Llei 15/2003, del 18 de desembre, qualificada de protecció de dades personals

Aquesta Llei té per objectiu protegir i garantir, pel que fa al tractament i a la utilització de dades personals, els drets fonamentals de les persones, i especialment els relatius a la intimitat.

Aquesta Llei és aplicable a les dades de caràcter personal que siguin susceptibles de tractament i a qualsevol ús posterior d’aquestes dades.

A l’efecte d’aquesta Llei s’entén per:

Aquesta Llei s’aplica a la creació de fitxers i al tractament de dades personals per responsables de tractament domiciliats al Principat d’Andorra, o constituïts conforme a les lleis del Principat d’Andorra. Igualment, aquesta Llei és aplicable als tractaments de dades realitzats per responsables de tractament no domiciliats al Principat o no constituïts conforme a les lleis del Principat d’Andorra, quan facin servir mitjans de tractament ubicats en el territori del Principat.

Queden fora de l’àmbit d’aplicació d’aquesta Llei el tractament de dades personals relatives a les matèries següents: Seguretat de l’EstatInvestigació i prevenció d’infraccions penals

Queden fora de l’àmbit d’aquesta Llei els tractaments de dades personals quan el responsable del tractament sigui una persona física, i destini les dades a finalitats exclusivament particulars, com ara les agendes personals o els directoris personals d’adreces i dades de contacte de persones interessades relacionats amb la persona física responsable del tractament.

Queden fora de l’àmbit de la Llei les dades de persones físiques vinculades a la seva activitat empresarial, professional o comercial, en les circumstàncies següents:

Aquesta Llei s’aplica, amb caràcter subsidiari, a allò que no estigui regulat en la normativa aplicable a registres públics i en la normativa aplicable al secret bancari. En cas de contradicció entre aquesta Llei de dades personals i les normatives específiques esmentades, prevalen aquestes últimes, que en cap cas s’han d’entendre derogades per aquesta Llei qualificada de protecció de dades personals.

Aquesta Llei s’aplica amb caràcter addicional a les normes reguladores del secret professional, per a les activitats i professions sotmeses a aquesta obligació, normes reguladores que en cap cas s’han d’entendre derogades per aquesta Llei.

Únicament són lícits els tractaments de dades de caràcter personal que es realitzin conforme el que disposa aquesta Llei.

Els tractaments de dades personals només els poden dur a terme els responsables del tractament, si reuneixen els requisits següents:

Els responsables de tractament han d’establir les mesures tècniques i d’organització necessàries per garantir la confidencialitat i la seguretat de les dades personals que siguin objecte de tractament. Si la totalitat o una part del tractament s’encarrega a prestadors de serveis de dades personals, correspon al responsable del tractament la responsabilitat que els prestadors tinguin establertes mesures tècniques i d’organització suficients per garantir la confidencialitat i la seguretat de les dades objecte del servei. A aquest efecte, els responsables del tractament han d’exigir als prestadors de serveis de dades personals l’establiment de les mesures tècniques i d’organització que el responsable de tractament consideri mínimes, sempre que aquestes mesures mínimes es corresponguin amb les que el mateix responsable tingui establertes per a tractaments de dades pròpies i de naturalesa anàloga als que siguin objecte del servei.

En el moment de la recollida de les dades, la persona interessada té dret a ser informada, per part del responsable del tractament, de les circumstàncies següents:

Els responsables del tractament no estan obligats a facilitar la informació indicada en l’article anterior quan s’hagi inclòs en les normes de creació de fitxers de naturalesa pública previstes en l’article 30.

Qualsevol persona interessada té dret a oposar-se que les seves dades siguin objecte de tractament per part d’un responsable de tractament, quan aquest no hagi obtingut les dades directament de la mateixa persona interessada. A aquests efectes, quan un destinatari de dades de caràcter personal sigui objecte d’una comunicació de dades, i dintre d’un període màxim de quinze dies a comptar del moment en què rebi les dades, ha d’informar les persones interessades de les quals hagi rebut les dades de les circumstàncies següents:

L’article 15 no és aplicable quan la comunicació de dades tingui lloc en alguna de les circumstàncies següents:

El tractament de dades personals només el poden dur a terme els responsables del tractament amb el consentiment inequívoc de les persones interessades.

