Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals

Aquesta Llei té per objecte la protecció de les dades personals de totes les persones físiques, sigui quina sigui la seva nacionalitat o la seva residència, pel que fa al tractament i a la utilització de les dades, preservant la vida privada.

La present Llei protegeix els drets i llibertats fonamentals de les persones físiques i, en particular, el seu dret a la protecció de les dades personals.

Aquesta Llei és aplicable al tractament totalment o parcialment automatitzat de dades personals, així com al tractament no automatitzat de dades personals continguts o destinats a ser inclosos en un fitxer, i a qualsevol ús posterior d’aquestes dades, tant en el sector públic com privat.

També és aplicable als tractaments de dades realitzats per responsables o encarregats del tractament no domiciliats al Principat o no constituïts conforme a les lleis del Principat d’Andorra, quan facin servir mitjans de tractament ubicats en el territori andorrà, automatitzats o no. Aquests responsables o encarregats del tractament han de designar prop de l’Agència Andorrana de Protecció de Dades un representant establert al Principat d’Andorra.

A l’efecte d’aplicació d’aquest article, s’entén per domicili o establiment, amb independència de la seva forma jurídica, qualsevol ubicació estable que permeti l’exercici efectiu i real d’una activitat.

S’exclouen de l’àmbit d’aplicació d’aquesta Llei:

Les persones vinculades al difunt per raons familiars o de fet, així com els seus hereus es poden dirigir al responsable o encarregat del tractament amb l’objecte de sol·licitar l’accés a les dades personals d’aquell i, si s’escau, la seva rectificació o supressió.

Les persones o institucions a les quals el difunt hagi designat expressament a aquest efecte poden sol·licitar també, d’acord amb les instruccions rebudes, l’accés a les dades personals del difunt i, si s’escau, la seva rectificació o supressió. Per via reglamentària s’han d’establir els requisits i les condicions per acreditar la validesa i la vigència d’aquests manaments i instruccions i, si s’escau, el seu registre.

En cas de defunció de persones menors d’edat, aquestes facultats les poden exercir també els seus representants legals o, en el marc de les seves competències, el Ministeri Fiscal, que pot actuar d’ofici o a instància de qualsevol persona física o jurídica interessada.

Les informacions relatives a les persones difuntes, incloses aquelles que figuren als certificats de causes de defunció, poden ser objecte de tractament amb finalitats de recerca, d’estudi o d’avaluació en el camp de la salut, llevat si la persona interessada va expressar per escrit i durant la seva vida la seva oposició a aquest tractament.

Dades personals o de caràcter personal: tota informació numèrica, alfabètica, gràfica, fotogràfica, acústica o de qualsevol altre tipus relativa a una persona física identificada o identificable (“persona interessada”); s’entén per persona física identificable qualsevol persona amb una identitat que es pugui determinar, directament o indirectament, en particular mitjançant un identificador, o un o diversos elements específics, característics de la seva identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social.

Consentiment de la persona interessada: qualsevol manifestació de voluntat lliure, específica, informada i inequívoca per la qual la persona accepta, mitjançant una declaració o una acció afirmativa clara, el tractament de les dades personals que l’afectin.

Tractament de dades personals (“tractament”): qualsevol operació o conjunt d’operacions efectuades mitjançant procediments, automatitzats o no, sobre dades de caràcter personal, com la recollida, el registre, l’organització, l’estructuració, la conservació, l’adaptació o la modificació, l’extracció, la consulta, la utilització, la comunicació per transmissió, la difusió, la posada a disposició, o qualsevol altra forma d’habilitació d’accés, acarament o interconnexió, limitació, bloqueig, supressió o destrucció de dades, o l’aplicació d’operacions lògiques i/o aritmètiques a aquestes dades.

Limitació del tractament: el marcatge de les dades de caràcter personal conservades, amb la finalitat de limitar-ne el tractament en el futur.

Elaboració de perfils: qualsevol forma de tractament automatitzat de dades personals consistent a utilitzar aquestes dades per avaluar determinats aspectes personals d’una persona física; en especial, per analitzar o predir aspectes relatius al rendiment professional, la situació econòmica, la salut, les preferències personals, els interessos, la fiabilitat, el comportament, la ubicació o els moviments d’aquesta persona.

Fitxer de dades personals (“fitxer”): qualsevol conjunt estructurat de dades personals accessibles d’acord amb criteris determinats, ja sigui centralitzat, descentralitzat o repartit de forma funcional o geogràfica, qualsevol que sigui la seva forma o modalitat de creació, emmagatzematge, organització i accés.

