Atès que el Consell General en la seva sessió del dia 15 de juliol del 2024 ha aprovat la següent:
Llei 12/2024, del 15 de juliol, qualificada de modificació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals
Llei 12/2024, del 15 de juliol, qualificada de modificació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals.
Artículos de la versión vigente de la ley. Haz clic en «Historial» para ver la evolución de cada artículo.
Atès que el Consell General en la seva sessió del dia 15 de juliol del 2024 ha aprovat la següent:
Llei 12/2024, del 15 de juliol, qualificada de modificació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals
La Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals va adaptar la normativa vigent fins aquell moment relativa al tractament que, tant persones o entitats privades com l’Administració pública andorrana, duen a terme de les dades corresponents a persones físiques, adaptació que es realitzà acollint-se a la regulació europea continguda essencialment en el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, del 27 d’abril de 2016, i en la Directiva (UE) 2016/680 del Parlament Europeu i del Consell, igualment del 27 d’abril de 2016. Aquestes normes van introduir unes noves bases relatives a la protecció de dades personals de les persones físiques, i altres més específiques relatives a la protecció de les persones físiques amb relació a les seves dades personals respecte al seu tractament per part de les autoritats competents amb les finalitats de prevenció, d’investigació, detecció o enjudiciament d’infraccions penals o d’execució de sancions penals, incloses la protecció i la prevenció enfront de les amenaces per a la seguretat pública i la prevenció d’aquestes.
La nova normativa resultant de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, ha permès consolidar el nivell adequat de protecció de les dades de caràcter personal, tant en el flux intern com amb relació a fluxos transfronterers que ja havia estat reconegut per la Decisió 2010/625/UE del 19 d’octubre, per mitjà de la qual es va resoldre que el Principat d’Andorra assegurava un nivell adequat de protecció de les dades de caràcter personal.
Transcorreguts prop de tres anys de l’aprovació de la Llei 29/2021, del 28 d’octubre, es creu necessari modificar-ne el capítol sisè, que regula l’autoritat de control independent andorrana, d’una part per homogeneïtzar la regulació d’aquesta autoritat amb els restants organismes adscrits al Consell General, tenint presents les particularitats i les funcions que cada organisme té encomanades, i, d’altra part, per adaptar a la realitat andorrana l’estatut dels membres que integren l’Agència de Protecció de Dades en base als paràmetres que estableix el Reglament de protecció de dades (UE) 2016/679 del Parlament Europeu i del Consell, del 27 d’abril de 2016.
Així, respecte a la persona Cap de l’Agència es preveu que continuarà sent designada pel Consell General amb una majoria qualificada de dues terceres parts en primera votació i amb el vot favorable de la majoria absoluta en segona votació, si bé precisant que l’elecció de la persona candidata s’efectuarà després d’haver-se publicat un avís de convocatòria i d’haver-se avaluat les capacitats i competències de les persones candidates per part de la Comissió legislativa competent constituïda en comitè de validació. Igualment, es precisen les funcions de la persona Cap de l’Agència i els motius de pèrdua de la seva condició, regulant el procediment a seguir en supòsits d’incapacitat permanent sobrevinguda, per incompatibilitat, així com incompliment de funcions o conducta irregular greu.
Pel que respecta al personal inspector, es modifica el seu estatut, deixant de ser càrrecs de designació política, i se’ls atribueix la condició de funcionaris, sotmesos a la Llei de la funció pública en tots aquells aspectes relatius als drets i obligacions, mobilitat i tipificació de les infraccions i sancions. La selecció i avaluació del personal inspector anirà a càrrec d’un Comitè de Selecció que es regirà pels principis d’objectivitat, imparcialitat i professionalitat després d’haver-se convocat un procés públic de selecció.
Finalment, es modifica el règim econòmic de l’Agència de Protecció de Dades per tal de precisar que, com la resta d’organismes adscrits al Consell General i al marge del control extern per part del Tribunal de Comptes, correspon a la intervenció del Consell General la fiscalització dels actes, dels documents i dels expedients amb incidència sobre les finances, amb l’única finalitat d’assegurar que la comptabilitat s’ajusta al règim de comptabilitat pública.
