Protecció de dades a Andorra: guia pràctica de la Llei 29/2021 (LQPD)

A qui s’aplica

La LQPD s’aplica als tractaments que fan els responsables o encarregats, públics o privats, amb domicili a Andorra o constituïts d’acord amb les lleis andorranes (art. 2.1). També als que no hi estan domiciliats però fan servir mitjans de tractament ubicats al territori andorrà: aquests han de designar un representant establert al Principat davant l’APDA (art. 2.2 i 29). N’estan exempts els tractaments ocasionals, que no inclouen el maneig a gran escala de categories especials de dades ni de dades penals i en què és improbable un risc per a les persones (art. 29.2). El Reglament precisa que un tractament només és ocasional si està limitat en el temps o en nombre d’afectats, i que els afectats a Andorra no poden superar mai un terç del total (art. 16.7).

El Reglament d’aplicació hi afegeix el principi d’extraterritorialitat (art. 4.1): també s’aplica a responsables o encarregats de fora d’Andorra quan tracten dades d’interessats andorrans o residents al Principat, o quan els ofereixen béns o serveis o en controlen el comportament.

En queden fora, entre d’altres, els tractaments en activitats exclusivament personals o domèstiques i els de les autoritats competents amb finalitats penals (art. 2.4).

Principis i base jurídica

Tot tractament ha de respectar els principis de l’article 5: licitud, lleialtat i transparència; limitació de la finalitat; minimització de dades; exactitud; limitació del termini de conservació, i integritat i confidencialitat. I necessita almenys una de les bases de l’article 6:

• el consentiment de la persona interessada per a finalitats específiques;
• l’execució d’un contracte en què és part, o mesures precontractuals a petició seva;
• el compliment d’una obligació legal del responsable;
• la protecció d’interessos vitals;
• una missió d’interès públic o l’exercici de poders públics;
• l’interès legítim del responsable o d’un tercer, si no hi prevalen els drets de la persona interessada.

Les categories especials de dades (salut, dades genètiques o biomètriques, opinions polítiques, entre d’altres) tenen un règim propi i més estricte: el seu tractament està prohibit llevat que concorri alguna de les excepcions de l’article 9.2.

El registre d’activitats de tractament

El registre és la peça central: el lloc on l’organització explica què fa amb les dades. La seva unitat no és «l’empresa» ni «el fitxer», sinó l’activitat de tractament: nòmines, selecció de personal, gestió de clients, videovigilància o butlletí comercial són activitats diferents, i cadascuna té la seva entrada. Per a cada activitat, el responsable hi ha de fer constar (art. 34.3):

• el nom i el contacte del responsable i, si escau, del corresponsable, del representant i del delegat de protecció de dades;
• les finalitats del tractament;
• les categories de persones interessades i de dades;
• les categories de destinataris, inclosos els de països tercers;
• les transferències internacionals, si n’hi ha;
• si és possible, els terminis de supressió;
• si és possible, una descripció general de les mesures de seguretat.

L’encarregat que tracta dades per compte d’un client porta el seu propi registre, amb les categories de tractaments que fa per a cada responsable (art. 34.4). El registre es porta per escrit, també en format electrònic, i s’ha de posar a disposició de l’APDA quan el demana (art. 34.5 i 34.7). Ja no s’inscriuen fitxers en cap registre públic: el Reglament va donar dos mesos per suprimir els que hi havia declarats amb la llei anterior (disposició transitòria segona).

1. 1

   Inventari d’activitats

   Recorre els processos de l’empresa (personal, clients, proveïdors, web, seguretat) i anota cada activitat que tracta dades personals.
2. 2

   Una entrada per activitat

   Finalitat, base jurídica, interessats, dades, destinataris, transferències, terminis i mesures de seguretat, amb el detall que demana l’article 34.
3. 3

   Paper de l’empresa

   Responsable, corresponsable o encarregat: el contingut del registre i les obligacions canvien segons el paper real en cada tractament.
4. 4

   Revisió

   Actualitza el registre cada vegada que canvia un procés o s’hi incorpora una eina nova, i comunica-ho al delegat de protecció de dades si n’hi ha.

El delegat de protecció de dades (DPD)

L’Administració pública ha de designar un delegat de protecció de dades, llevat dels tribunals en l’exercici de la funció judicial (art. 38.1). Una empresa privada l’ha de designar quan (art. 38.2):

• tracta dades de manera automatitzada per prendre decisions amb efectes jurídics sobre les persones;
• tracta a gran escala categories especials de dades;
• tracta una quantitat considerable de dades d’àmbit nacional o supranacional que poden afectar un gran nombre d’interessats i comportar un alt risc per als seus drets, o
• la seva activitat principal es basa en el tractament de dades de persones vulnerables o en risc d’exclusió social, o de menors de catorze anys, encara que no sigui a gran escala (Reglament, art. 21.4).