Anonimització: procés que consisteix en eliminar tots els elements identificatius d’un conjunt de dades personals perquè ja no sigui possible identificar la persona interessada.

Seudonimització: el tractament de dades personals de manera que no es puguin atribuir a una persona interessada sense utilitzar informació addicional, sempre que aquesta informació consti per separat i estigui subjecta a mesures tècniques i organitzatives destinades a garantir que les dades personals no s’atribueixen a una persona física identificada o identificable.

Responsable del tractament o responsable: la persona física o jurídica, autoritat competent, pública si escau, servei o qualsevol altre organisme que, sol o juntament amb d’altres, determina les finalitats i els mitjans del tractament de dades personals, i vetlla per al seu correcte compliment de conformitat a les normes en matèria de protecció de dades que són d’aplicació a les finalitats del tractament.

Encarregat del tractament o encarregat: la persona física o jurídica, autoritat competent, pública si escau, servei o qualsevol altre organisme que tracta dades personals per compte del responsable del tractament.

Persona interessada: la persona física identificada o identificable a la qual corresponen les dades de caràcter personal objecte de tractament.

Tercer: persona física o jurídica, autoritat pública, servei o organisme, diferent de la persona interessada, del responsable del tractament, de l’encarregat del tractament i de les persones autoritzades per tractar les dades personals sota l’autoritat directa del responsable o de l’encarregat del tractament de dades personals.

Violació de la seguretat de les dades personals: qualsevol violació de la seguretat que ocasiona, de manera accidental o il·lícita, en tot cas no autoritzada, la pèrdua, l’alteració, o la divulgació de dades personals transmeses, conservades o tractades d’una altra manera, o la comunicació o l’accés no autoritzats a aquestes dades.

Interès públic: concepte definit i determinat entès com a avantatge general, important i primordial, que justifica la finalitat de la intervenció de l’Estat i en fonamenta la legitimitat, sempre dins del marc de l’objectivitat i dels principis constitucionals de legalitat, de jerarquia, de publicitat de les normes jurídiques, de no retroactivitat de les disposicions restrictives de drets individuals o que comportarien un efecte o establirien una sanció desfavorables, de seguretat jurídica, de responsabilitat dels poders públics i d’interdicció de tota arbitrarietat.

Interès vital: interès essencial per a la vida de la persona interessada.

Dades genètiques: dades personals relatives a les característiques genètiques heretades o adquirides d’una persona física, que proporcionen una informació única sobre la seva fisiologia o l’estat de salut, obtingudes de l’anàlisi d’una mostra biològica d’aquesta persona.

Dades biomètriques: dades personals obtingudes a partir d’un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d’una persona física, que permeten o confirmen la identificació única d’aquesta persona, com imatges facials, dades dactiloscòpiques o patrons d’iris.

Dades relatives a la salut: dades personals relatives a la salut física o mental d’una persona física que revelen informació sobre el seu estat de salut, inclosa la prestació de serveis d’atenció sanitària.

Representant: persona física o jurídica que, havent estat designada per escrit pel responsable o per l’encarregat del tractament, representa el responsable o l’encarregat del tractament pel que fa a les seves respectives obligacions en el tractament de dades personals.

Empresa: persona física o jurídica dedicada a una activitat econòmica, independentment de la seva forma jurídica, incloses les societats o les associacions que exerceixen regularment una activitat econòmica.

Grup empresarial: grup constituït per una empresa que exerceix el control i les seves empreses controlades.

Normes corporatives vinculants: les polítiques de protecció de dades personals assumides per un responsable o un encarregat del tractament, adoptades de conformitat amb la normativa de protecció de dades personals de la Unió Europea, per a transferències o per a un conjunt de transferències de dades personals a un responsable o un encarregat en un o més tercers països, dins d’un grup empresarial o d’una unió d’empreses dedicades a una activitat econòmica conjunta.

Autoritat de control: organisme públic establert per l’Estat amb personalitat jurídica pròpia, independent de les administracions públiques, amb competències de registre, control, inspecció, resolució i sanció, així com de proposició d’adopció de normes, en matèria de protecció de dades personals.