S’estableix el règim retributiu del personal de l’Agència així com el de la persona Cap de l’Agència. A efectes de la present llei, s’entén com a règim retributiu la compensació econòmica que es percep en contrapartida de la feina efectuada i que inclou el salari base, així com tot complement salarial puntual o extraordinari.
Així doncs, amb les finalitats anteriorment descrites, es promou aquesta Llei, que consta de setze articles, una disposició transitòria i tres disposicions finals, que encomanen al Govern la presentació del projecte de consolidació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, el desplegament reglamentari i estableixen la data d’entrada en vigor de la Llei.
Es modifica l’article 46 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 46. Naturalesa jurídica i estructura orgànica de l’Agència Andorrana de Protecció de Dades
L’Agència Andorrana de Protecció de Dades (APDA), va ser creada l’any 2003 com organisme públic amb personalitat jurídica pròpia, independent de les administracions públiques i amb plena capacitat d’obrar. És una institució de dret públic que ajusta la seva activitat a l’ordenament jurídic públic.
L’Agència Andorrana de Protecció de Dades es configura com una autoritat independent que actua amb objectivitat i plena independència de les administracions públiques andorranes en l’exercici de les seves funcions.
L’Agència Andorrana de Protecció de Dades està integrada per:
Es modifica l’article 47 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 47. Sense contingut.”
Es modifica l’article 50 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 50. Funcions de l’Agència Andorrana de Protecció de Dades
Sense perjudici de les altres funcions i potestats que li atribueix aquesta llei i la seva normativa de desenvolupament, són funcions de l’Agència Andorrana de Protecció de Dades:
a) Controlar i garantir l’aplicació d’aquesta llei.
b) Promoure la sensibilització del públic i la seva comprensió dels riscos, dictant les instruccions i les recomanacions necessàries per adequar els tractaments de dades personals als principis de la legislació vigent en matèria de protecció de dades personals; són objecte d’especial atenció les activitats adreçades específicament als menors d’edat.
c) Emetre informes, amb caràcter consultiu, en el cas de ser sol·licitats, de projectes de llei, projectes de disposicions normatives que elabora el Govern en virtut de delegació legislativa, projectes de reglaments o disposicions de caràcter general que afecten la protecció de dades de caràcter personal.
d) Emetre les seves opinions sobre altres lleis o normes que afecten la privacitat de les persones físiques i els tractaments i la seguretat de les dades de caràcter personal.
e) Respondre per escrit en el termini màxim de 15 dies hàbils, de conformitat amb les condicions que s’estableixin reglamentàriament, les consultes que li formulen les administracions públiques, les entitats públiques i privades i la ciutadania sobre l’aplicació de la legislació de protecció de dades de caràcter personal; i cooperar amb altres autoritats de control.
f) Atendre les peticions que li formulen les persones interessades.
g) Proporcionar informació sobre els drets de les persones en matèria de protecció de dades personals; en particular mitjançant les campanyes de difusió que es considerin adients i, a aquest efecte, establir les previsions pressupostàries que corresponen.
h) Publicar la llista de països i d’organitzacions internacionals que disposen de protecció adequada en matèria de dades personals.
j) Requerir als responsables del tractament i als encarregats del tractament de dades personals l’adopció de les mesures necessàries per adequar el tractament de dades personals a la legislació vigent.
k) Tractar les reclamacions que se li formulen, investigar, en la mesura oportuna, el motiu de la reclamació, i informar a la persona reclamant sobre el curs i el resultat de la investigació en un termini raonable, en particular, en cas de ser necessàries noves investigacions.
l) Incoar, instruir i resoldre els expedients sancionadors.
m) Instar judicialment, si escau, el cessament dels tractaments, com a mesura cautelar o mesura definitiva.
n) Elaborar i publicar una memòria anual relativa a la seva activitat, que és accessible de forma gratuïta.
L’Agència Andorrana de Protecció de Dades ha de facilitar la presentació de les reclamacions previstes a la lletra k) de l’apartat anterior mitjançant mesures com un formulari de presentació de reclamacions que també pugui emplenar-se per mitjans electrònics, sense excloure altres mitjans de comunicació.