El consentiment de les persones interessades per al tractament de les dades no és necessari si s’esdevé alguna de les circumstàncies següents:

Les dades sensibles només poden ser objecte de tractament o de comunicació amb el consentiment exprés de la persona interessada. Queda prohibida la creació de fitxers amb la finalitat exclusiva de recollir o tractar dades sensibles relatives a opinions polítiques, creences religioses, pertinença a organitzacions polítiques o sindicals, salut, vida sexual o origen ètnic de les persones.

El consentiment exprés de la persona interessada per al tractament o la comunicació de dades sensibles no és necessari si s’esdevé alguna de les circumstàncies següents:

Només poden crear fitxers relatius a infraccions i sancions penals o administratives les entitats públiques judicials o administratives que, conforme a una norma vigent, tinguin la capacitat d’imposar sancions administratives o de resoldre procediments judicials de naturalesa penal.

Qualsevol persona interessada té dret a ser informada pel responsable del tractament de les seves dades que són objecte de tractament. El responsable només pot denegar aquest dret d’accés en els supòsits previstos en aquesta Llei. El responsable, si no li correspon denegar l’accés a les dades, ha d’informar la persona interessada dins un termini màxim de cinc dies hàbils a comptar del moment en què el responsable rebi la sol·licitud de la persona interessada. El responsable ha de facilitar la informació a través dels mitjans que consideri més oportuns, ja sigui mitjançant la visualització directa de les dades, ja sigui per enviament en format imprès, ja sigui per qualsevol altra via que consideri convenient. En qualsevol cas, tota denegació a l’accés a les dades, ha d’estar motivada i serà susceptible d’ésser recorreguda davant la jurisdicció competent.

Qualsevol persona interessada té dret a sol·licitar al responsable del tractament que les dades que són objecte de tractament siguin corregides, si són errònies. El responsable només pot denegar aquest dret de rectificació en els supòsits previstos en aquesta Llei. Per a l’exercici del dret de rectificació, el responsable pot sol·licitar a la persona interessada que aporti els documents necessaris per acreditar la correcció i la realitat de les noves dades, i pot rebutjar la sol·licitud si aquests documents no són aportats per la persona interessada o no acrediten la realitat de les noves dades. En qualsevol cas, el responsable del tractament ha de comunicar a la persona interessada la denegació de la sol·licitud, o la correcció efectiva de les dades, dintre d’un període màxim d’un mes, a comptar del moment en què rebi la sol·licitud de la persona interessada, si la sol·licitud ja va acompanyada de tots els documents necessaris per comprovar la realitat i la correcció de les noves dades, o a comptar del moment en què el responsable rebi la totalitat d’aquests documents. En qualsevol cas, tota denegació de la sol·licitud ha d’estar motivada i serà susceptible d’ésser recorreguda davant la jurisdicció competent.

Qualsevol persona interessada té dret a sol·licitar al responsable del tractament que les dades que són objecte de tractament siguin suprimides. El responsable pot denegar aquest dret de supressió en els supòsits següents:

L’exercici dels drets recollits en els articles 15, 22, 23 i 24, no pot sotmetre’s, per part del responsable del fitxer, a cap formalitat, ni al pagament per la persona interessada de les despeses que hi puguin correspondre.

Les sancions previstes en el capítol cinquè d’aquesta Llei s’entenen sense perjudici de la responsabilitat civil en què pugui incórrer un responsable del tractament en cas d’incompliment de la Llei.

Les persones físiques o les persones jurídiques de naturalesa privada que siguin responsables de tractament de dades, han d’inscriure els fitxers de dades personals sota el seu control en el registre públic gestionat per l’autoritat de control indicada en el capítol setè. La persona responsable ha d’inscriure el fitxer abans de crear-lo.

En el moment de la inscripció, el responsable del fitxer ha de subministrar la informació següent a l’autoritat de control:

Igualment, si després de la primera inscripció es produeixen modificacions en la informació subministrada a l’autoritat de control conforme a l’article 28, el responsable ha d’informar d’aquests canvis a la referida autoritat de control en el moment en què es produeixin, per a la constància registral corresponent.

La creació, modificació o supressió de fitxers de naturalesa pública s’ha de dur a terme mitjançant una norma de creació, que ha de ser aprovada per l’entitat pública responsable del seu tractament, i que ha de ser publicada al Butlletí Oficial del Principat d’Andorra abans de la creació, la modificació o la supressió del fitxer. No és necessària l’aprovació d’una norma de creació de fitxer de naturalesa pública per a fitxers de dades personals sota el control d’entitats de naturalesa pública relatius a registres públics que disposin de normativa pròpia, ni tampoc els que fan referència a matèries excloses de l’àmbit d’aquesta Llei, d’acord amb l’article 5.