Destinatari: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme al qual es comuniquen dades personals, sigui o no una tercera persona. Això no obstant, les autoritats públiques que poden rebre dades personals en el marc d’una investigació concreta, no s’han de considerar com a destinataris, de conformitat amb la normativa aplicable. El tractament d’aquestes dades efectuat per les autoritats públiques referides ha de ser conforme a les normes en matèria de protecció de dades aplicables a les finalitats del tractament.

Servei de la societat d’informació: tot servei prestat normalment a canvi d’una remuneració, a distància, per via electrònica i a petició individual d’un destinatari de serveis. Als efectes d’aquesta definició, s’entén per: (i) a distància: un servei prestat sense que les parts estiguin presents simultàniament; (ii) per via electrònica: un servei enviat des de la font i rebut mitjançant equipaments electrònics de tractament (inclosa la compressió digital) i d’emmagatzematge de dades i que es transmet, canalitza i rep enterament per fils, radi, mitjans òptics o qualsevol altre mitjà electromagnètic; i (iii) a petició individual d’un destinatari de serveis: un servei prestat mitjançant transmissió de dades a petició individual.

Organització internacional: una organització internacional i els seus ens subordinats de dret internacional públic, o qualsevol altre organisme creat mitjançant un acord entre dos o més països o en virtut d’aquest acord.

Transferència internacional de dades: comunicació de dades personals o la seva posada a disposició a favor d’un destinatari subjecte a la jurisdicció d’un tercer país o quan el destinatari sigui una organització internacional.

El tractament de dades ha de ser proporcionat a la finalitat legítima recercada amb l’assoliment, en cada etapa del tractament, d’un equilibri just entre els diversos interessos confrontats, ja siguin públics o privats, que conciliï els drets i llibertats afectats.

Les dades personals han de ser:

Correspon al responsable del tractament complir i poder demostrar que es compleixen els principis de tractament (“responsabilitat proactiva”).

El tractament de dades personals amb finalitats de prevenció, d’investigació, de detecció o d’enjudiciament d’infraccions penals, o d’execució de sancions penals, incloent la protecció contra les amenaces per a la seguretat pública i la prevenció d’aquestes només es pot portar a terme si el responsable del tractament està autoritzat per la Llei a tractar aquestes dades.

El tractament només és lícit si es compleix, almenys, una de les condicions següents:

La base del tractament esmentat a les lletres c) i e) de l’apartat anterior ha de ser establerta per la normativa que resulti d’aplicació al responsable del tractament. La finalitat del tractament s’ha de determinar en aquesta base jurídica o bé, pel que fa al tractament a què es refereix la lletra e) de l’apartat 1, ha de ser necessària per al compliment d’una missió realitzada en interès públic o en l’exercici de poders públics conferits al responsable del tractament.

Per tal de determinar si el tractament amb una altra finalitat és compatible amb la finalitat per a la qual es van recollir inicialment les dades personals, quan el tractament no es basa en el consentiment de la persona interessada ni en una norma que constitueixi una mesura necessària i proporcional en una societat democràtica per salvaguardar els objectius indicats a l’apartat 1 de l’article 26, el responsable del tractament ha de tenir en compte, entre altres qüestions:

Si el tractament es basa en el consentiment de la persona interessada, el responsable ha de poder demostrar que aquesta hi ha consentit.

Si el consentiment de la persona interessada es fa en el context d’una declaració escrita que també es refereix a altres assumptes, la sol·licitud de consentiment s’ha de presentar de manera que es distingeixi clarament dels altres assumptes, de forma intel·ligible, de fàcil accés, i utilitzant un llenguatge clar i senzill. No és vinculant cap part de la declaració que infringeixi aquesta Llei.

Quan es pretengui fonamentar el tractament de les dades per a una pluralitat de finalitats en el consentiment de la persona interessada, s’ha de fer constar de manera específica o inequívoca que aquest consentiment s’atorga per a totes les finalitats. Es presumeix que el consentiment no s’ha donat lliurement quan no es permet autoritzar per separat les diferents operacions de tractament de dades personals.

La persona interessada té dret a retirar el seu consentiment en qualsevol moment. La retirada del consentiment no afecta la licitud del tractament basada en el consentiment previ a la retirada. Abans que doni el consentiment, se n’ha d’informar la persona interessada. Ha de ser tan fàcil donar el consentiment com retirar-lo.

