Hoy queremos hablar sobre la Ley 29/2021 de Protección de Datos Personales en Andorra (LCPDP). Esta ley se creó para adaptar la protección de datos a las necesidades de Andorra y se hizo obligatoria a partir del 17 de mayo de 2022.
Algunas de las empresas con las que trabajamos intercambian datos personales con compañías en Andorra. Es vital que comprendan esta normativa y se ajusten a ella si desean colaborar y hacer negocios con empresas andorranas.
La ley busca ser similar al Reglamento General de Protección de Datos (RGPD) de la Unión Europea, pero tiene sus propias particularidades, las cuales explicaremos a continuación.
¿Quién debe cumplir la ley andorrana de protección de datos?
La normativa de protección de datos en Andorra se aplica de manera obligatoria a todas las entidades, tanto públicas como privadas, que manejan datos personales en el territorio andorrano.
Esto significa que todas las entidades con sede en Andorra o constituidas bajo las leyes andorranas, así como aquellas que, aunque no estén domiciliadas en Andorra, llevan a cabo el tratamiento de datos en este territorio, deben ajustarse a esta legislación.
Es importante tener en cuenta que:
- Si cuentas con un procesador de datos en Andorra, incluso si tu empresa opera en España, estás obligado a cumplir con esta ley.
- Los responsables o procesadores de datos que no tengan su sede en Andorra deben designar a un representante establecido en este territorio.
- Cualquier empresa española puede realizar transferencias internacionales de datos con Andorra, siempre y cuando cumpla con los requisitos establecidos por la normativa europea del Reglamento General de Protección de Datos (RGPD).
¿Qué es el tratamiento de datos personales?
Cuando hablamos de tratamiento de datos personales, nos referimos a toda información alfabética, numérica, gráfica, fotográfica o acústica relacionada con una persona física identificada o identificable.
Una persona identificable es aquella que puede ser identificada, ya sea directa o indirectamente, a través de elementos específicos o característicos de su identidad física, genética, psicológica, económica, fisiológica, cultural o social.»
¿Cuáles son las diferencias que presenta esta ley?
La Ley de Protección de Datos de Andorra (LCPDP) trae consigo una serie de disposiciones importantes que deben tenerse en cuenta:
- Nombramiento de un Delegado de Protección de Datos (DPD): De acuerdo con el artículo 38 de la ley, las entidades públicas y las empresas privadas que realicen tratamientos a gran escala están obligadas a designar un DPD. Este nombramiento debe comunicarse a la Agencia Andorrana de Protección de Datos (APDA). El DPD actúa como el encargado de informar sobre obligaciones legales, garantizar el cumplimiento normativo, cooperar con la Autoridad de Control y servir de enlace entre la entidad y la autoridad.
- Notificación de Violaciones de Seguridad: El artículo 36 de la ley establece la obligación de notificar las violaciones de seguridad. Los responsables de tratamiento deben informar sobre cualquier violación de seguridad a la APDA en un plazo máximo de 72 horas.
- Análisis de Riesgos y Evaluación de Impactos: La ley establece que se deben realizar análisis de riesgos y evaluaciones de impacto en ciertos casos, como tratamientos de datos personales de categorías especiales o aquellos que puedan representar un alto riesgo para los derechos y libertades de los afectados.
- Promoción de Códigos de Conducta: La APDA fomenta la creación de códigos de conducta por parte de las entidades para asegurar el cumplimiento de la legislación vigente.
- Ampliación de Derechos del Interesado: La LCPDP amplía los derechos de los interesados. Además de los derechos de acceso, rectificación, supresión y oposición, se añaden el derecho al olvido, los derechos digitales, el derecho a la limitación del tratamiento de los datos, el derecho a la portabilidad y el derecho a no ser objeto de decisiones individuales automatizadas ni de elaboración de perfiles.
- Registro de Actividades de Tratamiento: La inscripción de ficheros de datos personales en la APDA ya no es obligatoria. Sin embargo, el artículo 34 establece la obligación de mantener un registro de actividades de tratamiento en empresas con más de 50 trabajadores y en entidades públicas.
- Sanciones: Las sanciones se detallan en el artículo 73 de la ley y se dividen en tres categorías. Aunque son más moderadas que las establecidas por el RGPD, aún pueden ser significativas. Las infracciones muy graves conllevan sanciones de 30.001€ a 100.000€, mientras que las graves oscilan entre 15.001€ y 30.001€, y las leves van de 500€ a 15.000€.
¿Quieres asesoramiento de la mano de expertos para cumplir correctamente con la ley andorrana de protección de datos? ¡Contáctanos!