Les normes de creació o modificació de fitxers de naturalesa pública han de contenir, com a mínim, la informació següent:

L’apartat 1 d’aquest article entra en vigor el 21 de març del 2022.

Els responsables de fitxers de naturalesa pública poden rebutjar l’exercici dels drets d’accés, rectificació, supressió i oposició per les persones interessades quan considerin que pugui posar en perill:

L’incompliment d’aquesta Llei per part de les persones físiques o de persones jurídiques de naturalesa privada és objecte de sanció administrativa. El primer incompliment per part d’un responsable de fitxer se sanciona amb multa d’un import màxim de 50.000 euros, i els incompliments subsegüents en què pugui incórrer el mateix responsable se sancionen amb una multa d’un import màxim de 100.000 euros. La quantia de la sanció la fixa l’autoritat de control, tenint en compte els criteris següents:

El procediment i les sancions que cal aplicar en cas d’incompliment d’aquesta Llei per part d’entitats públiques són els establerts en les disposicions reguladores dels règims disciplinaris. A aquests efectes, la capacitat de sancionar correspon a l’autoritat de control establerta en el capítol setè d’aquesta Llei, sense perjudici dels recursos administratius previstos al Codi de l’Administració o de la tutela judicial que correspongui a les persones interessades.

No es poden efectuar comunicacions internacionals de dades quan el país de destinació de les dades no estableixi, en la seva normativa vigent, un nivell de protecció per a dades de caràcter personal equivalent, com a mínim, al que està establert en aquesta Llei.

S’entén que tenen un nivell de protecció equivalent a aquesta Llei:

La prohibició establerta en l’article 35 d’aquesta Llei no s’aplica quan la comunicació internacional:

Es crea l’Agència Andorrana de Protecció de Dades, organisme públic amb personalitat jurídica pròpia, independent de les Administracions públiques i amb plena capacitat d’obrar.

L’Agència Andorrana de Protecció de Dades estarà integrada per:

Són potestats de l’Agència Andorrana de Protecció de Dades:

L’Agència Andorrana de Protecció de Dades disposa de competència d’inspecció. Els responsables de fitxers estan obligats a subministrar als inspectors de l’Agència Andorrana de Protecció de Dades tota la informació que els sigui sol·licitada, i també a facilitar-los l’accés a les seves dependències i als recursos informàtics o d’altre tipus destinats al tractament de les dades quan els ho sol·licitin en l’exercici d’aquesta facultat de control. En qualsevol cas, l’activitat inspectora només podrà ésser duta a terme amb la corresponent autorització del cap de l’Agència Andorrana de Protecció de Dades, que haurà de contenir la informació obligatòria que reglamentàriament s’estableixi. Els responsables de fitxers tindran dret a exigir als inspectors aquesta autorització, i podran denegar la inspecció lícitament si aquesta autorització no els és exhibida, o si no conté la informació obligatòria que reglamentàriament s’estableixi. La inspecció la pot iniciar l’Agència Andorrana de Protecció de Dades a iniciativa pròpia o bé a sol·licitud de qualsevol persona interessada que consideri que els seus drets han estat afectats o que un responsable de tractament ha incomplert les obligacions que s’estableixen en aquesta Llei.

L’Agència Andorrana de Protecció de Dades disposa de la capacitat d’imposar les sancions que es preveuen en el capítol cinquè d’aquesta Llei, d’acord amb el procediment establert en el Codi de l’Administració. En qualsevol cas, correspondrà als inspectors de l’Agència Andorrana de Protecció de Dades remetre al cap de l’Agència Andorrana de Protecció de Dades les propostes de sancions que es derivin de les seves inspeccions, i al cap resoldre aquestes propostes decidint si s’escau iniciar o no el corresponent procediment sancionador.

Es crea el Registre Públic d’Inscripció de Fitxers de Dades Personals, relatiu a les inscripcions de fitxers establertes en els articles del 27 al 29 d’aquesta Llei, amb el contingut i característiques que reglamentàriament s’estableixi. Correspon a l’Agència Andorrana de Protecció de Dades gestionar el Registre Públic d’Inscripció de Fitxers de Dades Personals conforme als següents criteris:

L’Agència Andorrana de Protecció de Dades adequarà en tot moment la seva actuació al Codi de l’Administració, les resolucions de la qual seran impugnables conforme al que s’estableix en aital corpus legislatiu.