Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals

Quan siguin proporcionades en relació amb les activitats de tractament, entre les mesures esmentades a l’apartat 1 s’hi ha d’incloure l’aplicació, per part del responsable del tractament, de les polítiques de protecció de dades oportunes.

El responsable del tractament pot determinar les mesures tècniques i organitzatives en un codi de conducta en matèria de protecció de dades personals, segons previstos a l’article 40. Un cop adoptat el codi de conducta pel responsable del tractament, o la seva modificació o ampliació, el codi es diposita prop de l’Agència Andorrana de Protecció de Dades.

L’adhesió a codis de conducta o a un mecanisme de certificació aprovat de conformitat amb la normativa de protecció de dades personals de la Unió Europea que tingui validesa general dins de la Unió, pot ser utilitzada per demostrar el compliment de les obligacions per part del responsable del tractament.

Quan dos o més responsables determinen conjuntament la finalitat i els mitjans del tractament, se’ls considera corresponsables del tractament.

Tenint en compte l’estat de la tècnica, el cost d’aplicació i la naturalesa, l’àmbit, el context i les finalitats del tractament, així com els riscos de probabilitat i de gravetat diversa per als drets i les llibertats de les persones físiques, tant en el moment de determinar els mitjans de tractament com en el moment de procedir al tractament, el responsable ha d’implantar les mesures tècniques i organitzatives adequades per aplicar de manera efectiva els principis de protecció de dades i integrar les garanties necessàries en el tractament.

El responsable del tractament ha d’aplicar les mesures tècniques i organitzatives adequades per a garantir que, per defecte, únicament es tracten les dades personals necessàries per a cadascuna de les finalitats específiques del tractament, tant pel que fa a la quantitat de dades personals recollides, a l’abast del tractament, com al termini de conservació i a l’accessibilitat.

Quan responsables o encarregats del tractament no domiciliats al Principat, o no constituïts conforme a les lleis del Principat d’Andorra, fan servir mitjans de tractament ubicats en el territori andorrà, automatitzats o no, han de designar prop de l’Agència Andorrana de Protecció de Dades un representant establert al Principat d’Andorra.

L’obligació que estableix l’apartat 1 d’aquest article no s’aplica:

El responsable o l’encarregat del tractament ha d’encomanar al representant que atengui les consultes sobre tots els assumptes relatius al tractament.

La designació d’un representant del responsable o de l’encarregat del tractament s’ha d’entendre sense perjudici de les accions que es poden emprendre contra aquest responsable o encarregat del tractament i de l’exercici per part del representant de l’acció de repetició prop de qui escaigui.

El responsable del tractament està obligat a bloquejar les dades personals quan en dugui a terme la rectificació o la supressió.

El bloqueig de les dades personals consisteix en la identificació i la reserva d’aquestes, amb l’adopció de mesures tècniques i organitzatives, per impedir-ne el tractament, inclosa la visualització, excepte per a la posada a disposició de les dades als òrgans jurisdiccionals, al Ministeri Fiscal o a les Administracions públiques competents, en particular a l’autoritat de control, per a l’exigència de possibles responsabilitats derivades del tractament i només pel termini de prescripció d’aquestes. Transcorregut aquest termini s’han de destruir les dades.

Les dades bloquejades no es poden tractar per a cap finalitat diferent de la que assenyala l’apartat anterior.

Quan, per al compliment d’aquesta obligació, la configuració del sistema d’informació no permeti el bloqueig o es requereixi una adaptació que impliqui un esforç desproporcionat, s’ha de fer una còpia segura de la informació de manera que consti una evidència digital, o d’una altra naturalesa, que permeti acreditar l’autenticitat d’aquella, la data del bloqueig i la no manipulació de les dades durant el bloqueig.

L’Agència Andorrana de Protecció de Dades pot fixar excepcions a l’obligació de bloqueig que estableix aquest article, en els supòsits en què, atesa la naturalesa de les dades o el fet que es refereixin a un nombre particularment elevat d’afectats, la seva mera conservació, fins i tot bloquejades, pugui generar un risc elevat per als drets dels afectats, així com en els casos en què la conservació de les dades bloquejades pugui implicar un cost desproporcionat per al responsable del tractament.

L’encarregat del tractament i qualsevol persona que actua sota l’autoritat del responsable o de l’encarregat i té accés a dades personals, només pot tractar aquestes dades seguint instruccions del responsable, tret que hi estigui obligat per una exigència legal.

El responsable del tractament té el deure d’escollir un encarregat que ofereixi garanties suficients per aplicar les mesures tècniques i organitzatives adequades, de manera que el tractament sigui conforme als requisits d’aquesta Llei i garanteixi la protecció dels drets de la persona interessada.

L’encarregat del tractament no pot recórrer a un altre encarregat sense l’autorització prèvia, per escrit, específica o general, del responsable. L’encarregat ha d’informar el responsable de qualsevol canvi previst en la incorporació o la substitució d’altres encarregats i, d’aquesta manera, donar al responsable l’oportunitat d’oposar-se a aquests canvis.

