LegalizeLlei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals
L’Agència Andorrana de Protecció de Dades disposa, acumulativament, de les potestats correctives indicades a continuació:
Sancionar qualsevol responsable o encarregat del tractament amb una advertència, si les operacions de tractament previstes infringeixen aquesta Llei.
Sancionar qualsevol responsable o encarregat del tractament amb una amonestació, si les operacions de tractament han infringit aquesta Llei.
Ordenar al responsable o a l’encarregat del tractament que atengui les sol·licituds d’exercici dels drets de l’interessat, en virtut del que disposa aquesta Llei.
Ordenar al responsable o a l’encarregat del tractament que les operacions de tractament s’ajustin a les disposicions d’aquesta Llei, d’una determinada manera i dins d’un termini especificat, si escau.
Ordenar al responsable del tractament que comuniqui a la persona interessada les violacions de la seguretat de les dades personals.
Imposar una limitació temporal o definitiva del tractament, inclosa la seva prohibició.
Ordenar la rectificació o la supressió de dades personals o la limitació de tractament, de conformitat amb els articles 19, 20 i 22 i la notificació d’aquestes mesures als destinataris als quals s’han comunicat les dades personals.
Ordenar la suspensió dels fluxos de dades cap a un destinatari situat en un tercer país o cap a una organització internacional.
Imposar una multa administrativa de conformitat amb l’article següent a més de les mesures correctives, segons les circumstàncies de cada cas.
Article 68. Condicions generals per imposar multes administratives
L’incompliment d’aquesta Llei pot ser objecte de multa administrativa. La quantia de la sanció la fixa l’autoritat de control, tenint en compte els criteris indicats a l’apartat 2. Les multes administratives per les infraccions d’aquesta Llei han de ser, en cada cas individual, efectives, proporcionades i dissuasives.
D’acord amb les circumstàncies de cada cas individual, les multes administratives s’imposen a títol addicional o a títol substitutiu de les mesures correctives indicades a l’article precedent. En decidir la imposició d’una multa administrativa i la seva quantia, s’ha de tenir en compte per a cada cas individual:
La naturalesa, la gravetat i la durada de la infracció, segons la naturalesa, l’abast o la finalitat de l’operació de tractament, així com el nombre de persones interessades afectades i el nivell dels danys i perjudicis que hagin sofert.
La intencionalitat o la negligència en la infracció.
Qualsevol mesura presa pel responsable o l’encarregat del tractament per pal·liar els danys i perjudicis que han sofert les persones interessades.
El grau de responsabilitat del responsable o de l’encarregat del tractament, tenint en compte les mesures tècniques o organitzatives que s’hagin aplicat en la protecció de les dades i la seguretat del tractament.
Qualsevol infracció anterior que hagin comès el responsable o l’encarregat del tractament.
El grau de cooperació amb l’autoritat de control, amb la finalitat de posar remei a la infracció i de mitigar-ne els possibles efectes adversos.
Les categories de dades de caràcter personal afectades per la infracció.
La forma en què l’autoritat de control s’ha assabentat de la infracció, en particular si el responsable o l’encarregat del tractament han notificat la infracció i, si és així, en quina mesura i en quin termini ho han fet.
El compliment de mesures correctives, si s’han ordenat prèviament envers el responsable o l’encarregat del tractament en relació amb el mateix assumpte;
L’adhesió a codis de conducta.
Qualsevol altre factor agreujant o atenuant aplicable a les circumstàncies del cas, com els beneficis financers que s’han obtingut o les pèrdues que s’han evitat, directament o indirectament.
Si un responsable o un encarregat del tractament incompleix de manera intencionada o negligent, per les mateixes operacions de tractament o operacions vinculades, diverses disposicions d’aquesta Llei, la quantia total de la multa administrativa no ha de ser superior a la quantia prevista per les infraccions més greus.
Article 69. Tramitació del procediment sancionador en cas de procés penal
Si en el decurs de la tramitació d’un procediment sancionador a l’empara d’aquesta Llei es manifesten indicis de conductes que poden constituir una infracció penal, el cap de l’Agència Andorrana de Protecció de Dades ho ha de fer saber a l’òrgan jurisdiccional competent. D’altra banda, la persona competent per incoar el procediment o, si escau, l’instructor ha de suspendre, tot seguit, la tramitació de l’expedient esmentat, la qual cosa interromp el còmput dels terminis de prescripció i caducitat, d’acord amb el que estableix l’article següent.