En avaluar si el consentiment s’ha donat lliurement, cal tenir en compte si l’execució d’un contracte, inclosa la prestació d’un servei, està supeditada al consentiment del tractament de dades personals que no siguin necessàries per a executar aquest contracte. No es pot supeditar l’execució del contracte al fet que l’afectat consenti el tractament de les dades personals per a finalitats que no tinguin relació amb el manteniment, el desenvolupament o el control de la relació contractual.

Quan el consentiment és necessari per a tractar les dades personals, la persona interessada ha de poder expressar la seva voluntat de forma lliure, clara i després d’haver estat degudament informada.

En tots els àmbits, i especialment en el de l’oferta directa de serveis de la societat de la informació, el tractament de les dades personals d’un menor d’edat únicament es considera lícit si té com a mínim 16 anys; per als menors de 16 anys, el tractament només es considera lícit si el consentiment l’ha donat o l’ha autoritzat el representant legal del menor d’edat i únicament en la mesura en què s’ha donat o autoritzat. En aquests casos, el responsable del tractament ha de verificar que el consentiment el va donar o autoritzar el representant legal del menor d’edat, tenint en compte la tecnologia disponible.

L’apartat anterior no afecta les disposicions generals del dret contractual, com les normes relatives a la validesa, la formació o els efectes dels contractes en relació amb un menor d’edat.

Es prohibeix el tractament de dades personals que revelin l’origen ètnic o racial, les opinions polítiques, les conviccions religioses o filosòfiques o l’afiliació sindical, i el tractament de dades genètiques, dades biomètriques destinades a identificar de manera unívoca una persona física, dades relatives a la salut o dades relatives a la vida sexual o l’orientació sexual d’una persona física.

L’apartat 1 no és d’aplicació quan concorri una de les circumstàncies següents:

La normativa sectorial aplicable pot establir requisits o introduir condicions addicionals, inclús limitacions, relatius a la seguretat i confidencialitat en el tractament de categories especials de dades personals.

El tractament amb finalitats d’arxiu en interès públic, finalitats de recerca científica o històrica o finalitats estadístiques està subjecte a les garanties adequades per als drets i les llibertats de les persones interessades regulades per aquesta Llei. Aquestes garanties han d’assegurar que es disposa de mesures tècniques i organitzatives, en particular per garantir el respecte del principi de minimització de les dades personals. Aquestes mesures poden incloure la seudonimització, si així es poden aconseguir aquestes finalitats; a menys que no es puguin assolir mitjançant un tractament posterior que no permeti o ja no permeti la identificació de les persones interessades.

Quan es tracten dades personals amb finalitats de recerca científica o històrica o amb finalitats estadístiques, els organismes competents per a l’exercici de la funció estadística pública poden denegar les sol·licituds d’exercici presentades per les persones interessades en relació amb els drets establerts als articles 18, 19, 22 i 24, subjectes a les condicions i garanties esmentades a l’apartat 1 anterior, sempre que sigui probable que aquests drets impossibilitin o obstaculitzin greument l’assoliment de les finalitats científiques, i que aquestes excepcions siguin necessàries per assolir aquestes finalitats i que les dades es trobin emparades per les garanties del secret estadístic previstes en la normativa aplicable en la matèria.

Quan es tracten dades personals amb finalitats d’arxiu en interès públic els organismes competents en la matèria poden denegar les sol·licituds d’exercici presentades per les persones interessades en relació amb els drets establerts als articles 18, 19, 22, 23 i 24 subjectes a les condicions i garanties esmentades a l’apartat 1, sempre que sigui probable que aquests drets impossibilitin o obstaculitzin greument l’assoliment de les finalitats científiques, i que aquestes excepcions siguin necessàries per assolir aquestes finalitats.

Si el tractament esmentat als apartats 2 i 3 serveix al mateix temps per a una altra finalitat, les excepcions que s’hi estableixen només s’apliquen al tractament per a les finalitats que preveuen aquests apartats.

En la mesura en què sigui necessari per conciliar el dret a la protecció de dades personals amb la llibertat d’expressió i d’informació, les disposicions de la lletra d) de l’apartat 2 de l’article 5 i dels articles 9, 10, 15 a 19 i 22 i del capítol cinquè no són d’aplicació als tractaments efectuats per alguna de les finalitats següents:

Les disposicions de l’apartat anterior s’entenen sense perjudici de l’aplicació de la Llei qualificada de protecció civil als drets a la intimitat, a l’honor i a la pròpia imatge.

