Decret 391/2022, del 28-9-2022 d’aprovació del Reglament d’aplicació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals

En el cas de concórrer dos o més infraccions molt greus tipificades a la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, les sancions econòmiques poden incrementar-se fins al 2% de la facturació global anual de la companyia.

Disposició transitòria primera

S’estableix un termini de sis mesos d’adaptació per als obligats perquè adaptin els seus processos interns i desenvolupin les obligacions que s’hi regulen.

Disposició transitòria segona

Els responsables del tractament que tinguin declarats un o més fitxers al Registre públic d’inscripció de fitxers de dades personals disposen del termini de dos mesos des de la publicació d’aquest Reglament per suprimir els fitxers del registre esmentat i recollir la còpia original de l’expedient a les dependències de l’Agència Andorrana de Protecció de Dades. Passat aquest termini, l’Agència destrueix la documentació en suport paper i només en conserva una versió digitalitzada.

Disposició transitòria tercera

Els contractes d’encarregat del tractament subscrits abans del 17 de maig del 2022 d’acord amb la Llei 15/2003 mantenen la vigència fins a la data de venciment que s’hi assenyala i, en cas d’haver-se pactat de forma indefinida, fins al 17 de maig del 2024. Durant aquests terminis qualsevol de les parts pot exigir a l’altra la modificació del contracte a fi que resulti conforme al que disposa la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals.

Disposició derogatòria

Amb l’entrada en vigor d’aquest Decret queden derogades les disposicions de rang igual o inferior que s’hi oposin, i en concret el Decret 367/2022, del 14-9-2022, d’aprovació del Reglament d’aplicació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals.

Andorra la Vella, 28 de setembre del 2022

Xavier Espot Zamora / Cap de Govern

Annex 1. Taula de valoració del risc en avaluacions d’impacte

L’escala de riscos establerta a l’article 32.10 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals s’ha de fer tenint en compte els criteris d’impacte i de probabilitat d’amenaça. Per calcular el nivell de risc associat a un tractament de dades, el responsable del tractament ha de combinar la gravetat del possible impacte amb la probabilitat de l’amenaça, prenent sempre com a punt de vista i referència els interessats.

Quan, abans de començar un tractament, el responsable (o l’encarregat) del tractament constata que el risc de conseqüències per als drets i les llibertats de les persones és alt, ha de sotmetre a l’Agència Andorrana de Protecció de Dades la idoneïtat del tractament i les mesures que vol aplicar-hi.