La declaració de fets provats que pugui fer el tribunal penal és vinculant per al cap de l’Agència Andorrana de Protecció de Dades en tant que òrgan competent per dictar la resolució sancionadora.
Article 70. Prescripció i caducitat de les infraccions
Les infraccions molt greus, greus i lleus tipificades per aquesta Llei prescriuen al cap de tres anys, dos anys i un any, respectivament.
El termini de prescripció de les infraccions es computa des de la data del fet causant o des del dia en què se n’hagi hagut de tenir coneixement.
El termini de prescripció s’interromp per qualsevol actuació realitzada amb coneixement formal de la persona expedientada que s’adreci a la iniciació, la tramitació o la resolució del procediment sancionador.
En el cas de suspensió de la tramitació del procediment sancionador per causa de prejudicialitat penal, el termini de prescripció de la falta resta suspès fins que el cap de l’Agència Andorrana de Protecció de Dades tingui coneixement formal de la resolució ferma recaiguda en l’àmbit penal.
Els procediments d’inspecció i de sanció que ha iniciat l’Agència Andorrana de Protecció de Dades caduquen al cap de sis mesos de la darrera actuació duta a terme sense que s’hagi produït una nova actuació o s’hagi emès una resolució per causa no imputable a la persona interessada.
Article 71. Dret a indemnització i responsabilitat
Les sancions regulades pels articles següents s’entenen sense perjudici de la responsabilitat civil en què pugui incórrer un responsable o un encarregat del tractament pels danys i perjudicis que es causin per l’incompliment d’aquesta Llei.
Qualsevol persona que hagi patit danys i perjudicis, materials o immaterials, com a conseqüència d’una infracció d’aquesta Llei, té dret a percebre una indemnització del responsable o de l’encarregat del tractament pels danys i perjudicis soferts.
Qualsevol responsable que participi en l’operació de tractament ha de respondre dels danys i perjudicis que ha causat, si aquesta operació no compleix el que disposa aquesta Llei. Un encarregat del tractament únicament ha de respondre dels danys i perjudicis causats pel tractament quan no hagi complert amb les obligacions d’aquesta Llei adreçades específicament als encarregats del tractament, o quan hagi actuat al marge o en contra de les instruccions del responsable.
Per tal de quedar exempts de responsabilitat, el responsable o l’encarregat del tractament han de demostrar que no són responsables del fet que ha causat els danys i perjudicis.
Quan un o més d’un responsable o un o més d’un encarregat del tractament han participat en la mateixa operació de tractament i són declarats responsables del dany o perjudici causat per aquest tractament, la seva responsabilitat es pot considerar solidària, sense perjudici d’un eventual dret de repetició.
Les accions judicials en exercici del dret a indemnització s’han de formular davant dels tribunals competents, dins del termini d’un any a comptar de la data de la fermesa de la declaració de la responsabilitat del responsable o de l’encarregat del tractament.
Tota persona interessada pot exercir el seu dret a la jurisdicció i accedir a la tutela judicial efectiva, actuant contra un responsable o un encarregat del tractament, al Principat d’Andorra si el responsable o l’encarregat del tractament és un òrgan que constitueix l’Administració pública andorrana, inclosos els organismes autònoms o entitats parapúbliques o si el responsable del tractament és un privat.
Article 72. Infraccions
Constitueixen infraccions els actes i les conductes que siguin contraris a aquesta Llei.
Són infraccions considerades molt greus:
El tractament de dades personals que vulneri l’article 5.
El tractament de dades personals sense que es doni alguna de les condicions de licitud del tractament que estableix l’article 6.
L’incompliment de les condicions per a la validesa del consentiment que exigeixen els articles 7 i 8.
La utilització de les dades per a una finalitat que no sigui compatible amb la finalitat per a la qual es van recollir, sense tenir el consentiment de la persona interessada o una base legal per a això.
El tractament de dades personals de les categories a què es refereix l’article 9, sense que concorri alguna de les circumstàncies contemplades pel precepte esmentat.