Si les finalitats per a les quals un responsable tracta dades personals no requereixen o ja no requereixen que el responsable identifiqui una persona interessada, aquest responsable no està obligat a mantenir, obtenir o tractar informació addicional per tal d’identificar l’interessat amb l’única finalitat de complir amb aquesta Llei.

En els casos a què es refereix l’apartat 1, quan el responsable és capaç de demostrar que no pot identificar la persona interessada, si és possible l’ha d’informar en conseqüència. En aquests casos no s’apliquen els articles 18 a 23, tret que la persona interessada, a l’efecte d’exercir els seus drets en virtut d’aquests articles, faciliti informació addicional que en permeti la identificació.

El responsable del tractament ha de prendre les mesures oportunes per facilitar a la persona interessada tota la informació que indiquen els articles 16 i 17, així com qualsevol comunicació relativa al tractament, en correspondència als drets d’accés, rectificació, supressió, a la limitació del tractament, i d’oposició i a la portabilitat de les dades, i també relativa a les decisions individuals automatitzades, inclosa l’elaboració de perfils, i a la violació de la seguretat de les dades personals de la persona interessada en el cas escaient. Ha de fer-ho d’una manera concisa, transparent, intel·ligible i de fàcil accés, amb un llenguatge clar i senzill, sobretot si la informació s’adreça específicament a un menor d’edat. La informació s’ha de facilitar per escrit o per altres mitjans, inclosos, si escau, els mitjans electrònics. Si la persona interessada ho sol·licita demostrant la seva identitat, la informació es pot facilitar verbalment per altres mitjans.

El responsable del tractament ha de facilitar a la persona interessada l’exercici dels seus drets d’accés, rectificació, supressió, a la limitació del tractament, i d’oposició i a la portabilitat de les dades, i també relatius a les decisions individuals automatitzades, inclosa l’elaboració de perfils, excepte que no pugui identificar la persona interessada o que les finalitats per a les quals es tracten les dades no requereixin que la persona sigui identificada. Els drets s’exerceixen directament per la persona interessada o per mitjà d’un representant. Els representants legals poden exercir, en nom dels menors de 16 anys, els drets d’accés, rectificació, cancel·lació, oposició o qualssevol altres que els puguin correspondre en el context d’aquesta Llei.

Quan se’l sol·licita en relació a l’exercici dels drets d’accés, rectificació, supressió, a la limitació del tractament, i d’oposició i a la portabilitat de les dades, el responsable del tractament ha de facilitar a la persona interessada la informació relativa a les seves actuacions sense dilació indeguda.

Tant si li correspon donar lloc a l’exercici dels drets com denegar-lo, el responsable del tractament ha de contestar a la persona interessada en el termini previst a l’apartat 3 anterior. Si correspon una denegació, ha de contestar motivadament, informant de les raons de la seva no actuació o del refús. La persona interessada sempre pot presentar una reclamació davant l’autoritat de control, prèviament a l’exercici d’accions judicials.

Quan la persona interessada presenta la sol·licitud per mitjans electrònics, la informació s’ha de facilitar per aquests mateixos mitjans sempre que sigui possible. La informació que s’ha de facilitar a les persones interessades s’ha de transmetre de manera fàcilment visible, intel·ligible i clarament llegible.

La informació facilitada a l’empara dels articles 16 i 17, així com qualsevol comunicació relativa al tractament, en correspondència als drets de la persona interessada, ha de ser gratuïta. Si les sol·licituds són manifestament infundades o excessives, especialment a causa del seu caràcter repetitiu, el responsable del tractament pot cobrar un cànon raonable, d’acord amb els costos administratius que s’han afrontat per facilitar la informació o la comunicació, o per dur a terme l’actuació sol·licitada, o negar-se motivadament a actuar respecte de la sol·licitud. Es pot considerar repetitiu l’exercici del dret d’accés si es practica més d’una vegada durant el termini de sis mesos, tret que existeixi una causa legítima per a exercir-lo.

Sense perjudici dels tractaments que no requereixen identificació, quan el responsable del tractament tingui dubtes raonables sobre la identitat de la persona física que presenta la sol·licitud d’exercici dels drets, podrà sol·licitar la informació addicional necessària per a confirmar la identitat d’aquesta persona interessada.

La informació que s’ha de facilitar a les persones interessades en virtut dels articles 16 i 17 es pot transmetre en combinació amb icones normalitzades, que permetin proporcionar de manera fàcilment visible, intel·ligible i clarament llegible una visió adequada de conjunt del tractament previst. Les icones que es presenten en format electrònic s’han de poder llegir mecànicament.