L’acompliment de les funcions de l’Agència Andorrana de Protecció de Dades ha de ser gratuït per a la persona interessada i, si escau, per al delegat de protecció de dades.
Quan les sol·licituds són manifestament infundades o excessives, especialment a causa del seu caràcter repetitiu, es pot cobrar un preu públic raonable basat en els costos administratius o bé negar-se a actuar respecte de la sol·licitud. La càrrega de demostrar el caràcter manifestament infundat o excessiu de la sol·licitud correspon a l’autoritat de control.”
Es procedeix a l’addició d’un article 50bis a la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 50bis. La persona Cap de l’Agència Andorrana de Protecció de Dades
El nomenament de la persona Cap de l’Agència es publica al Butlletí Oficial del Principat d’Andorra.
Un cop nomenada la persona Cap de l’Agència de Protecció de Dades, ha de prestar jurament o promesa d’acatament davant del síndic general, en la forma prevista pel Reglament del Consell General.
La Comissió legislativa competent en la matèria, constituïda en comitè de validació, avalua les capacitats, competències, idoneïtat i mèrits de les persones candidates, amb audiència d’aquelles que compleixin els requisits mínims. El procediment d’elecció es regirà pel Reglament del Consell General.
La persona Cap de l’Agència Andorrana de Protecció de Dades ha de posseir una titulació mínima equivalent al nivell 6 del Marc Andorrà de Qualificacions (MAQ), així com, la competència, l’experiència i les aptituds, en particular en l’àmbit de la protecció de dades personals, necessàries per al compliment de les seves funcions i l’exercici dels seus poders.
La persona Cap de l’Agència Andorrana de Protecció de Dades s’ha d’abstenir de qualsevol acció que sigui incompatible amb les seves funcions i no pot participar, mentre duri el seu mandat, en cap activitat professional que sigui incompatible, remunerada o no.
El càrrec de Cap de l’Agència Andorrana de Protecció de Dades és incompatible:
La persona Cap de l’Agència Andorrana de Protecció de Dades perd la seva condició per les causes següents:
La pèrdua de la seva condició, en els supòsits previstos a les lletres f), g) i h) requerirà l’acord del Ple del Consell General, en sessió pública, per majoria qualificada de dues terceres parts, i prèvia audiència privada davant la Comissió legislativa competent en matèria de protecció de dades.
Es procedeix a l’addició d’un article 50ter a la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 50ter. Les funcions de la persona Cap de l’Agència
Correspon a la persona Cap de l’Agència:
a) Dictar les instruccions i les recomanacions necessàries per adequar els tractaments de dades personals als principis de la legislació vigent en matèria de protecció de dades personals.
b) Cooperar amb altres autoritats de control.
c) Resoldre les reclamacions formulades en un termini raonable.
d) Resoldre els expedients sancionadors, incoats i instruïts pel personal inspector.
e) Exercir la potestat disciplinària respecte del personal al servei de l’Agència en els termes previstos en aquesta llei.
f) Instar judicialment, si escau, el cessament dels tractaments, com a mesura cautelar o mesura definitiva.
g) Adjudicar i formalitzar els contractes que requereix la gestió de l’Agència i vigilar-ne el compliment i l’execució dins dels límits del pressupost de l’Agència.
h) Aprovar les despeses i ordenar els pagaments, dins els límits del pressupost de despeses de l’Agència.
j) Elaborar la memòria anual de l’Agència.
k) I aquelles altres funcions pròpies de l’Agència sens perjudici de la delegació de les mateixes al personal inspector o laboral.
Es modifica l’article 51 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 51. Règim del personal
Es procedeix a l’addició d’un article 51bis a la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 51.bis. El personal inspector
Presideix el Comitè tècnic de selecció el conseller general designat per la Comissió.
Els costos derivats de la contractació d’experts per part del Comitè tècnic de selecció, així com la resta de costos que es puguin derivar de les activitats del dit Comitè tècnic de selecció són a càrrec de l’Agència.
