Decret 368/2022, del 14-9-2022, d’aprovació del Reglament de l’Agència Andorrana de Protecció de Dades.

La imposició de les sancions per les infraccions fixades a la Llei vigent de protecció de dades correspon al cap de l’Agència Andorrana de Protecció de dades. Les sancions han de ser establertes per al cas concret, i han de ser efectives, proporcionades i dissuasives.

Les sancions establertes a la Llei s’imposen a títol addicional o a títol substitutiu de les mesures que fixa l’article 17, tenint en compte les circumstàncies següents:

• a) La naturalesa, la gravetat i la durada de la infracció, segons la naturalesa, l’abast o la finalitat de l’operació de tractament, així com el nombre de persones interessades afectades i el nivell dels danys i perjudicis que hagin sofert.

• b) La intencionalitat o la negligència en la infracció.

• c) Qualsevol mesura presa pel responsable o l’encarregat del tractament per pal·liar els danys i perjudicis que han sofert les persones interessades.

• d) El grau de responsabilitat del responsable o de l’encarregat del tractament, tenint en compte les mesures tècniques o organitzatives que s’hagin aplicat en la protecció de les dades i la seguretat del tractament.

• e) Qualsevol infracció anterior que hagin comès el responsable o l’encarregat del tractament.

• f) El grau de cooperació amb l’Agència Andorrana de Protecció de Dades, amb la finalitat de posar remei a la infracció i de mitigar-ne els possibles efectes adversos.

• g) Les categories de dades de caràcter personal afectades per la infracció.

• h) La forma en què l’Agència Andorrana de Protecció de Dades s’ha assabentat de la infracció, en particular si el responsable o l’encarregat del tractament han notificat la infracció, i, si és així, en quina mesura i en quin termini ho han fet.

  • i) El compliment de mesures notificades per l’Agència, si s’han ordenat prèviament envers el responsable o l’encarregat del tractament en relació amb el mateix assumpte.

• j) L’adhesió a codis de conducta.

• k) Qualsevol altre factor agreujant o atenuant aplicable a les circumstàncies del cas, com els beneficis financers que s’han obtingut o les pèrdues que s’han evitat, directament o indirectament.

Si un responsable o un encarregat del tractament incompleix de manera intencionada o negligent, per les mateixes operacions de tractament o operacions vinculades, diverses disposicions de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, la quantia total de la multa administrativa no ha de ser superior a la quantia prevista per les infraccions més greus; a excepció dels supòsits previstos al Reglament de desplegament de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades.