si votre organisation traite des données sensibles ou à grande échelle, il convient de le demander plutôt que de le déduire.
Hébergement hors d'Andorre
Ce point concerne la quasi-totalité des sites andorrans, car très peu d'entre eux sont hébergés dans le pays.
Les transferts internationaux de données requièrent consentement explicite en l'absence de garanties adéquates, et Andorre reconnaît les décisions d'adéquation de la Commission européenne. Le responsable du traitement doit garantir une protection équivalente.
Concrètement : si votre site est sur un serveur européen chez un fournisseur fiable avec un contrat de sous-traitance, vous êtes en terrain solide. S'il se trouve hors de l'Espace économique européen sans plus, il faut vérifier.
Les sanctions
Le régime classe les infractions en légères, graves et très graves. Le chiffre le plus probant pour convaincre une direction : en cas d'infractions très graves répétées, les sanctions financières peuvent atteindre jusqu'à 2% du chiffre d'affaires global annuel de l'entreprise, selon le décret d'application. Les sanctions doivent être effectives, proportionnées et dissuasives.
Les montants exacts par catégorie figurent dans la loi et nous n'avons pas pu les vérifier un à un, donc nous ne les publions pas. Le 2% du chiffre d'affaires figure bien dans le décret et suffit à dimensionner le risque.
Ce que nous en faisons
Dans les projets de conception et développement web que nous livrons, la couche de conformité n'est pas un plugin installé à la dernière minute :
- Banneau de consentement symétrique, avec accepter et refuser au même niveau, et blocage réel des scripts jusqu'à une décision
- Politique de confidentialité et mentions légales rédigées sur la Llei 29/2021, non sur le RGPD
- Registre des consentements avec date et étendue, car prouver que vous avez obtenu le consentement importe autant que de l'obtenir
- Formulaires avec base juridique explicite et finalité concrète, pas une case générique
- Documentation du traitement livrée au client, pour que le registre d'activités ne commence pas de zéro
Nous disposons aussi de deux outils publics qui résolvent le premier pas : un générateur de politique de confidentialité et un générateur de mentions légales adaptés au cadre andorran.
Andie recommande
Si votre site date d'avant 2022, votre politique de confidentialité cite quasi certainement la Llei 15/2003, qui est abrogée. C'est la vérification de trente secondes qui sépare les sites à jour de ceux qui citent depuis quatre ans une norme qui n'existe plus. Ouvrez votre politique et cherchez le numéro de loi.
Résumé
Llei 29/2021 et Decret 367/2022 comme cadre, consentement affirmatif et jamais tacite, retrait aussi facile que l'acceptation, consentement préalable pour les cookies non nécessaires, registre d'activités de traitement, et jusqu'à 2% du chiffre d'affaires dans le pire scénario de sanction.
Si votre politique de confidentialité cite le RGPD ou une loi abrogée, ce n'est pas un détail juridique: c'est la première chose que regarde celui qui veut déposer une réclamation, et cela se voit de l'extérieur en trente secondes. Nous livrons les sites avec cette couche réglée dès le premier jour, pas ajoutée après coup, dans les projets de conception et développement web. Écrivez-nous et nous la passons en revue.