L’encarregat del tractament pot tramitar, pel compte del responsable, les sol·licituds d’exercici dels seus drets que formulin les persones interessades si així ho estableix el contracte o l’acte jurídic que els vincula.

La prova del compliment del deure de respondre a la sol·licitud d’exercici dels drets que formula la persona interessada recau sobre el responsable del tractament.

Quan les normes aplicables a determinats tractaments estableixen un règim especial que afecta l’exercici dels drets de la persona interessada, cal atenir-se al que disposen aquestes normes.

Quan les dades personals que fan referència a la persona interessada s’obtenen d’aquesta, en el moment de recollir-les el responsable del tractament li ha de facilitar la informació següent:

A més de la informació esmentada a l’apartat 1, en el moment d’obtenir les dades personals el responsable del tractament ha de facilitar a la persona interessada la informació següent, necessària per garantir un tractament de dades lleial i transparent:

Si el responsable del tractament preveu el tractament posterior de les dades personals per a una finalitat que no sigui aquella per a la què es van recollir inicialment, el responsable del tractament ha de proporcionar a la persona interessada informació sobre aquesta nova finalitat i qualsevol informació addicional pertinent, d’acord amb l’apartat 2.

Les disposicions dels apartats anteriors no s’apliquen si, i en la mesura en què, la persona interessada ja disposa d’aquesta informació.

Quan les dades personals no s’han obtingut de la persona interessada, el responsable del tractament li ha de facilitar la informació següent:

A més de la informació esmentada a l’apartat 1, el responsable del tractament ha de facilitar a la persona interessada la informació següent, necessària per a garantir un tractament lleial i transparent de les seves dades:

El responsable del tractament ha de facilitar a la persona interessada la informació esmentada als apartats 1 i 2:

Si el responsable del tractament preveu tractar posteriorment les dades personals per a una finalitat diferent de la que va motivar la recollida, abans del tractament posterior ha de proporcionar a la persona interessada informació sobre aquesta altra finalitat i qualsevol informació addicional pertinent, d’acord amb l’apartat 2.

Les disposicions dels apartats 1 a 4 no s’apliquen quan:

Si el responsable del tractament preveu el tractament posterior de les dades personals per a una finalitat que no sigui aquella per a la què es van recollir inicialment, el responsable del tractament ha de proporcionar a la persona interessada informació sobre aquesta nova finalitat i qualsevol informació addicional pertinent, d’acord amb l’apartat 2.

Les administracions públiques poden comunicar-se dades personals informant a la persona interessada sense ser necessari el seu consentiment, sempre que l’Administració pública requeridora justifiqui que les dades sol·licitades són necessàries i proporcionals per a l’exercici de les seves competències en el si de la tramesa d’un procediment administratiu; o estan relacionades amb finalitats científiques, històriques o estadístiques. En el cas que l’Administració pública requeridora no acrediti el que s’ha exposat anteriorment, l’Administració pública requerida ha de refusar-ne la comunicació.

La persona interessada té dret a obtenir del responsable del tractament, en el termini fixat per l’apartat 3 de l’article 15, confirmació de si s’estan tractant dades personals que l’afecten, i si és així, té dret a accedir a aquestes dades i a la informació i les accions següents:

En cas de transferència internacional de dades, la persona interessada té dret a ser informada de les garanties adequades relatives a la transferència.

El responsable del tractament ha de facilitar una còpia de les dades personals objecte de tractament. Per qualsevol altra còpia que sol·liciti la persona interessada, el responsable té dret a percebre un cànon raonable basat en els costos administratius. Quan la persona interessada presenti la sol·licitud per mitjans electrònics, i tret que aquest sol·liciti que es faci d’una altra manera, la informació s’ha de facilitar en un format electrònic d’ús comú.

El dret d’obtenir còpia esmentat a l’apartat 3 no pot afectar negativament els drets i les llibertats de tercers.

La persona interessada té dret a obtenir del responsable del tractament la rectificació de les dades personals inexactes que l’afecten, sense dilació indeguda. La correcció efectiva de les dades s’ha de comunicar a la persona interessada en el termini fixat per l’apartat 3 de l’article 15.

Tenint en compte les finalitats del tractament, la persona interessada té dret a que es completin les dades personals incompletes, fins i tot mitjançant una declaració addicional.

