Transferencias Internacionales de Datos desde Andorra
Si tu empresa en Andorra usa proveedores cloud en el extranjero, envía datos de clientes a matrices en otros países o trabaja con socios internacionales, estás realizando transferencias internacionales de datos. La Llei 29/2021 establece reglas claras sobre cuándo son lícitas y cómo deben documentarse. Recuerda que la Decisión de Adecuación de la Comisión Europea facilita las transferencias con la UE.
¿Qué es una transferencia internacional de datos?
Cualquier comunicación, cesión o acceso a datos personales que tenga como destino un país u organización internacional fuera de Andorra. Esto incluye el uso de servicios cloud (AWS, Google Cloud, Microsoft Azure) con servidores fuera del territorio andorrano.
Regla general: nivel de protección equivalente
La Llei 29/2021 prohíbe las transferencias hacia países u organizaciones que no ofrezcan un nivel de protección de datos equivalente al andorrano, salvo que se apliquen las garantías adecuadas previstas en la normativa.
Mecanismos legales para transferir datos
1. Países con decisión de adecuación
Transferencia directa sin garantías adicionales a países reconocidos como adecuados: Argentina, Canadá, Israel, Japón, Nueva Zelanda, Reino Unido, Suiza, Uruguay, Estados Unidos (bajo el Data Privacy Framework), y otros con decisión de equivalencia vigente.
2. Cláusulas tipo de protección de datos
Contrato estandarizado entre el responsable andorrano y el destinatario extranjero que garantiza el mismo nivel de protección. Es el mecanismo más habitual para transferencias a países no adecuados.
3. Normas corporativas vinculantes (Binding Corporate Rules)
Para grupos empresariales multinacionales: un código de conducta interno aprobado por la autoridad de control que permite transferencias dentro del grupo.
4. Códigos de conducta y mecanismos de certificación
Cuando el destinatario está adherido a un código de conducta aprobado o a un mecanismo de certificación reconocido que garantice el nivel de protección adecuado.
Consulta previa a la APDA
Antes de realizar una transferencia con garantías no estandarizadas, el responsable puede presentar la documentación a la APDA para que evalúe su adecuación. Un informe negativo convierte la transferencia en ilegítima.
Excepciones: cuándo transferir sin garantías específicas
- Consentimiento explícito del interesado, informado de los riesgos.
- Necesario para ejecutar un contrato con el interesado.
- Razones de interés público importante.
- Defensa o ejercicio de reclamaciones legales.
- Protección de intereses vitales.
- Datos de registros públicos con acceso general.
Las excepciones son de interpretación estricta
Las excepciones solo aplican para transferencias puntuales y justificadas. No pueden usarse como base habitual para transferencias masivas o sistemáticas de datos. Conoce también el Convenio 108 del Consejo de Europa, que regula las garantías en los flujos internacionales de datos.
En Privand facilitamos toda la información oficial sobre la normativa andorrana y auditamos páginas web de forma gratuita. Si necesitas ayuda para gestionar las transferencias internacionales de datos de tu organización, contáctanos y te asesoramos sin compromiso.