L’incompliment dels articles 10 i 11 en relació al tractament de dades personals relatives a condemnes i a infraccions penals així com amb finalitats d’arxiu en interès públic, de recerca científica o històrica, o estadístiques.
L’omissió del deure d’informar la persona interessada sobre el tractament de les seves dades personals de conformitat amb els articles 16 i 17.
L’exigència del pagament d’un cànon per facilitar a la persona interessada informació a l’empara dels articles 16 i 17, així com qualsevol comunicació relativa al tractament de dades, en correspondència als seus drets, excepte en els supòsits permesos per aquesta Llei.
L’impediment o l’obstaculització o la no atenció de l’exercici dels drets que estableixen els articles 18, 19, 20, 21, 22, 24 i 25.
La vulneració dels requisits necessaris per a efectuar transferències internacionals de dades personals a un destinatari que es trobi en un país o en una organització internacional que no reuneix les condicions establertes per aquesta Llei.
L’incompliment de les resolucions que dicti l’Agència Andorrana de Protecció de Dades;
No facilitar l’accés del personal habilitat de l’autoritat de protecció de dades a les dades personals, la informació, els locals, els equips i els mitjans de tractament que requereixi l’autoritat de protecció de dades per a l’exercici dels seus poders d’investigació.
La resistència o l’obstrucció de l’exercici de la funció inspectora de l’autoritat de protecció de dades;
La reversió deliberada d’un procediment d’anonimització a fi de permetre la reidentificació de les persones interessades.
Són infraccions considerades greus:
Encarregar el tractament de dades a un tercer sense la formalització prèvia d’un contracte o altre acte jurídic equivalent.
La contractació per part d’un encarregat del tractament d’altres encarregats sense tenir l’autorització prèvia del responsable, o sense haver-lo informat sobre els canvis produïts en la subcontractació quan siguin exigibles legalment; i, en general, tota infracció a l’article 31.
El tractament de dades personals sense dur a terme una avaluació de l’impacte de les operacions de tractament en la protecció de dades personals, segons que disposa l’article 32.
No disposar del registre d’activitats de tractament que estableix l’article 34.
Incomplir els deures de notificació o de comunicació d’una violació de la seguretat de les dades personals.
Incomplir la designació d’un delegat de protecció de dades quan sigui exigible el seu nomenament segons l’article 38.
L’incompliment de l’obligació de bloqueig de les dades.
El tractament de dades personals d’un menor d’edat sense obtenir el seu consentiment o el del seu representant legal.
No acreditar la realització d’esforços raonables per verificar la validesa del consentiment prestat per un menor d’edat o pel seu representant legal.
L’impediment, l’obstaculització o la no atenció reiterada dels drets d’accés, rectificació, supressió, limitació del tractament o a la portabilitat de les dades en tractaments en què no es requereix la identificació de la persona interessada, quan aquesta, per a l’exercici d’aquests drets, hagi facilitat informació addicional que en permeti la identificació.
La falta d’adopció de les mesures tècniques i organitzatives apropiades per garantir que, per defecte, només es tracten les dades personals necessàries per a cadascuna de les finalitats específiques del tractament o que siguin apropiades per garantir un nivell de seguretat adequat al risc del tractament.
L’incompliment, com a conseqüència de la falta de la diligència deguda, de les mesures tècniques i organitzatives que s’hagin implantat.
L’incompliment de l’obligació de designar un representant del responsable o encarregat del tractament no establert al Principat d’Andorra.
La falta d’atenció per part del representant del responsable o de l’encarregat del tractament de les sol·licituds que efectuïn l’autoritat de protecció de dades o les persones interessades.
No possibilitar la participació efectiva del delegat de protecció de dades en totes les qüestions relatives a la protecció de dades personals, no donar-li suport o interferir en l’exercici de les seves funcions.
Són infraccions considerades lleus:
L’incompliment del principi de transparència de la informació o el dret d’informació de la persona interessada per no facilitar tota la informació que exigeixen els articles 16 i 17.
L’incompliment de l’obligació d’informar la persona interessada, quan així ho hagi sol·licitat, dels destinataris als quals s’hagin comunicat les dades personals rectificades, suprimides o respecte de les quals s’ha limitat el tractament.
L’incompliment de l’obligació de suprimir les dades referides a una persona difunta.