La persona interessada ha d’indicar en la seva sol·licitud a quines dades es refereix i quina correcció s’hi ha de fer. I ha d’adjuntar a la sol·licitud, quan sigui necessari, la documentació justificativa de la inexactitud o del caràcter incomplet de les dades objecte de tractament.

El responsable del tractament ha de comunicar a cadascun dels destinataris als quals s’han comunicat les dades personals qualsevol rectificació d’aquestes, tret que sigui impossible o requereixi un esforç desproporcionat. Si la persona interessada ho sol·licita, el responsable l’ha d’informar sobre aquests destinataris.

La persona interessada té dret a obtenir del responsable del tractament, sense dilació indeguda, en el termini fixat per l’apartat 3 de l’article 15, la supressió de les dades personals que l’afecten. El responsable les ha de suprimir quan concorre alguna de les circumstàncies següents:

Si l’accés a les dades personals s’efectua per mitjà d’un cercador, el responsable del tractament ha de desreferenciar les dades en el termini fixat per l’apartat 3 de l’article 15.

Si el responsable del tractament que ha fet públiques les dades personals, i està obligat a suprimir-les en virtut del que disposa l’apartat 1, tenint en compte la tecnologia disponible i el cost d’aplicar-la, el responsable del tractament ha d’adoptar mesures raonables, incloses mesures tècniques, per informar els responsables que estan tractant aquestes dades que la persona interessada demana suprimir qualsevol enllaç a les seves dades personals, o qualsevol còpia o rèplica existents. Si la persona interessada ho sol·licita, el responsable l’ha d’informar sobre qui ha estat el destinatari de les seves dades.

Els apartats 1, 2 i 3 no s’apliquen quan el tractament és necessari:

El responsable del tractament ha de comunicar a cadascun dels destinataris als quals s’han comunicat les dades personals qualsevol supressió d’aquestes, tret que sigui impossible o requereixi un esforç desproporcionat. Si la persona interessada ho sol·licita, el responsable l’ha d’informar sobre aquests destinataris.

És plenament aplicable a Internet la protecció de les dades personals de totes les persones físiques, sigui quina sigui la seva nacionalitat o la seva residència, pel que fa al tractament i a la utilització de les dades, preservant la vida privada i salvaguardant els drets fonamentals de les persones, bàsicament els relatius a la intimitat i en especial si l’usuari és un menor d’edat.

Tot usuari té dret a la neutralitat d’Internet.

Tota persona té dret a accedir a Internet independentment de la seva condició personal, social, econòmica o geogràfica. S’ha de garantir per a tota la població un accés universal, assequible, de qualitat i no discriminatori, atenent en particular a:

Els usuaris tenen dret a la seguretat de les comunicacions que transmetin i rebin a través d’Internet.

Els proveïdors de serveis d’Internet han de proporcionar una oferta transparent de serveis sense cap discriminació per motius tècnics o econòmics i d’informar els usuaris dels seus drets.

La persona interessada té dret a obtenir del responsable del tractament la limitació del tractament de les dades, en el termini fixat per l’apartat 3 de l’article 15, si es compleix alguna de les condicions següents:

Quan el tractament de dades personals s’ha limitat d’acord amb l’apartat 1, amb l’excepció de la seva conservació, aquestes dades només es poden tractar amb el consentiment de la persona interessada, o per formular, exercir, o defensar reclamacions, o per protegir els drets d’una altra persona física o jurídica, o per raons d’interès públic important.

El fet que el tractament de les dades personals estigui limitat ha de constar clarament en els sistemes d’informació del responsable.

El responsable del tractament ha de comunicar a cadascun dels destinataris als quals s’han comunicat les dades personals qualsevol limitació del tractament, tret que sigui impossible o requereixi un esforç desproporcionat. Si la persona interessada ho sol·licita, el responsable l’ha d’informar sobre aquests destinataris.

Amb la finalitat de reforçar encara més el control sobre les seves pròpies dades, quan el tractament s’efectua per mitjans automatitzats, la persona interessada té dret a la portabilitat de les seves dades. Aquest dret consisteix en sol·licitar, rebre i obtenir per part de la persona interessada, en un format estructurat, d’ús comú i de lectura mecànica, les dades personals que l’afecten i que ha facilitat a un responsable del tractament, incloses les dades que l’afecten derivades de la mateixa activitat del responsable del tractament, en el termini fixat per l’apartat 3 de l’article 15. Té dret a transmetre-les a un altre responsable, sense que ho impedeixi el responsable al qual les havia facilitades, quan:

En exercir el seu dret a la portabilitat de les dades d’acord amb l’apartat 1 d’aquest article, la persona interessada té dret que les dades personals es transmetin directament de responsable a responsable, quan sigui tècnicament possible.

