Passos ferms en Protecció de Dades a Andorra
Contingut en l'idioma original. Traduccio pendent.
El Govern andorrà ha aprovat els dos reglaments que la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals (LQPD) encomanava en la seva disposició addicional. D’aquesta manera, s’ha aprovat, d’una banda, el Reglament d’aplicació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals i, per l’altra banda, el Reglament de l’Agència Andorrana de Protecció de Dades.
La LQPD i aquests dos reglaments constitueixen la base del procés d’adaptació de l’ordenament jurídic andorrà als principis vigents en matèria de protecció de dades en l’àmbit internacional i, especialment, al marc de la Unió Europea.
Per la seva banda, el Reglament de l’Agència Andorrana de Protecció de Dades, configura l’APDA com a organisme públic amb personalitat jurídica pròpia, independent i amb plena capacitat d’obrar i la seva composició, funcions, capacitat d’inspecció, sanció i resta d’activitats principals contingudes a la LQPD.
A continuació es destaquen els aspectes que incorpora el Reglament d’aplicació de la LQPD més rellevant:
- Protecció de dades des del disseny i per defecte i principi de responsabilitat activa – Els responsables del tractament (RT) s’han de mantenir al dia dels avenços tecnològics relacionats amb el tractament, dels riscos i les oportunitats de la tecnologia, i de les mesures i les garanties aplicables tenint en compte l’evolució del panorama tecnològic. Els responsables i encarregats del tractament tenen la responsabilitat activa de transmetre els coneixements necessaris en matèria de privacitat als seus treballadors i conscienciar tot el personal que tingui accés a dades personals de la importància de la seguretat i la confidencialitat i dels protocols interns sobre aquesta matèria. Els usuaris tenen un paper actiu en la gestió i el control de la gestió de les seves dades. Per implementar configuracions per defecte robustes, el responsable del tractament ha d’informar els usuaris sobre les conseqüències que té la modificació dels paràmetres del servei prestat en la seva privadesa.
- Registre d’Activitats de Tractament (RAT) – El RAT pot integrar-se en els catàlegs de processos que ja existeixin a l’entitat i formar-ne part, incloent-hi tota la informació que el responsable consideri necessària per protegir els drets i les llibertats de les persones físiques i per demostrar el compliment de la normativa tenint en compte la naturalesa, l’àmbit, el context i les finalitats del tractament, i també els possibles orígens dels riscos que aquest tractament pot suposar per als interessats. El RAT també s’ha de posar a disposició de qualsevol interessat que ho sol·liciti, directament o mitjançant la seva publicació a la pàgina web del responsable o l’encarregat del tractament. Si hi ha un delegat de protecció de dades designat, el responsable o l’encarregat del tractament li han de comunicar qualsevol addició, modificació o exclusió del contingut del Registre d’activitats de tractament. Els subjectes enumerats a la Llei 29/2021 han de fer públic un inventari de les seves activitats de tractament, accessible per mitjans electrònics, en què consti la informació de la mateixa Llei.
- Delegat/da de Protecció de Dades (DPD) – Correspon al RT valorar si convé designar un sol DPD o més d’un, i si ha de pertànyer o no a la seva estructura, per garantir-ne en tot moment la independència i la disponibilitat. Encara que hi hagi un sol DPD, a l’administració pública o a les organitzacions privades en què sigui necessari per a la magnitud, l’estructura o la complexitat del tractament s’han de nomenar internament un o diversos coordinadors de protecció de dades, per donar suport a les tasques organitzatives del delegat de protecció de dades. L’Agència Andorrana de Protecció de Dades pot fixar o analitzar els coneixements i la capacitació suficient per ser delegat de protecció de dades en qualsevol moment. Tant les persones físiques com les jurídiques poden demostrar la qualificació suficient com a DPD mitjançant certificats voluntaris o títols universitaris que acreditin coneixements especialitzats en el dret i la pràctica de l’àmbit de la protecció de dades. El responsable del tractament o l’encarregat han de garantir que el DPD disposa del temps suficient per desenvolupar correctament les seves funcions i pot comptar amb els recursos financers, la infraestructura i el personal que siguin necessaris. També ha de garantir que el DPD participa de manera adequada i en el moment oportú en totes les accions relatives a la protecció de dades personals i que té accés al nivell jeràrquic més alt. Sense perjudici del que estableix la Llei 29/2021, el DPD no pot exercir simultàniament altres funcions de responsabilitat o d’alta direcció dins l’organització que puguin generar un conflicte d’interès, com ara director general, director d’operacions, director financer, responsable legal, responsable de sistemes, responsable de compliment, cap de màrqueting o cap de recursos humans, entre altres càrrecs, ni tampoc altres responsabilitats inferiors que tinguin poder de decisió sobre les finalitats o els mitjans del tractament. Es prohibeix expressament que el representant a l’Agència andorrana pugui ser designat també com a DPD, ja que no pot assumir les dues responsabilitats.