El tractament efectuat per l’encarregat del tractament de dades personals es regeix per un contracte escrit que vincula l’encarregat al responsable, i estableix, en el termes definits reglamentàriament, l’objecte, la durada, la naturalesa i la finalitat del tractament, així com el tipus de dades personals, categories de persones interessades i les obligacions i els drets del responsable. El contracte ha d’estipular, en particular, que l’encarregat ha de:

Quan un encarregat del tractament recorre a un altre encarregat per dur a terme determinades activitats de tractament per compte del responsable, s’han d’imposar a aquest altre encarregat, mitjançant un contracte escrit, les mateixes obligacions de protecció de dades que les estipulades en el contracte entre el responsable i l’encarregat, especialment la prestació de garanties suficients d’aplicació de mesures tècniques i organitzatives adequades de manera que el tractament sigui conforme amb les disposicions d’aquesta Llei. Si aquest altre encarregat incompleix les obligacions de protecció de dades, l’encarregat inicial continua sent plenament responsable del compliment de les obligacions de l’altre encarregat davant del responsable.

L’adhesió de l’encarregat del tractament a codis de conducta o un mecanisme de certificació aprovat de conformitat amb la normativa de protecció de dades personals de la Unió Europea que tingui validesa general dins de la Unió, es pot utilitzar com a element per demostrar que hi ha les garanties suficients a què es refereixen els apartats 2 i 5.

Sense perjudici que el responsable i l’encarregat del tractament subscriguin un contracte individual, el contracte referit als apartats 4 i 5 es pot basar, totalment o parcialment, en les clàusules contractuals tipus a què es refereix l’apartat 8 o a les clàusules contractuals tipus aprovades per la Comissió Europea, fins i tot si formen part d’una certificació concedida al responsable o a l’encarregat de conformitat amb la normativa de protecció de dades personals de la Unió Europea.

L’Agència Andorrana de Protecció de Dades pot adoptar clàusules contractuals tipus per a les qüestions a què es refereixen els apartats 4 i 5.

El contracte a què es refereixen els apartats 4 i 5 ha de constar per escrit, inclòs en format electrònic.

Sense perjudici del règim sancionador previst en aquesta Llei, si un encarregat del tractament infringeix aquesta Llei en determinar els fins i els mitjans del tractament, se l’ha de considerar responsable del tractament pel que fa a dit tractament.

En l’àmbit del sector públic, poden atribuir-se les competències pròpies d’un encarregat del tractament a un determinat òrgan de l’Administració pública de la què es tracti o als seus organismes vinculats o dependents mitjançant l’adopció d’una norma reguladora de les referides competències, que ha d’incorporar el contingut previst a l’apartat 4.

Quan sigui probable que un tipus de tractament, especialment si utilitza noves tecnologies, i tenint en compte la seva naturalesa, abast, context o finalitats, pot comportar un alt risc per als drets i les llibertats de les persones físiques, abans del tractament, el responsable, ja sigui públic o privat, ha d’avaluar l’impacte de les operacions de tractament en la protecció de dades personals. Una única avaluació pot abordar una sèrie d’operacions de tractament similars que comportin alts riscos similars.

El responsable del tractament ha de demanar l’assessorament del delegat de protecció de dades, si l’ha designat, en el moment de realitzar l’avaluació d’impacte relativa a la protecció de dades.

L’avaluació d’impacte relativa a la protecció de les dades a què es refereix l’apartat 1 s’ha de requerir, en particular, en cas de:

L’Agència Andorrana de Protecció de Dades ha d’establir i publicar una llista dels tipus d’operacions de tractament que requereixen una avaluació d’impacte relativa a la protecció de dades, de conformitat amb l’apartat 1.

L’Agència Andorrana de Protecció de Dades també pot establir i publicar la llista dels tipus de tractament que no requereixen avaluacions d’impacte relatives a la protecció de dades.

L’avaluació ha d’incloure, com a mínim:

El compliment dels codis de conducta pels responsables o encarregats corresponents, s’ha de tenir degudament en compte en avaluar les repercussions de les operacions de tractament efectuades per aquests responsables o encarregats, en particular a l’efecte de l’avaluació d’impacte relativa a la protecció de dades.

Si escau, el responsable ha de recollir l’opinió de les persones interessades o dels seus representants en relació amb el tractament previst, sense perjudici de la protecció d’interessos públics o comercials o de la seguretat de les operacions de tractament.

Si cal, el responsable ha d’examinar si el tractament es fa d’acord amb l’avaluació d’impacte relativa a la protecció de dades, com a mínim quan hi hagi un canvi del risc que representen les operacions de tractament.

Reglamentàriament es fixen la resta de condicions en què s’efectua l’avaluació, així com l’escala de riscos.

El responsable ha de consultar a l’Agència Andorrana de Protecció de Dades abans de procedir al tractament si una avaluació d’impacte relativa a la protecció de les dades personals, en virtut del que disposa l’article 32, mostra que el tractament comporta un alt risc, si el responsable no pren mesures per mitigar-lo.