L’exercici del dret a la portabilitat de les dades s’entén sense perjudici del dret de supressió. Aquest dret no s’aplica al tractament necessari per complir una missió realitzada en interès públic o en l’exercici de poders públics conferits al responsable del tractament.

L’exercici d’aquest dret no ha de perjudicar els drets i llibertats de persones diferents de la interessada.

Per motius relacionats amb la seva situació particular i quan el responsable no ha obtingut les dades directament de la persona interessada, aquesta té dret a oposar-se a que les dades personals que l’afecten siguin objecte d’un tractament, inclosa l’elaboració de perfils. En cas d’oposició, en el termini fixat per l’apartat 3 de l’article 15 el responsable del tractament ha de deixar de tractar aquestes dades personals, o acreditar motius legítims imperiosos per al tractament que prevalguin sobre els interessos i els drets i les llibertats de la persona interessada, o per a la formulació, l’exercici o la defensa de reclamacions.

Quan el tractament de dades personals té per objecte el màrqueting directe, la persona interessada té dret a oposar-se en tot moment al tractament de les dades personals que l’afecten, inclosa l’elaboració de perfils relacionada amb el màrqueting esmentat; i, en aquest cas, les dades personals s’han de deixar de tractar per a aquestes finalitats en el termini fixat per l’apartat 3 de l’article 15.

El dret d’oposició s’ha d’esmentar explícitament i s’ha de presentar amb claredat i al marge de qualsevol altra informació, com a màxim en el moment de la primera comunicació amb la persona interessada.

Si les dades personals es tracten amb finalitats de recerca científica o històrica o amb finalitats estadístiques, per motius relacionats amb la seva situació particular, la persona interessada té dret a oposar-se al tractament de dades personals que l’afecten, a menys que el tractament sigui necessari per complir una missió realitzada per raons d’interès públic.

Qualsevol persona interessada té dret a no veure’s sotmesa a una decisió que produeixi efectes jurídics que l’afectin, que es basi únicament en un tractament automatitzat de dades destinat a avaluar determinats aspectes de la seva personalitat, inclosa l’elaboració de perfils.

L’apartat 1 no és d’aplicació quan aquesta decisió:

Les decisions a què es refereix l’apartat 2, lletres a) i c) no s’han de basar en les categories especials de dades personals contemplades per l’article 9, tret que resultin d’aplicació les disposicions de les lletres a) o g) de l’apartat 2 de l’article 9 i que s’hagin pres mesures adequades per protegir els drets i les llibertats i els interessos legítims de la persona interessada.

En els casos a què es refereix l’apartat 2, lletres a) i c), el responsable del tractament ha d’adoptar les mesures adequades per protegir els drets i les llibertats i els interessos legítims de la persona interessada; com a mínim, el dret a obtenir intervenció humana del responsable, a expressar el seu punt de vista i a impugnar la decisió.

Una persona menor d’edat no pot ser sotmesa a una decisió que es basi únicament en un tractament automatitzat de dades destinat a avaluar determinats aspectes de la seva personalitat, inclosa l’elaboració de perfils, que produeixi efectes jurídics que l’afectin.

Únicament per Llei es pot limitar l’abast de les obligacions i dels drets regulats als articles 15 a 25 i 37, així com els establerts a l’article 5 en la mesura en què les seves disposicions es corresponguin amb els drets i les obligacions previstos als articles 15 a 25, sempre que es respectin en l’essencial els drets i les llibertats fonamentals i sigui una mesura necessària i proporcionada al funcionament d’una societat democràtica, amb la finalitat de salvaguardar:

Qualsevol norma que es dicti en l’àmbit determinat per l’apartat 1 ha de contenir, com a mínim, disposicions específiques relatives a:

Tenint en compte la naturalesa, l’àmbit, el context i les finalitats del tractament, així com els riscos de probabilitat i de gravetat diversa per als drets i les llibertats de les persones físiques, el responsable del tractament ha de garantir l’aplicació de les mesures tècniques i organitzatives adequades i ha de poder demostrar que el tractament és conforme a aquesta Llei i a les seves normes de desplegament. Aquestes mesures s’han de revisar i actualitzar quan sigui necessari.