Principis generals
El principi general que regeix les transferències internacionals de dades segons la normativa de protecció de dades andorrana és la prohibició de transferir dades personals quan el país o l’organització internacional de destinació de les dades no estableixi, en la seva normativa vigent, un nivell de protecció per a dades de caràcter personal equivalent, com a mínim, al que estableix la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals.
Aquesta prohibició es basa en la necessitat de garantir que no es menyscabi el nivell de protecció de les persones físiques que estableix la normativa andorrana malgrat les dades viatgin a un país o organització internacional estrangera.
Transferències amb nivell de protecció equivalent
Es pot fer una transferència de dades personals a un tercer país o a una organització internacional quan un territori o un o diversos sectors específics d’aquest tercer país o de l’organització internacional de què es tracti garanteixen un nivell de protecció adequat o equivalent.
Existeixen 4 grans blocs d’Estats que la normativa andorrana considera que disposen d’un nivell de protecció equivalent a la normativa andorrana:
-
Països membres de la Unió Europea
AlemanyaÀustriaBèlgicaBulgàriaCroàciaDinamarcaEslovàquiaEslovèniaEspanyaEstòniaFinlàndiaFrançaGrèciaHongriaIrlandaItàliaLetòniaLituàniaLuxemburgRepública de MaltaPaïsos BaixosPolòniaPortugalRepública TxecaRomaniaSuèciaXipre -
Països membres de l’Espai Econòmic Europeu
Països de la UEIslàndiaLiechtensteinNoruega -
Països que disposin d’una decisió d’adequació de la Comissió Europea
-
Països que hagin ratificat el Conveni 108+ del Consell d’Europa per a la protecció de dades
Transferències amb garanties adequades
Si no es compta amb la determinació d’un nivell de protecció adequat o equivalent, el responsable o l’encarregat del tractament de dades personals només pot transferir dades personals a un tercer país o a una organització internacional si existeixen garanties adequades i si les persones interessades compten amb drets exigibles i accions legals efectives.
Les garanties adequades es poden adoptar mitjançant:
- Clàusules contractuals entre el responsable o l’encarregat i el responsable, l’encarregat o el destinatari de les dades personals al tercer país o organització internacional.
- Disposicions incorporades en acords administratius entre les autoritats o els organismes públics, que incloguin drets efectius i exigibles per a les persones interessades.
Com podem acreditar que hi ha garanties adequades?
- Un instrument jurídicament vinculant i exigible entre les autoritats o els organismes públics.
- Normes corporatives vinculants.
- Clàusules tipus de protecció de dades adoptades per la Comissió Europea o per l’Agència Andorrana de Protecció de Dades.
- Un codi de conducta, juntament amb compromisos vinculants i exigibles del responsable o de l’encarregat del tractament al tercer país d’aplicar les garanties adequades, incloses les relatives als drets de les persones interessades.
- Un mecanisme de certificació aprovat de conformitat amb la normativa de protecció de dades personals de la Unió Europea que tingui validesa general dins de la Unió, juntament amb compromisos vinculants i exigibles del responsable o de l’encarregat del tractament al tercer país d’aplicar les garanties adequades, incloses la relatives als drets de les persones interessades.
La Llei 29/2021, de 28 d'octubre, qualificada de protecció de dades personals estableix que l'Agència Andorrana de Protecció de Dades avaluarà les garanties adequades adoptades en transferències internacionals de dades a països tercers. L'avaluació podrà ser d'ofici o a petició de la part interessada.
Excepcions per a situacions específiques
Àmbit privat
Si no existeix protecció equivalent ni garanties adequades, només es pot fer una transferència o un conjunt de transferències de dades personals a un tercer país o a una organització internacional si es compleix alguna de les condicions següents:
- La persona interessada ha donat explícitament el seu consentiment a la transferència. El consentiment ha de donar-se després de ser informada dels riscos d’aquestes transferències al no haver-hi protecció equivalent ni garanties adequades
- La transferència és necessària per a executar un contracte entre la persona interessada i el responsable del tractament o per a executar mesures precontractuals adoptades a sol·licitud de la persona interessada
- La transferència és necessària per a formalitzar o executar un contracte entre el responsable del tractament i una altra persona física o jurídica, en interès de la persona interessada; fora de l’àmbit de les activitats desenvolupades per les autoritats públiques en l’exercici dels seus poders públics.
- La transferència és necessària per raons importants d’interès públic
- La transferència és necessària per a formular, exercir o defensar reclamacions
- La transferència és necessària per a protegir els interessos vitals de la persona interessada o d’altres persones, quan aquesta està físicament o jurídicament incapacitada per donar el consentiment
- La transferència s’efectua des d’un registre públic que té per objecte facilitar informació al públic i està obert a la consulta del públic en general o de qualsevol persona que hi acrediti un interès legítim.
- En aquests casos, la transferència no serà de la totalitat de dades contingudes al registre.
- Si la finalitat del registre és que el consultin les persones que hi tinguin un interès legítim, la transferència només s’ha d’efectuar si aquestes persones ho sol·liciten o si en són les destinatàries
Àmbit públic
Si no es pot aplicar a la transferència o a un conjunt de transferències de dades personals cap de les excepcions específiques de l’àmbit privat, la transferència només es pot dur a terme si no és repetitiva, afecta un nombre limitat de persones interessades, i és necessària per a les finalitats d’interessos legítims imperiosos perseguits pel responsable del tractament, sobre els quals no prevalen els interessos o els drets i les llibertats de la persona interessada.
El responsable del tractament haurà d’avaluar totes les circumstàncies concurrents en la transferència de dades i, basant-se en aquesta avaluació, oferirà garanties adequades respecte de la protecció de dades personals. En aquest cas, el responsable del tractament ha d’informar a l’APDA i a la persona interessada de la transferència