Quan l’Agència Andorrana de Protecció de Dades consideri que el tractament a què es refereix l’apartat 1 pot infringir aquesta Llei, especialment quan el responsable no ha identificat o mitigat suficientment el risc, en un termini de vuit setmanes des de la sol·licitud de la consulta, ha d’assessorar el responsable per escrit, i si escau l’encarregat, i pot utilitzar qualsevol dels poders que li atribueix aquesta Llei. Aquest termini es pot prorrogar sis setmanes, segons la complexitat del tractament previst. L’Agència Andorrana de Protecció de Dades ha d’informar el responsable, i si escau l’encarregat, d’aquesta pròrroga, en el termini d’un mes a partir de la recepció de la sol·licitud de consulta, i indicar-li els motius de la dilació. Aquests terminis es poden suspendre fins que l’Agència Andorrana de Protecció de Dades obtingui la informació sol·licitada per a les finalitats de la consulta.

Quan consulti a l’Agència Andorrana de Protecció de Dades de conformitat amb l’apartat 1, el responsable del tractament li ha de facilitar la informació següent:

Els òrgans que constitueixen l’Administració pública, inclosos els organismes autònoms o entitats parapúbliques, així com tota empresa o organització pública, que siguin responsables o encarregats del tractament de dades personals, han de portar un registre de les activitats de tractament efectuades sota la seva responsabilitat.

Tota empresa o organització privada que siguin responsables del tractament de dades personals o encarregat del tractament, ha de portar, si escau, un registre de les activitats de tractament efectuades sota la seva responsabilitat.

Cada responsable, i si escau el seu representant, han de portar un registre de les activitats de tractament efectuades sota la seva responsabilitat. Aquest registre ha de contenir tota la informació següent:

Cada encarregat del tractament i, si escau, el seu representant, que porten el registre, hi han d’indicar totes les categories d’activitats de tractament efectuades per compte d’un responsable. El registre ha de contenir:

Els registres han de constar per escrit, inclòs el format electrònic.

Quan el responsable o l’encarregat del tractament hagin designat un delegat de protecció de dades, li han de comunicar qualsevol addició, modificació o exclusió en el contingut dels registres.

El responsable o l’encarregat del tractament i, si escau, el seu representant, han de posar el registre a disposició de l’Agència Andorrana de Protecció de Dades quan aquesta autoritat de control ho sol·liciti.

Les obligacions que estableixen els apartats 2 a 4 no s’apliquen a cap empresa ni organització que tingui menys de 50 treballadors, tret que el tractament pugui comportar un risc per als drets i les llibertats de les persones interessades, no sigui ocasional o inclogui les categories especials de dades personals esmentades a l’article 9, o les dades personals relatives a condemnes i infraccions penals a què es refereix l’article 10.

Tenint en compte l’estat de la tècnica, el cost d’aplicació i la naturalesa, l’abast, el context i les finalitats del tractament, així com els riscos de probabilitat i de gravetat diversa per als drets i les llibertats de les persones físiques, el responsable i l’encarregat del tractament han d’aplicar les mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc, que si escau inclogui, entre altres:

En avaluar l’adequació del nivell de seguretat, cal tenir particularment en compte els riscos que presenta el tractament de dades, en especial com a conseqüència de la destrucció, la pèrdua o l’alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d’una altra manera, o la comunicació o l’accés no autoritzats a aquestes dades.

L’adhesió a codis de conducta o a un mecanisme de certificació aprovat de conformitat amb la normativa de protecció de dades personals de la Unió Europea que tingui validesa general dins de la Unió, pot servir d’element per demostrar que es compleixen els requisits que estableix l’apartat 1 d’aquest article.

El responsable i l’encarregat del tractament han de prendre mesures per garantir que qualsevol persona que actua sota la seva autoritat i que té accés a dades personals només pot tractar aquestes dades seguint les instruccions del responsable, tret que estigui obligada en virtut d’una exigència legal a fer-ho altrament.

A més dels deures de secret professional de conformitat amb la normativa aplicable, els responsables del tractament de dades i encarregats del tractament, així com totes les persones que intervinguin en qualsevol de les seves fases estan subjectes al deure de confidencialitat, que es manté encara que hagi finalitzat la relació de l’obligat amb el responsable del tractament o l’encarregat del tractament.

En cas de violació de la seguretat de les dades personals, el responsable del tractament l’ha de notificar a l’Agència Andorrana de Protecció de Dades, sense dilació indeguda i, si és possible, en un termini màxim de setanta-dues hores després que n’hagi tingut constància; tret que sigui improbable que aquesta violació de la seguretat constitueixi un risc per als drets i les llibertats de les persones físiques. Si la notificació no es produeix en el termini de setanta-dues hores, s’han de justificar els motius de la dilació.

L’encarregat del tractament ha de notificar al responsable del tractament, sense dilació, les violacions de la seguretat de les dades personals de les quals té coneixement.