La falta de formalització per part dels corresponsables del tractament de l’acord que determini les obligacions, les funcions i les responsabilitats respectives respecte al tractament de dades personals i les seves relacions amb les persones interessades.
No posar a disposició de les persones interessades els aspectes essencials de l’acord formalitzat entre els corresponsables del tractament.
L’incompliment de l’obligació de l’encarregat del tractament d’informar el responsable del tractament sobre la possible infracció, per una instrucció rebuda d’aquest, de les disposicions d’aquesta Llei.
L’incompliment per part de l’encarregat de les estipulacions imposades en el contracte que regula el tractament o les instruccions del responsable del tractament, tret que hi estigui obligat de conformitat amb aquesta Llei.
Disposar d’un registre d’activitats de tractament que no incorpori tota la informació requerida.
La notificació incompleta, tardana o defectuosa a l’autoritat de protecció de dades de la informació relacionada amb una violació de seguretat de les dades personals.
L’incompliment de l’obligació de documentar qualsevol violació de seguretat.
No publicar les dades de contacte del delegat de protecció de dades, o no comunicar-les a l’autoritat de protecció de dades, quan el seu nomenament sigui exigible.
Els altres actes i les conductes que siguin contraris a aquesta Llei i no siguin considerats infraccions molt greus o greus.
Article 73. Sancions
L’incompliment d’aquesta Llei se sanciona tenint en compte la graduació establerta a l’apartat 2 de l’article 68.
Les sancions administratives econòmiques per infraccions considerades molt greus se sancionen amb un import comprès entre 30.001 euros i 100.000 euros.
Les sancions administratives econòmiques per infraccions considerades greus se sancionen amb un import comprès entre 15.001 euros i 30.000 euros.
Les sancions administratives econòmiques per infraccions considerades lleus se sancionen amb un import comprès entre 500 euros i 15.000 euros.
Article 74. Règim aplicable a determinats responsables o encarregats del tractament
El règim establert en aquest article és d’aplicació als tractaments dels quals siguin responsables o encarregats:
L’Administració general i els òrgans que estan sota la seva direcció.
Els comuns i els òrgans que en depenen.
El Consell General, el Consell Superior de la Justícia, el Raonador del Ciutadà, i el Tribunal de Comptes.
Els òrgans jurisdiccionals.
Els organismes públics i les entitats parapúbliques vinculades o dependents de les Administracions públiques.
Les corporacions de dret públic quan les finalitats del tractament es relacionin amb l’exercici de potestats de dret públic.
Per excepció al que disposa l’article anterior, quan els responsables o encarregats enumerats a l’apartat 1 cometin alguna de les infraccions previstes en aquesta Llei, l’Agència Andorrana de Protecció de Dades ha de dictar resolució sancionant-los amb amonestació. La resolució ha d’establir també les mesures que procedeixi adoptar perquè cesi la conducta o es corregeixin els efectes de la infracció que s’hagués comès.
La resolució s’ha de notificar al responsable o encarregat del tractament, a l’òrgan del que depengui jeràrquicament i als afectats que tinguin la condició de persones interessades, si s’escau.
Sense perjudici del que estableix l’apartat anterior, l’Agència Andorrana de Protecció de Dades també ha de proposar la iniciació d’actuacions disciplinàries quan existeixin indicis suficients al respecte. En aquest cas, el procediment i les sancions a aplicar són les establertes a la legislació sobre règim disciplinari o sancionador que resulti d’aplicació.
Tanmateix, quan les infraccions siguin imputables a autoritats i directius, i s’acrediti l’existència d’informes tècnics o recomanacions per al tractament que no haguessin estat degudament atesos, a la resolució en la que s’imposi la sanció s’ha d’incloure una amonestació amb denominació del càrrec responsable i s’ha d’ordenar la publicació al Butlletí Oficial del Principat d’Andorra.
Les resolucions que recaiguin en relació amb les mesures i actuacions referides als apartats anteriors han de ser comunicades a l’Agència Andorrana de Protecció de Dades.
L’Agència Andorrana de Protecció de Dades ha de publicar a la seva pàgina web, amb la deguda separació, les resolucions relatives a les entitats enumerades a l’apartat 1, amb expressa indicació de la identitat del responsable o encarregat del tractament que hagués comés la infracció.
