La Llei 29/2021: la ley de protección de datos de Andorra
La Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals es la norma fundamental que regula el tratamiento de datos personales en el Principado de Andorra. Aprobada el 28 de octubre de 2021 y en vigor desde mayo de 2022, sustituyó a la legislación anterior y situó a Andorra entre los países con mayor nivel de protección de datos de Europa.
Por qué es importante esta ley para las empresas en Andorra
Cualquier empresa, profesional u organización que trate datos de personas en Andorra está obligada a cumplir esta ley. Su alcance es amplio: se aplica tanto a responsables establecidos en el Principado como a empresas externas que ofrezcan bienes o servicios a personas situadas en Andorra. Conoce en detalle el conjunto de obligaciones de protección de datos en Andorra que derivan de esta norma.
El cumplimiento de la Llei 29/2021 es además condición necesaria para mantener la decisión de adecuación de la Comisión Europea, que permite las transferencias de datos entre Andorra y la UE sin necesidad de garantías adicionales.
Principios rectores del tratamiento de datos
- Licitud, lealtad y transparencia: los datos deben tratarse con una base legal válida e informando siempre al interesado.
- Limitación de finalidad: solo pueden usarse para los fines declarados en el momento de la recogida.
- Minimización: se deben tratar únicamente los datos estrictamente necesarios.
- Exactitud: los datos deben mantenerse actualizados y corregirse sin dilación.
- Limitación de conservación: solo pueden conservarse el tiempo necesario para la finalidad prevista.
- Integridad y confidencialidad: se deben aplicar medidas de seguridad adecuadas al riesgo.
- Responsabilidad proactiva: el responsable debe poder demostrar en todo momento el cumplimiento de la ley.
Obligaciones principales para las empresas
Registro de Actividades
Las empresas con más de 50 empleados o que traten datos sensibles deben mantener un Registro de Actividades de Tratamiento (RAT) actualizado.
Delegado de Protección de Datos
Los organismos públicos y las empresas que traten datos sensibles a gran escala como actividad principal deben designar un DPD.
Evaluación de Impacto
Obligatoria antes de iniciar tratamientos de alto riesgo: perfilado automatizado, tratamiento a gran escala de datos sensibles o videovigilancia.
Violaciones de Seguridad
Las brechas de datos deben notificarse a la APDA en un plazo máximo de 72 horas desde que se tenga conocimiento del incidente.
Derechos de las personas reconocidos por la ley
La Llei 29/2021 reconoce siete derechos fundamentales: acceso, rectificación, supresión, olvido, oposición, portabilidad y limitación del tratamiento. Las empresas están obligadas a atender las solicitudes en un plazo máximo de un mes. Consulta la guía completa sobre los derechos de protección de datos reconocidos en Andorra para conocer cómo funciona cada uno de ellos en la práctica.
Régimen sancionador
La ley establece tres categorías de infracciones con sanciones económicas progresivas. Las infracciones más graves —como transferencias internacionales ilícitas o tratamiento sin base legal— pueden suponer sanciones muy significativas para empresas de cualquier tamaño.
¿Tu web cumple con la Llei 29/2021 de Andorra?
En Privand facilitamos toda la información oficial sobre la normativa andorrana de protección de datos y auditamos páginas web de forma gratuita. Más del 90% de las webs andorranas no cumplen. Si tienes dudas sobre la Llei 29/2021, contáctanos y te asesoramos sin compromiso.