La notificació que preveu l’apartat 1, com a mínim, ha de:

Si tota la informació no es pot facilitar simultàniament, en la mesura que no es pugui, s’ha de facilitar de manera gradual sense dilació indeguda.

El responsable del tractament ha de documentar qualsevol violació de la seguretat de les dades personals, inclosos els fets que hi estan relacionats, els seus efectes i les mesures correctores que s’han adoptat, per tal de permetre a l’autoritat de control verificar el compliment de la notificació.

Quan la violació de la seguretat de les dades personals pot comportar un alt risc per als drets i les llibertats de les persones físiques, el responsable del tractament l’ha de comunicar a la persona interessada sense dilació indeguda.

La comunicació a la persona interessada, referida a l’apartat precedent, ha de descriure, amb un llenguatge clar i senzill, la naturalesa de la violació de la seguretat de les dades personals i ha de contenir, com a mínim, la informació i les mesures previstes a les lletres b), c) i d) de l’apartat 3 de l’article 36.

La comunicació a la persona interessada, referida a l’apartat 1, no és necessària si es compleix alguna de les condicions següents:

Quan el responsable encara no ha comunicat a la persona interessada la violació de la seguretat de les dades personals, l’autoritat de control, una vegada considerada la probabilitat que aquesta violació comporti un alt risc, pot exigir al responsable que ho faci o bé pot decidir que es compleix alguna de les condicions esmentades a l’apartat precedent.

Els òrgans que constitueixen l’Administració pública, inclosos els organismes autònoms o les entitats parapúbliques, han de designar un delegat de protecció de dades. Resten expressament exclosos d’aquesta obligació els tribunals que actuen en exercici de la seva funció judicial.

Tota empresa o organització privada, que siguin responsables del tractament de dades personals o encarregats del tractament de dades de persones físiques de manera automatitzada per a prendre decisions que produeixin efectes jurídics per a les persones físiques, tractin a gran escala categories especials de dades o tractin una quantitat considerable de dades personals d’àmbit nacional o supranacional que puguin afectar un gran nombre d’interessats i que puguin comportar un alt risc per als drets i llibertats de les persones interessades, en particular quan les operacions de tractament dificulten l’exercici dels seus drets, han de designar un delegat de protecció de dades.

Quan el responsable o l’encarregat del tractament és un organisme públic, pot designar un únic delegat de protecció de dades per a varis d’aquests organismes en funció de la seva estructura organitzativa i del seu volum. Un grup empresarial també pot nomenar un únic delegat de protecció de dades, sempre que sigui fàcilment accessible des de cada establiment.

El responsable o l’encarregat del tractament ha de comunicar les dades de contacte del delegat de protecció de dades a l’Agència Andorrana de Protecció de Dades en el termini de deu dies hàbils següents a la data del seu nomenament; s’han de comunicar així mateix els cessaments dels delegats de protecció de dades en qualsevol supòsit.

El delegat de protecció de dades s’ha de designar atenent a les seves qualitats professionals i, especialment, als coneixements especialitzats del dret, a la pràctica en matèria de protecció de dades i a la capacitat per exercir les funcions esmentades en aquest article.

El delegat de protecció de dades pot formar part de la plantilla del responsable o de l’encarregat del tractament o exercir les seves funcions en el marc d’un contracte de serveis.

Són funcions generals dels delegats de protecció de dades informar i assessorar de les seves obligacions el responsable o l’encarregat del tractament i els empleats que s’ocupen del tractament; supervisar les polítiques del responsable o de l’encarregat del tractament en matèria de protecció de dades personals, inclosa l’assignació de responsabilitats, la conscienciació i la formació del personal que participa en les operacions de tractament i les auditories corresponents; assessorar en l’avaluació d’impacte i supervisar-ne l’aplicació; cooperar amb l’autoritat de control; i actuar com a punt de contacte de l’autoritat de control per a qüestions relatives al tractament, inclosa la consulta prèvia a què es refereix l’article 33, i fer consultes, si escau, sobre qualsevol altre assumpte.

El delegat de protecció de dades ha d’exercir les seves funcions prestant la deguda atenció als riscos associats a les operacions de tractament, tenint en compte la naturalesa, l’abast, el context i les finalitats del tractament.

El responsable i l’encarregat del tractament han de garantir que el delegat de protecció de dades participa de manera adequada i en el moment oportú en totes les qüestions relatives a la protecció de dades personals.

El responsable i l’encarregat del tractament han de donar suport al delegat de protecció de dades, en l’acompliment de les funcions esmentades a l’apartat 7 de l’article 38. Han de facilitar els recursos necessaris per complir aquestes tasques i per accedir a les dades personals i a les operacions de tractament, així com per mantenir el seu coneixement expert.

El responsable i l’encarregat del tractament han de garantir que el delegat de protecció de dades no rebi instruccions sobre l’exercici d’aquestes tasques. El responsable o l’encarregat no el pot destituir ni sancionar per exercir les seves funcions. El delegat de protecció de dades ha de rendir comptes directament al nivell jeràrquic més alt del responsable o de l’encarregat.