Disposició addicional. Desplegament reglamentari i modificació de normes reglamentàries
S’encomana al Govern d’aprovar, en el termini de sis mesos des de la data de publicació d’aquesta Llei, les disposicions reglamentàries necessàries per al seu desplegament.
S’encomana al Govern que, en el termini de sis mesos des de la data de publicació d’aquesta Llei, aprovi les modificacions escaients al Reglament de l’Agència Andorrana de Protecció de Dades, a fi d’adaptar les seves disposicions a aquesta Llei.
Disposició transitòria
Quan el responsable i l’encarregat del tractament siguin òrgans que constitueixen l’Administració pública, inclosos els organismes autònoms o entitats parapúbliques, disposen d’un termini de sis mesos des de la data de publicació d’aquesta Llei, per designar el delegat de protecció de dades (DPD).
Disposició derogatòria primera
Queda derogada tota disposició que s’oposi al que estableix a aquesta Llei de dades personals, i, en especial, la Llei 15/2003, del 18 de desembre, qualificada de protecció de dades personals.
Disposició derogatòria segona
Queda derogada tota la normativa relativa als fitxers i al Registre públic d’inscripció de fitxers de dades personals i queda sense efecte el propi Registre.
Disposició final primera. Modificació de la Llei 2/2013, del 18 d’abril, de la funció de l’estadística pública
Es modifica l’apartat 1 de l’article 11 de la Llei 2/2013, del 18 d’abril, de la funció de l’estadística pública, que queda redactat en els termes següents:
“Article 11. Petició i subministrament de la informació
Els organismes del sistema estadístic poden sol·licitar dades per recollir informació destinada a l’elaboració d’estadístiques públiques.
[…].”
Es modifica l’apartat 2 de l’article 15 de la Llei 2/2013, del 18 d’abril, de la funció de l’estadística pública, que queda redactat en els termes següents:
“Article 15. Dades de caràcter voluntari i protecció del dret a la intimitat
[…]
Tota petició d’informació amb finalitat estadística ha de ponderar l’interès públic de l’estadística pública concreta, amb la finalitat de respectar el dret a l’honor i a la intimitat personal i familiar, i a la pròpia imatge, d’acord amb el que estableix l’article 14 de la Constitució i amb la normativa reguladora de la protecció de dades personals vigent en cada moment.”
Disposició final segona. Text consolidat
S’encomana al Govern que en el termini màxim de tres mesos des de l’entrada en vigor d’aquesta Llei i en els termes previstos en l’article 116 del Reglament del Consell General, presenti el Projecte de consolidació de la Llei 2/2013, del 18 d’abril, de la funció de l’estadística pública que integri la legislació vigent sobre la matèria regulada.
Disposició final tercera. Normativa aplicable al tractament de dades amb finalitats de prevenció, investigació, detecció o enjudiciament d’infraccions penals, o d’execució de sancions penals
S’encomana al Govern que en el termini màxim de dos anys a comptar de l’entrada en vigor d’aquesta Llei, presenti un projecte de Llei relatiu al tractament de dades personals efectuat per part de les autoritats competents amb finalitats de prevenció, investigació, detecció o enjudiciament d’infraccions penals, o d’execució de sancions penals, incloent la protecció contra les amenaces per a la seguretat pública i la prevenció d’aquestes, seguint el model previst a la Directiva (UE) 2016/680 del Parlament Europeu i del Consell, del 27 d’abril del 2016, relativa a la protecció de les persones físiques pel que fa al tractament de dades personals per part de les autoritats competents per a finalitats de prevenció, investigació, detecció o enjudiciament d’infraccions penals o d’execució de sancions penals, i a la lliure circulació de les dades referides, i per la què es deroga la Decisió Marc 2008/977/JAI del Consell.
Mentre no entri en vigor la Llei prevista a l’apartat anterior, el tractament de dades personals, per part de les autoritats competents, amb finalitats de prevenció, investigació, detecció o enjudiciament d’infraccions penals, o d’execució de sancions penals, incloent la protecció contra les amenaces per a la seguretat pública i la prevenció d’aquestes, ha d’ajustar-se a les disposicions previstes als apartats següents.