- Encarregats de tractament (ET) – El RT té una obligació especial de diligència en l’elecció i la supervisió de l’encarregat i no es pot limitar a una llista en què es marca si s’aplica o no una mesura. La diligència del responsable s’entén assolida amb l’acreditació d’una anàlisi o una valoració real de les mesures de seguretat. D’acord amb les obligacions contingudes a la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, i sense perjudici del que estableix l’article 16 d’aquest Reglament, els responsables o encarregats de tractament no domiciliats a Andorra o no constituïts conforme a les lleis del Principat, però que facin servir mitjans de tractament, automatitzats o no, ubicats en territori andorrà, han de designar un representant prop de l’Agència Andorrana de Protecció de Dades establert al Principat d’Andorra.
- Garantia de drets – El responsable de tractament ha d’establir dins la seva organització els protocols i els sistemes de resposta efectius per a l’exercici dels drets dels interessats. Aquests protocols han de ser coneguts per tots els membres de l’organització. Els protocols i la formació dels membres de l’organització han d’adaptar-se al tipus de dades tractades, als riscos inherents al tractament de dades efectuat i a la naturalesa de les funcions dels treballadors. El dret d’accés s’entén atorgat si el responsable del tractament facilita a l’interessat un sistema d’accés remot, directe i segur a les dades personals que garanteixi de manera permanent l’accés a la totalitat de les dades. A aquest efecte, amb la comunicació del responsable a l’interessat sobre la manera com pot accedir al sistema n’hi ha prou per considerar atesa la sol·licitud d’exercici del dret.
- Avaluacions d’Impacte en Protecció de Dades (AIPD) – Es llisten els criteris que poden comportar un risc alt i fer necessària l’AIPD. El delegat de protecció de dades pot suggerir en qualsevol moment la realització d’una avaluació d’impacte i, en cas de dubte, s’ha de pronunciar sobre si aquesta avaluació és necessària o no ho és. L’AIPD no és una tasca puntual, sinó que cal actualitzar-la periòdicament.
- Tractaments amb finalitat de videovigilància – Només es pot fer un tractament amb sistemes de videovigilància, d’acord amb el principi de minimització de les dades de la Llei 29/2021, és a dir, si la finalitat del tractament no es pot aconseguir raonablement amb altres mitjans que siguin menys intrusius per als drets i les llibertats fonamentals de l’interessat. La utilització de la videovigilància, inclosa la funció de reconeixement biomètric instal·lada per entitats privades per a les seves finalitats pròpies (p. ex. màrqueting, estadístiques o fins i tot seguretat), requereix el consentiment explícit de tots els interessats, de conformitat amb l’article 9.2.a de la Llei 29/2021; no obstant això, també es pot aplicar una altra excepció de l’article 9.2, si escau.
- Sancions – En el cas de concórrer dues o més infraccions molt greus tipificades a la Llei 29/2021, les sancions econòmiques poden incrementar-se fins al 2% de la facturació global anual de la companyia.
Serveis Jurídics Faura-Casas