Les persones interessades es poden posar en contacte amb el delegat de protecció de dades en relació amb totes les qüestions relacionades amb el tractament de les seves dades personals i per exercir els seus drets, a l’empara d’aquesta Llei.

El delegat de protecció de dades està obligat a mantenir el secret o la confidencialitat en tot el que es refereix a l’acompliment de les seves funcions.

El delegat de protecció de dades pot exercir altres tasques i funcions. El responsable o l’encarregat del tractament ha de garantir que aquestes tasques i funcions no donen lloc a conflicte d’interessos.

L’Agència Andorrana de Protecció de Dades ha de promoure l’elaboració de codis de conducta destinats a contribuir a la correcta aplicació d’aquesta Llei, tenint en compte les característiques específiques dels diferents sectors de tractament i les necessitats específiques de les microempreses i les petites i mitjanes empreses.

Les associacions i altres organismes que representen categories de responsables o d’encarregats del tractament poden elaborar codis de conducta, modificar-los o ampliar-los, per tal d’especificar l’aplicació d’aquesta Llei pel que fa, per exemple, a:

El codi de conducta a què es refereix l’apartat 2 ha de contenir mecanismes que permetin a l’organisme previst a l’apartat 1 de l’article 41, efectuar el control obligatori del compliment de les seves disposicions pels responsables o els encarregats de tractament que es comprometin a aplicar-lo sense perjudici de les funcions i els poders de l’Agència Andorrana de Protecció de Dades.

Les associacions i altres organismes esmentats a l’apartat 2 que prevegin elaborar un codi de conducta, o modificar o ampliar un codi d’existent, han de presentar el projecte de codi o la modificació o ampliació a l’Agència Andorrana de Protecció de Dades, d’acord amb el procediment que s’estableixi reglamentàriament. L’Agència Andorrana de Protecció de Dades ha de dictaminar si el projecte de codi o la modificació o ampliació és conforme a aquesta Llei i, ha d’aprovar aquest projecte de codi o la modificació o ampliació si considera que les garanties que ofereix són suficients.

Sense perjudici de les funcions i els poders de l’Agència Andorrana de Protecció de Dades, la supervisió del compliment del codi de conducta la pot fer un organisme que tingui el nivell adequat de perícia en relació amb l’objecte del codi i que estigui acreditat amb aquesta finalitat per l’autoritat de control.

L’organisme a què es refereix l’apartat 1 pot estar acreditat per supervisar el compliment d’un codi de conducta, si, cumulativament:

Reglamentàriament s’han d’establir els requisits d’acreditació dels organismes previstos a l’apartat 1.

Sense perjudici de les funcions i els poders de l’Agència Andorrana de Protecció de Dades i del règim sancionador previst en aquesta Llei, en cas d’infracció del codi per un responsable o encarregat del tractament, un organisme acreditat a tenor de l’apartat 1, ha de prendre, amb subjecció a garanties adequades, les mesures oportunes, inclosa la suspensió o l’exclusió de l’infractor. Ha d’informar l’Agència Andorrana de Protecció de Dades d’aquestes mesures i de les raons de les mateixes.

L’Agència Andorrana de Protecció de Dades ha de revocar l’acreditació de l’organisme, si els requisits d’acreditació no es compleixen o han deixat de complir-se o si l’actuació de l’organisme infringeix aquesta Llei.

Aquest article no s’aplica al tractament efectuat per autoritats i organismes públics.

No es poden efectuar comunicacions internacionals de dades quan el país o l’organització internacional de destinació de les dades no estableixi, en la seva normativa vigent, un nivell de protecció per a dades de caràcter personal equivalent, com a mínim, al que estableix aquesta Llei.

En les transferències de dades personals cap a un tercer país o una organització internacional s’ha de garantir que no es menyscabi el nivell de protecció de les persones físiques que estableix aquesta Llei.

El nivell de protecció adequat ve determinat per la publicació al Diari Oficial de la Unió Europea, i al seu lloc web, de la llista de tercers països, territoris i sectors específics en un tercer país i d’organitzacions internacionals respecte dels quals la Unió Europea ha decidit que es garanteix, o que ja no es garanteix, un nivell de protecció adequat; o per la submissió efectiva a les disposicions del Conveni 108+ del Consell d’Europa per a la protecció de dades de les persones en relació al tractament de dades de caràcter personal.

Es pot fer una transferència de dades personals a un tercer país o a una organització internacional quan un territori o un o diversos sectors específics d’aquest tercer país o de l’organització internacional de què es tracti garanteixen un nivell de protecció adequat.

Si no es compta amb la determinació d’un nivell de protecció adequat per la publicació al Diari Oficial de la Unió Europea, o per la submissió efectiva a les disposicions del Conveni 108+ del Consell d’Europa, el responsable o l’encarregat del tractament de dades personals només pot trametre-les a un tercer país o a una organització internacional si existeixen garanties adequades i si les persones interessades compten amb drets exigibles i accions legals efectives.

Les garanties adequades i els drets exigibles i accions legals efectives de les persones interessades s’han d’avaluar per l’APDA tenint en compte, en particular, l’estat de dret, el respecte dels drets humans i les llibertats fonamentals; la legislació pertinent, tant general com sectorial, inclosa la relativa a la seguretat pública, la defensa, la seguretat nacional i la legislació penal; l’accés de les autoritats públiques a les dades personals, així com l’aplicació d’aquesta legislació; les normes de protecció de dades, les normes professionals i les mesures de seguretat, incloses les normes sobre transferències posteriors de dades personals a un altre tercer país o organització internacional que es compleixen en aquest país o organització internacional; la jurisprudència, així com el reconeixement de drets efectius i exigibles i de recursos administratius i accions judicials que siguin efectius a les persones interessades de les quals es transfereixen les dades personals. També es consideraran els compromisos internacionals assumits pel tercer país o per la organització internacional de què es tracti, o altres obligacions derivades d’acords o instruments jurídicament vinculants, en especial en relació amb la protecció de les dades personals.

En particular, l’acreditació de que existeixen les garanties adequades referides als apartats anteriors, es pot efectuar mitjançant l’adopció de:

Tanmateix, l’acreditació de que existeixen les garanties adequades referides als apartats 1 i 2, es pot efectuar mitjançant:

Si no existeix decisió d’adequació ni garanties adequades, només es pot fer una transferència o un conjunt de transferències de dades personals a un tercer país o a una organització internacional si es compleix alguna de les condicions següents:

Fora de l’àmbit de les activitats desenvolupades per les autoritats públiques en l’exercici dels seus poders públics, si no existeix decisió d’adequació, ni tampoc existeixen garanties adequades, i no es pot aplicar a la transferència o a un conjunt de transferències de dades personals cap de les excepcions específiques recollides a l’apartat 1, la transferència només es pot dur a terme si no és repetitiva, afecta un nombre limitat de persones interessades, i és necessària per a les finalitats d’interessos legítims imperiosos perseguits pel responsable del tractament, sobre els quals no prevalen els interessos o els drets i les llibertats de la persona interessada, i el responsable del tractament ha avaluat totes les circumstàncies concurrents en la transferència de dades i, basant-se en aquesta avaluació, ha ofert garanties adequades respecte de la protecció de dades personals. En aquest cas, el responsable del tractament ha d’informar l’autoritat de control de la transferència. També n’ha d’informar la persona interessada notificant-li els interessos legítims imperiosos perseguits i facilitant-li, a més, la informació contemplada als articles 16 i 17.

El responsable o l’encarregat del tractament de dades personals han de documentar en el registre de les activitats del tractament l’avaluació i les garanties apropiades referides a l’apartat 2.

Les excepcions per a situacions específiques s’han d’interpretar de manera estricta i restrictiva, per tal d’evitar que llur aplicació provoqui qualsevol vulneració dels drets de la persona, en particular del dret a la intimitat.

L’Agència Andorrana de Protecció de Dades està integrada per:

El cap de l’Agència i els inspectors de Protecció de Dades són designats pel Consell General, per majoria qualificada de dues terceres parts en primera votació; si en una primera votació no s’assoleix la majoria requerida anteriorment, queden elegits els candidats que, en una segona votació, obtinguin el vot favorable de la majoria absoluta.

Cada membre de l’Agència Andorrana de Protecció de Dades ha de posseir la titulació, l’experiència i les aptituds, en particular en l’àmbit de la protecció de dades personals, necessàries per al compliment de les seves funcions i l’exercici dels seus poders.

Sense perjudici del que estableix l’article 59, els membres de l’Agència Andorrana de Protecció de Dades s’han d’abstenir de qualsevol acció que sigui incompatible amb les seves funcions i no poden participar, mentre duri el seu mandat, en cap activitat professional que sigui incompatible, remunerada o no.

El càrrec de membre de l’Agència Andorrana de Protecció de Dades és incompatible:

Els membres de l’Agència Andorrana de Protecció de Dades perden la seva condició per les causes següents:

Els membres i el personal de l’Agència Andorrana de Protecció de Dades estan subjectes al deure de secret professional, tant durant el seu mandat com després del mateix, en relació amb les informacions confidencials de les quals tenen coneixement en el compliment de les seves funcions o en l’exercici dels seus poders. Durant el seu mandat, aquest deure de secret professional s’aplica especialment a la informació rebuda de persones físiques en relació amb infraccions a aquesta Llei.

L’Agència Andorrana de Protecció de Dades es finança exclusivament de les partides pressupostàries que cada any estableix per al seu funcionament el pressupost del Consell General.

L’Agència Andorrana de Protecció de Dades exerceix la seva autoritat de control sobre els tractaments de dades personals i sobre qualsevol ús posterior d’aquestes dades, que es duguin a terme al Principat d’Andorra per part dels òrgans que constitueixen l’Administració pública, inclosos els organismes autònoms o entitats parapúbliques; i les persones i les entitats privades que, d’acord amb el que estableix aquesta Llei, són responsables del tractament i tenen el seu domicili al Principat d’Andorra o s’han constituït d’acord amb les lleis del Principat d’Andorra.

