Decret 367/2022, del 14-9-2022, d’aprovació del Reglament d’aplicació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals.

D’acord amb l’article 7 de la Llei 29/2021, el consentiment ha de ser lliure, específic, informat i inequívoc, i s’ha de donar mitjançant un acte o una declaració afirmatius.

• a) S’entén que el consentiment s’ha atorgat lliurement quan l’interessat ha disposat d’una elecció real i no condicionada a patir un perjudici si no s’atorgués.
• b) El consentiment s’ha de vincular a una o a cadascuna de les finalitats especificades. Si el consentiment ha de legitimar el tractament de categories especials de dades personals, la informació de l’interessat hi ha de fer referència expressa.
• c) Els mecanismes posats a disposició de l’interessat per part del responsable de retirar el consentiment han de ser tan intuïtius i accessibles com els que facilita per obtenir el consentiment.
• d) El consentiment no pot ser implícit o tàcit, i s’ha de fer mitjançant una declaració o una acció activa. El silenci o la inacció de l’interessat no es poden considerar eines vàlides per atorgar el consentiment.
• e) Tan sols és vàlid el consentiment que es pot revocar o denegar, de forma gratuïta, sense patir perjudicis o efectes negatius. També és vàlid el consentiment incentivat. No es considera un perjudici deixar de percebre un incentiu admissible sense que es disminueixi la prestació del servei.
• f) El consentiment no pot legitimar un tractament quan sigui aplicable alguna altra base jurídica, com ara l’interès legítim, el compliment d’una obligació legal aplicable, la necessitat d’execució d’un contracte, la protecció d’interessos vitals o l’interès públic.
• g) Si un responsable del tractament opta per basar el tractament o alguna part concreta o algunes parts concretes del tractament en el consentiment de l’interessat, ha d’estar preparat per respectar aquesta opció i aturar aquesta part del tractament si una persona retira el seu consentiment. El responsable no pot canviar de base legitimadora segons li convingui, sinó que ha de mantenir l’elecció original de la base jurídica.
• h) El responsable ha de requerir el consentiment explícit en determinades situacions en què hi hagi un alt risc en relació amb la protecció de les dades i en què sigui adequat que hi hagi un nivell de control elevat sobre les dades personals, com ara en el cas de transferències internacionals de dades fora d’Andorra, en absència de garanties adequades, de conformitat amb l’article 45.1.a de la Llei qualificada de protecció de dades personals, o bé si el tractament inclou decisions individuals automatitzades, inclosa l’elaboració de perfils.

Les característiques i les condicions establertes als articles 7 i 8 de la Llei 29/2021 i en aquest article són el marc legal per redactar polítiques de privacitat de pàgines web i polítiques informatives de rastrejadors web.