Un grup empresarial pot nomenar un únic delegat si és fàcilment accessible des de cada establiment (art. 38.3). Pot ser de la plantilla o extern, amb un contracte de serveis (art. 38.6). El nomenament, i també el cessament, s’ha de comunicar a l’APDA en el termini de deu dies hàbils (art. 38.4). El representant d’una empresa no domiciliada no pot ser alhora el seu delegat (Reglament, art. 16.2).

Avaluació d’impacte i consulta prèvia

Quan un tractament pot comportar un alt risc, cal fer abans una avaluació d’impacte. L’article 32.3 en fixa tres casos en què és obligatòria: l’avaluació sistemàtica i exhaustiva de persones basada en un tractament automatitzat que comporta decisions amb efectes jurídics o que les afecten significativament de manera similar; el tractament a gran escala de categories especials de dades o de dades penals, i l’observació sistemàtica a gran escala d’una zona d’accés públic.

Si l’avaluació mostra que el risc continua sent alt i el responsable no el pot mitigar, ha de consultar l’APDA abans de començar el tractament. L’Agència té vuit setmanes per respondre per escrit, prorrogables sis més (art. 33).

Violacions de seguretat

Un portàtil robat, un correu enviat a qui no tocava o un atac de ransomware són violacions de la seguretat de les dades personals. Davant d’una violació:

• el responsable l’ha de notificar a l’APDA sense dilació indeguda i, si és possible, en un màxim de 72 hores des que en té constància, llevat que sigui improbable que comporti un risc per a les persones; si triga més, ha de justificar el retard (art. 36.1);
• l’encarregat ha d’avisar el responsable sense dilació (art. 36.2);
• si el risc és alt, cal comunicar-ho també a les persones afectades, amb un llenguatge clar, tret que hi hagi mesures com el xifratge que ho facin innecessari (art. 37);
• totes les violacions s’han de documentar, també les que no es notifiquen: fets, efectes i mesures correctores (art. 36.5).

Si l’empresa és una entitat financera, el mateix incident pot obligar també a notificar el supervisor quan s’apliqui DORA, amb terminis més curts. Ho expliquem a la guia de DORA a Andorra.

Drets de les persones

Les persones interessades poden exercir els drets d’accés, rectificació, supressió, limitació del tractament, portabilitat i oposició, i no ser objecte de decisions automatitzades amb efectes jurídics (art. 18 a 25). El responsable ha de respondre en un màxim d’un mes des de l’endemà de la recepció de la sol·licitud, prorrogable dos mesos més si cal per la complexitat o el nombre de sol·licituds; en aquest cas, ha d’informar-ne la persona dins del primer mes i explicar-ne el motiu (art. 15.3).

A més, quan recull les dades ha d’informar de qui és el responsable, per a què les tracta, amb quina base i quins drets té la persona (art. 16 i 17).

Encarregats, contractes i transferències

Qui tracta dades per compte de l’empresa (la gestoria, el proveïdor de núvol, l’empresa de manteniment informàtic) és un encarregat del tractament. Cal triar-lo amb garanties suficients i signar un contracte escrit amb el contingut mínim de l’article 31: objecte, durada, finalitat, tipus de dades, instruccions, confidencialitat, seguretat i què passa amb les dades en acabar. Els contractes d’encàrrec signats amb la llei anterior, la Llei 15/2003, mantenen la vigència fins al venciment que s’hi va pactar; els de durada indefinida la van perdre el 17 de maig del 2024. Mentrestant, qualsevol de les parts pot exigir que s’adaptin a la LQPD (Reglament, disposició transitòria tercera).

Les transferències a països sense nivell de protecció adequat necessiten garanties adequades (art. 44) o, excepcionalment, una de les excepcions de l’article 45. Les transferències als estats de la Unió Europea es consideren adequades (art. 43).

Videovigilància

El Reglament d’aplicació regula les càmeres de seguretat (art. 13). El deure d’informació es compleix amb un cartell visible que indiqui, almenys, l’existència del tractament, la identitat del responsable i la possibilitat d’exercir els drets. Només es poden instal·lar càmeres si la finalitat no es pot aconseguir amb un mitjà menys intrusiu, i el reconeixement biomètric amb finalitats pròpies d’una entitat privada requereix el consentiment explícit dels interessats, tret que s’hi pugui aplicar una altra excepció de l’article 9.2 de la LQPD.

Infraccions i sancions

Les multes de l’APDA depenen de la gravetat de la infracció (art. 73):

Si concorren dues o més infraccions molt greus, les sancions poden arribar fins al 2 % de la facturació global anual de l’empresa (Reglament, art. 27). Les administracions públiques no reben multes, sinó una amonestació amb les mesures per corregir la infracció (art. 74).

Un sol registre, viu

Preguntes freqüents