Pel que fa als encarregats del tractament que tenen el seu domicili al Principat d’Andorra o s’han constituït d’acord amb les lleis del Principat d’Andorra, i amb independència del domicili o la nacionalitat dels responsables del tractament pels quals presten els seus serveis, l’Agència és competent per verificar el compliment d’aquesta Llei.

L’Agència Andorrana de Protecció de Dades exerceix així mateix la seva autoritat de control sobre els tractaments de dades que porten a terme els responsables del tractament que no estan domiciliats al Principat d’Andorra o no s’han constituït d’acord amb les lleis del Principat d’Andorra però que utilitzen mitjans de tractament de dades personals ubicats a Andorra.

També és competència de l’Agència la col·laboració amb altres autoritats i entitats de control en matèria de dades personals d’altres països.

L’Agència Andorrana de Protecció de Dades prendrà mesures per a crear mecanismes de cooperació internacional que facilitin l’aplicació eficaç de la legislació relativa a la protecció de dades personals, a prestar-se mútuament assistència en l’aplicació de la legislació relativa a la protecció de dades personals i promoure l’intercanvi i la documentació legislativa i les pràctiques en matèria de protecció de dades.

L’Agència Andorrana de Protecció de Dades té dins del seu àmbit d’actuació competències de vigilància del compliment d’aquesta Llei, de proposta de millores en la normativa de protecció de dades personals, de redacció eventual d’informes facultatius i consultius previs als tractaments, d’informació, de consulta, de registre, de control, d’inspecció, d’investigació, de decisió, de resolució i de sanció, i també de cooperació amb altres autoritats de control, de conformitat amb les obligacions que en relació amb aquest darrer aspecte estableixen els convenis internacionals subscrits pel Principat d’Andorra.

L’Agència Andorrana de Protecció de Dades no és competent per controlar les operacions de tractament efectuades pels tribunals en l’exercici de la seva funció judicial.

L’Agència Andorrana de Protecció de Dades pot proposar les millores que consideri convenients en la normativa de protecció de dades personals; i elabora una memòria anual relativa a la seva activitat i als resultats que se’n deriven. La memòria anual és pública.

Sense perjudici de les altres funcions i potestats que li atribueix aquesta Llei i la seva normativa de desenvolupament, són funcions de l’Agència Andorrana de Protecció de Dades:

L’Agència Andorrana de Protecció de Dades ha de facilitar la presentació de les reclamacions previstes a la lletra k) de l’apartat anterior mitjançant mesures com un formulari de presentació de reclamacions que també pugui emplenar-se per mitjans electrònics, sense excloure altres mitjans de comunicació.

L’acompliment de les funcions de l’Agència Andorrana de Protecció de Dades ha de ser gratuït per a la persona interessada i, si escau, per al delegat de protecció de dades.

Quan les sol·licituds són manifestament infundades o excessives, especialment a causa del seu caràcter repetitiu, es pot cobrar un preu públic raonable basat en els costos administratius o bé negar-se a actuar respecte de la sol·licitud. La càrrega de demostrar el caràcter manifestament infundat o excessiu de la sol·licitud correspon a l’autoritat de control.

El règim aplicable al personal adscrit a l’Agència, llevat del cap i dels inspectors, és el que estableix la normativa vigent en matèria laboral.

Els llocs reservats al personal adscrit a l’Agència es proveeixen mitjançant una convocatòria pública i d’acord amb els principis d’igualtat, mèrit i capacitat.

L’Agència Andorrana de Protecció de Dades ajusta la seva comptabilitat al règim de comptabilitat pública, i el cap de l’Agència actua com a òrgan unipersonal en representació de l’APDA.

El control financer de l’Agència Andorrana de Protecció de Dades el porta a terme el Tribunal de Comptes.

L’Agència Andorrana de Protecció de Dades té un patrimoni propi constituït pels béns i pels drets que adquireix.

El règim jurídic de contractació de l’Agència és el que estableix la legislació vigent sobre contractes de les administracions públiques.

El cap de l’Agència dirigeix l’Agència Andorrana de Protecció de Dades i n’exerceix la representació legal. Acompleix les seves funcions amb plena independència, neutralitat i objectivitat, sense subjecció a cap mandat imperatiu ni instrucció.

El cap de l’Agència és nomenat pel Consell General, amb la majoria de vots establerta per aquesta Llei; té la consideració d’autoritat pública en el desenvolupament de la seva activitat, i està obligat a mantenir el secret sobre la informació que conegui en l’exercici de les seves funcions, fins i tot després d’haver cessat en el càrrec.

El cap de l’Agència és nomenat per un període renovable de quatre anys.

Correspon específicament al cap de l’Agència:

Els inspectors de l’Agència Andorrana de Protecció de Dades assisteixen i col·laboren amb el cap de l’Agència en l’exercici de les funcions pròpies de l’Agència.

