Nova llei de Protecció de Dades a Andorra

El passat 17 de novembre de 2021 es va publicar al Butlletí Oficial del Principat d’Andorra la Llei 29/2021, del 28 d’octubre, qualificada com la nova llei de Protecció de dades a Andorra.

En aquest blog ja vam parlar, al febrer de 2021, de quines implicacions tenia l’RGPD a Andorra, qüestió rellevant ja que, malgrat no ser membre de l’UE, ja vam veure la seva aplicació en alguns casos. Ara, però, finalment podem dir que ja hi ha una nova Llei de Protecció de Dades a Andorra que deroga la vigent fins ara, de 2003.

A més de la indubtable homologació de la normativa a l’RGPD, que tractarem més endavant, aquesta normativa respon a vàries necessitats estratègiques:

a) En primer lloc, tot i que Andorra disposa d’una decisió d’adequació de la UE (se la considera homologada als estàndards europeus fins i tot amb la normativa de 2003), l’art. 45.3 del RGPD preveu que la Comissió Europea pot revisar aquestes decisions cada 4 anys i això “tocaria” al maig de 2022.

b) El creixement de les startups tecnològiques i la indubtable aposta del Govern andorrà per l’emprenedoria digital, fan que el país hagi de disposar d’una normativa molt similar, sinó exacta, a la dels països potencialment inversors; aquí cal comptar, òbviament els Estats de la UE, sinó també altres estats no membres, que estan fent esforços per adequar la seva pròpia normativa o que ja tenen una normativa homologada a l’RGPD (Israel, Regne Unit, etc.).

Novetats de la nova Llei 29/2021 de Protecció de Dades a Andorra

La nova normativa andorrana està clarament inspirada en l’RGPD i també, en algunes parts, en la Llei espanyola de 2018. Però hi ha algun matís interessant, creiem que a favor de l’interessat, que les empreses han de tenir en compte:

En primer lloc, cal tenir en compte que la normativa s’aplicarà tant a responsables com a encarregats del tractament establerts a Andorra, com aquells que, no estant domiciliats, facin servir mitjans del tractament ubicats a territori andorrà. En aquest segon cas, hauran de nomenar un representant que haurà de ser comunicat a l’Agència Andorrana de Protecció de Dades.

Dins de les similituds, s’introdueixen conceptes i obligacions ja conegudes per les empreses ubicades a Estats membres de la UE:

• Obligació de nomenar un Delegat de Protecció de Dades en les autoritats públiques i, en alguns casos, en empreses privades (tractaments a gran escala).

• Decau l’obligació d’inscriure fitxers i es substitueix pel registre d’activitats del tractament.

• Anàlisis de riscos obligatori i avaluacions d’impacte en funció dels riscos detectats.

• Règim sancionador, però atenció, amb sancions màximes de 100.000 € (contrast important amb la màxima sanció del règim del RGPD, de 20 milions €, que també preveu que la sanció es pugui establir en funció de la facturació de l’infractor, no previst a Andorra).

• Dret d’indemnització a l’afectat.

• Deure de comunicar incidències en un termini de 72 hores.

Per concloure, destaquem una diferència notable en relació a la forma d’atorgar el consentiment i és que, quan aquest es demani per diferents finalitats, caldrà donar-se de manera separada.

Aquesta menció, que estava clara en l’esborrany de Llei espanyola de 2018, va quedar finalment difosa amb una redacció poc clara; en el cas d’Andorra, doncs, sembla evident que si una empresa vol, per exemple, tractar les dades per finalitats comercials i, a més, cedir-les a tercers, caldran dos consentiments separats.

Des de quan és exigible? La llei andorrana serà exigible des del 17 de maig de 2022.

Andorra fa amb aquesta llei, en conclusió, un pas de gegant per equiparar la seva normativa als estàndards europeus. El Govern i el Consell General han entès perfectament que la lliure circulació de dades és un requisit imprescindible per què l’aposta per la digitalització i les startups tecnològiques que ha fet, tinguin sentit. Això sumat a una règim fiscal molt favorable per empreses (10%) i la facilitat per constituir-ne una, tot i no ser-ne resident, fan que calgui estar molt atent a Andorra en els anys que vindran.

Si tens preguntes sobre aquest o qualsevol altra tema, no dubtis en contactar en nosaltres!

Informació sobre protecció de dades

Denominació social
LEGAL IT GLOBAL 2017, SLP
Finalitat
Prestar el servei.
Enviament del Boletí informatiu.
Legitimització
Compliment de la prestació de servei.
Consentiment.
Destinataris
Les teves dades no seran compartides amb cap tercer, excepte aquells proveïdors de serveis amb els que disposem d’un contracte de serveis vigent.
Drets
Pots accedir, rectificar o suprimir les dades, així com exercir els drets que s’esmenten en la nostra Política de Privacitat.
Més informació
Consulta la Política de Privacitat.