Les dades personals han de ser:
Tractades de manera lícita i lleial;
Recollides amb finalitats determinades, explícites i legítimes, i no s’han de tractar de manera incompatible amb aquestes finalitats;
Adequades, pertinents i no excessives en relació amb les finalitats per a les quals es tracten;
Exactes, i, si és necessari, actualitzades; amb l’adopció de les mesures raonables perquè es rectifiquin o se suprimeixin sense dilació les dades personals inexactes respecte a les finalitats per a les quals es tracten;
Conservades de manera que permetin identificar les persones interessades durant un període no superior al necessari per a les finalitats del tractament de dades personals, havent-se d’avaluar periòdicament la necessitat de conservació de les dades; i
Tractades de manera que se’n garanteixi una seguretat adequada, inclosa la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua, destrucció o dany accidental, mitjançant l’aplicació de les mesures tècniques i organitzatives adequades.
Les persones interessades poden exercir els drets d’informació, accés, rectificació, supressió de dades personals i limitació del seu tractament davant el responsable del tractament, qui pot denegar, total o parcialment, les sol·licituds d’exercici d’aquests drets, tenint degudament en compte els drets fonamentals i els interessos legítims de la persona interessada, per:
Evitar que s’obstaculitzin indagacions, investigacions o procediments oficials o judicials.
Evitar que es causi un perjudici a la prevenció, detecció, investigació o enjudiciament d’infraccions penals o a l’execució de sancions penals.
Protegir la seguretat pública.
Protegir la seguretat nacional.
Protegir els drets i llibertats d’altres persones.
En el cas de denegació o restricció dels drets previstos a l’apartat anterior, la persona interessada pot presentar una reclamació davant l’Agència Andorrana de Protecció de Dades, en la seva qualitat d’òrgan independent encarregat de supervisar el compliment del que preveuen els apartats 2 i 3 anteriors.
El responsable del tractament ha d’informar per escrit a la persona interessada, sense dilació indeguda, sobre la seva decisió i les raons que la fonamenten, així com sobre la possibilitat de presentar una reclamació davant l’autoritat de protecció de dades, i d’interposar un recurs judicial.
Les raons de la denegació o restricció poden ser omeses o ser substituïdes per una redacció neutra quan la revelació dels motius que la fonamenten puguin posar en perill les finalitats del tractament.
L’Agència Andorrana de Protecció de Dades no és competent per controlar les operacions de tractament de dades personals dutes a terme en el marc de la tramitació pels òrgans judicials i el Ministeri Fiscal de les actuacions o procediments dels què siguin competents.
L’exercici dels drets d’informació, accés, rectificació, supressió i limitació del tractament referits als apartats anteriors s’ha de dur a terme de conformitat amb la normativa processal penal quan les dades figurin en una resolució judicial, o en un registre, diligències o expedients tramitats en curs d’investigacions i processos penals.
Disposició final quarta. Entrada en vigor de la Llei
Aquesta Llei entra en vigor en el termini de sis mesos des de la seva publicació al Butlletí Oficial del Principat d’Andorra.
Casa de la Vall, 28 d’octubre del 2021
Roser Suñé Pascuet / Síndica General
Nosaltres els coprínceps la sancionem i promulguem i n’ordenem la publicació en el Butlletí Oficial del Principat d’Andorra.
Emmanuel Macron Joan Enric Vives Sicília / President de la República Francesa Bisbe d’Urgell / Copríncep d’Andorra Copríncep d’Andorra
La consulta d'aquest document no substitueix la lectura del Butlletí Oficial del Principat d'Andorra (BOPA) corresponent. No assumim cap responsabilitat per eventuals inexactituds derivades de la transcripció de l'original a aquest format.
Aquest text es publica sota les condicions de reutilització pròpies de BOPA, no sota una llicència de Legalize ni de domini públic.
BOPA
Domini públic — els textos oficials estan exclosos de la protecció del dret d'autor (art. 4.2 de la Llei sobre drets d'autor i drets veïns, 1999)
Font: Butlletí Oficial del Principat d'Andorra (BOPA) — Govern del Principat d'Andorra i Consell General (https://www.bopa.ad/). Els textos oficials estan exclosos de la protecció del dret d'autor segons l'article 4.2 de la Llei sobre drets d'autor i drets veïns (1999). Aquest repositori és un mirall no oficial; el BOPA continua sent l'única font autèntica de la legislació andorrana.