Els inspectors són nomenats pel Consell General amb la mateixa majoria de vots que s’ha establert per nomenar el cap de l’Agència.

Els inspectors tenen la consideració d’autoritat pública en el desenvolupament de llur activitat i estan obligats a mantenir el secret sobre la informació que coneguin en l’exercici de les seves funcions, fins i tot després d’haver cessat del càrrec.

Els inspectors són nomenats per un període renovable de quatre anys.

Correspon específicament als inspectors de l’Agència:

Qualsevol persona interessada que consideri que el tractament de dades personals que l’afecta infringeix aquesta Llei té dret a presentar una reclamació davant l’Agència Andorrana de Protecció de Dades, per mitjans electrònics o de forma presencial, i aquesta autoritat de control avalua l’admissibilitat a tràmit de la reclamació.

Si admet a tràmit la reclamació, l’Agència Andorrana de Protecció de Dades comença una fase d’actuacions prèvies d’investigació a fi d’aconseguir una determinació millor dels fets i de les circumstàncies que justifiquen la tramitació del procediment; i informa la persona reclamant sobre el curs i el resultat de la seva reclamació.

Si l’Agència rebutja la reclamació, ha de fer-ho motivadament, i la resolució de refús o el silenci negatiu, segons els terminis regulats al Codi de l’Administració, són susceptibles de ser recorreguts davant els tribunals andorrans.

La persona interessada pot actuar personalment o representada per apoderat.

Tanmateix, la persona interessada té dret a donar mandat a una entitat, una organització o una associació sense ànim de lucre, constituïda de conformitat amb la normativa andorrana, que tingui objectius estatutaris d’interès públic i que actuï en l’àmbit de la protecció dels drets i les llibertats de les persones interessades en matèria de protecció de les seves dades personals, perquè en nom seu presenti la reclamació prevista en aquest article i, en nom seu exerciti els drets a la tutela judicial efectiva contra l’Agència Andorrana de Protecció de Dades i contra el responsable i l’encarregat del tractament.

L’Agència Andorrana de Protecció de Dades disposa de poders d’investigació que pot portar a terme per iniciativa pròpia, o bé a sol·licitud de qualsevol persona interessada que consideri que els seus drets han estat afectats o que un responsable o l’encarregat del tractament ha incomplert les obligacions establertes per aquesta Llei.

Per exercir les seves funcions i potestats, l’Agència Andorrana de Protecció de Dades pot dirigir-se directament als responsables de tractament o als encarregats o als representants, o, si escau, als delegats de protecció de dades. Tant els responsables com els encarregats del tractament o els representants, com els delegats de protecció de dades, estan obligats a subministrar als inspectors de l’Agència tota la informació que sol·licitin i també a facilitar-los l’accés a les dependències i als recursos informàtics, o d’altre tipus, destinats al tractament de les dades quan se’ls sol·liciti en l’exercici d’aquesta facultat de control.

Dins del marc de qualsevol investigació, per reunir les proves necessàries, els inspectors de l’Agència, si escau assistits d’experts externs segons que estableix l’apartat b) de l’article anterior, es poden traslladar a l’indret d’ubicació dels fitxers, constatar el material, i elaborar, si és convenient, un reportatge fotogràfic o per altres mitjans.

En el marc de les inspeccions l’Agència pot requerir documentació o informació que consideri rellevant; en aquest sentit pot:

L’Agència Andorrana de Protecció de Dades disposa de la capacitat d’imposar les sancions que es preveuen en aquesta Llei.

Per imposar sancions per infraccions comeses en matèria de protecció de dades personals, és obligatòria la tramitació d’un expedient en el curs del qual s’han de respectar les garanties i els requisits previstos en aquesta Llei i els reglaments que la desenvolupen. El procediment sancionador ha de respectar allò que estableix la normativa vigent en cada moment relativa al procediment administratiu sancionador.

El procediment sancionador consta de les següents fases:

L’inici d’un procediment instructor ha d’especificar els fets, la identificació de la persona o l’entitat contra la qual es dirigeix el procediment, la infracció que s’ha pogut cometre i la possible sanció.

En qualsevol cas, correspon als inspectors de l’Agència Andorrana de Protecció de Dades remetre al cap de l’Agència les propostes de sancions que es derivin de les seves inspeccions, i correspon al cap l’Agència Andorrana de Protecció de Dades resoldre aquestes propostes.

En circumstàncies extraordinàries i excepcionals, si l’Agència Andorrana de Protecció de Dades considera que és urgent intervenir per protegir els drets i les llibertats de les persones interessades, pot adoptar immediatament, de manera motivada, mesures provisionals destinades a produir efectes jurídics.

Durant la pràctica de les actuacions prèvies d’investigació o iniciat un procediment sancionador, l’Agència Andorrana de Protecció de Dades també pot acordar motivadament les mesures provisionals necessàries i proporcionades per salvaguardar el dret fonamental a la intimitat.