En les bases de la convocatòria del procés de selecció del personal inspector, sigui en modalitat de procés de selecció externa o promoció interna, s’ha d’incloure la formació acadèmica, les competències professionals, així com l’experiència, en l’àmbit de la protecció de dades personals, necessàries per al compliment i l’exercici de les seves funcions.
El procediment d’incoació, instrucció i resolució d’expedients disciplinaris es regeix per la Llei de la Funció pública. La persona Cap de l’Agència serà l’encarregada d’incoar i instruir els expedients disciplinaris. La resolució dels expedients disciplinaris són competència d’un Comitè Tècnic d’Avaluació que es regeix pels principis d’objectivitat, imparcialitat i professionalitat, i està integrat per dos membres de la Comissió legislativa competent en matèria de protecció de dades del Consell General, designats per la pròpia Comissió, i dos experts externs designats pels membres de la Comissió.
El personal inspector té la consideració d’agent de l’autoritat pública en l’exercici de les seves funcions i estan obligats a mantenir el secret sobre la informació que coneguin en l’exercici d’aquestes fins i tot després d’haver cessat del càrrec.
Correspon específicament al personal inspector de l’Agència:
La condició de personal inspector és incompatible amb qualsevol activitat que pugui posar en perill la independència i imparcialitat en el compliment de les obligacions.”
Es procedeix a l’addició d’un article 51.ter a la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 51.ter. El personal laboral
Es procedeix a la modificació de l’article 52 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 52. Règim econòmic
Es procedeix a la modificació de l’article 53 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 53. Pressupost
L’Agència Andorrana de Protecció de Dades elabora anualment un projecte de pressupost, que sigui suficient, tant a nivell de recursos econòmics com humans, per desenvolupar de manera eficaç i eficient les seves competències. Aquest pressupost es presenta al Consell General, en el marc de les seves competències, per a la seva aprovació.”
Es procedeix a la modificació de l’article 54 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 54. Règim patrimonial i de contractació
Es procedeix a la modificació de l’article 55 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 55. Sense contingut.”
Es procedeix a la modificació de l’article 56 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 56. Sense contingut.”
Es procedeix a la modificació de l’article 57 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 57. Sense contingut.”
Es procedeix a la modificació de l’article 58 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 58. Règim Retributiu
El règim retributiu de la persona Cap de l’Agència, del personal funcionari, així com del personal laboral s’ajusten a les previsions del pressupost de l’Agència aprovat pel Consell General. En tot cas, el règim retributiu de la persona Cap de l’Agència ha de ser aprovat per la Sindicatura, escoltada la Junta de Presidents.”
Es procedeix a la modificació de l’article 59 de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals el qual queda amb el següent redactat:
“Article 59. Abstenció i recusació
Els motius d’abstenció i de recusació de la persona Cap de l’Agència i del personal funcionari així com de la resta de personal de l’Agència són els que es recullen al Codi de l’Administració.”
“Els apartats 3 i 4 de l’article 51 bis no són d’aplicació al personal inspector de l’Agència Andorrana de Protecció de Dades que estigui en funcions a l’entrada en vigor d’aquesta llei, llevat que a la finalització del termini pel qual va ser nomenat tingui la voluntat de renovar en el seu càrrec.”
S’encomana al Govern, en els termes previstos a l’article 116 del Reglament del Consell General, que en el termini màxim de sis mesos des de la publicació d’aquesta Llei al Butlletí Oficial del Principat d’Andorra presenti al Consell General el projecte de consolidació de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals amb la incorporació de totes les modificacions que s’hi han produït.
Aquesta Llei entrarà en vigor l’endemà de publicar-se al Butlletí Oficial del Principat d’Andorra.
Casa de la Vall, 15 de juliol del 2024
Carles Ensenyat ReigSíndic General
Nosaltres els coprínceps la sancionem i promulguem i n’ordenem la publicació en el Butlletí Oficial del Principat d’Andorra.
Joan Enric Vives Sicília Emmanuel MacronBisbe d’Urgell President de la República FrancesaCopríncep d’Andorra Copríncep d’Andorra