La meva empresa està obligada a tenir un delegat de protecció de dades a Andorra?

Una empresa privada andorrana ha de designar un delegat de protecció de dades (DPD) quan pren decisions automatitzades amb efectes jurídics sobre persones, quan tracta categories especials de dades a gran escala, quan tracta una quantitat considerable de dades d'abast nacional amb alt risc, o quan la seva activitat principal se centra en persones vulnerables o menors de catorze anys.

L'obligació no depèn de la mida de l'empresa

Val la pena començar per aquí, perquè és la confusió més estesa. La LQPD no fixa cap llindar de plantilla ni de facturació per determinar si cal un DPD. Una societat de tres persones que fa scoring creditici automatitzat hi està obligada. Una empresa de cent empleats que només gestiona nòmines i dades de clients per facturar, no.

El llindar dels cinquanta treballadors que molts responsables recorden pertany a una altra obligació: el registre d'activitats de tractament, regulat a l'article 34.8 de la LQPD i a l'article 26.2 del Reglament. Són dues coses diferents. L'APDA sí que dona per fet que qui està obligat a designar DPD també ha de portar registre, però la relació no funciona a l'inrevés.

Quatre preguntes que decideixen l'obligació

1. Preneu decisions automatitzades amb efectes jurídics sobre persones?

La redacció literal de l'article 38.2 parla de tractar dades "de manera automatitzada per a prendre decisions que produeixin efectes jurídics per a les persones físiques". Entren aquí la concessió o denegació automàtica de crèdit, la fixació automatitzada de primes d'assegurança, els filtres automàtics de selecció de personal i els sistemes de detecció de frau que bloquegen operacions sense intervenció humana.

La guia informativa de l'APDA amplia aquest supòsit i el llegeix com una "avaluació sistemàtica i exhaustiva d'aspectes personals", una expressió que ve del RGPD i que la Llei andorrana no fa servir en aquest article. La guia hi inclou programes de fidelització, publicitat comportamental, geolocalització mitjançant aplicacions mòbils i dispositius connectats. És una interpretació expansiva. No és el text de la Llei, però és el criteri de l'autoritat que us pot inspeccionar, i convé tenir-ho present.

2. Tracteu categories especials de dades a gran escala?

Les categories especials són les de l'article 9 de la LQPD: origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, dades genètiques, dades biomètriques d'identificació unívoca, salut, vida sexual i orientació sexual.

Aquí hi ha dos requisits acumulatius. Cal que siguin categories especials i cal que el tractament sigui a gran escala. Una clínica petita que porta històries clíniques de la seva pròpia pacientela no compleix necessàriament el segon. Una mútua que gestiona dades de salut de milers de persones, sí.

3. Tracteu un volum considerable de dades d'abast nacional o supranacional amb alt risc?

Aquest és el supòsit més obert i el que genera més consultes. La Llei demana tres elements: quantitat considerable, abast nacional o supranacional, i alt risc per als drets de les persones, especialment quan el tractament dificulta l'exercici d'aquests drets.

L'APDA hi afegeix una instrucció de mètode que a la pràctica canvia molt les coses: la quantitat considerable s'ha de valorar de manera proporcional a la dimensió del país. Amb 89.752 residents a Andorra segons les darreres dades del departament d'Estadística, un fitxer de 20.000 persones cobreix més d'una cinquena part de la població. A Espanya, aquesta mateixa xifra passaria desapercebuda.

4. La vostra activitat principal se centra en persones vulnerables o menors de catorze anys?

Aquest supòsit no és a la Llei. L'introdueix l'article 21.4 del Reglament d'aplicació i afecta les entitats l'activitat principal de les quals es basa en el tractament de dades de subjectes vulnerables, persones en risc d'exclusió social o menors de catorze anys.

Penseu en escoles bressol, acadèmies i esplais, entitats d'acció social, residències i associacions que treballen amb col·lectius en situació de dependència. Si el vostre model de negoci gira al voltant d'aquestes persones, l'obligació existeix encara que el volum sigui modest.

"Gran escala" a Andorra ja té una xifra, i és 5.000

Aquest és el punt on la normativa andorrana ha estat més valenta que el RGPD, i on hem detectat una fricció que gairebé ningú comenta.

L'article 17.5.b del Reglament d'aplicació diu, literalment, que el tractament de dades personals de més de cinc mil afectats implica la consideració de tractament a gran escala. No és un factor a ponderar. És una regla.

En paral·lel, les dues guies de l'APDA proposen una calculadora orientativa amb quatre criteris (nombre d'afectats, categories de dades, durada i abast geogràfic) que suma un màxim de 14 punts, i estableix que hi ha gran escala a partir de 9. Feu la prova amb un cas real: 6.000 afectats (4 punts), una sola categoria de dades (1 punt), conservació de dies (2 punts), àmbit parroquial (1 punt). Total: 8 punts. La calculadora diu que no hi ha gran escala. El Reglament diu que sí.

La contradicció és aparent més que real, perquè la mateixa guia adverteix que el resultat del càlcul és una eina d'anàlisi orientativa i no determina l'obligació. Però a efectes pràctics importa molt: si el vostre tractament supera els 5.000 afectats i tracteu categories especials, teniu obligació de DPD encara que la calculadora us doni un número tranquil·litzador. Documentar-ho al revés, recolzant-vos només en la puntuació, us deixa en mala posició davant d'una inspecció.

Cinc mil persones equivalen aproximadament al 5,6% de la població resident del Principat. És un llindar exigent per a un mercat de la mida d'Andorra, i explica per què moltes empreses mitjanes hi cauen sense saber-ho.

La llista de l'APDA orienta, no obliga

Les guies de l'APDA inclouen un annex amb divuit tipus d'organitzacions "susceptibles d'estar obligades" a designar DPD: col·legis professionals, centres educatius privats, entitats bancàries, asseguradores, empreses de serveis d'inversió, grups empresarials, societats d'explotació de camps de neu, distribuïdores d'energia elèctrica, operadors de joc, empreses de seguretat privada, immobiliàries i administradors de finques, federacions esportives, entre d'altres.

Aquesta llista no és una norma. És un document d'orientació, i el seu propi encapçalament ho diu. Estar-hi inclòs no genera per si sol l'obligació, i no estar-hi no us n'allibera. L'obligació neix sempre de l'article 38 de la LQPD i de l'article 21.4 del Reglament.

Ho subratllo perquè he vist informes de compliment redactats com si la llista fos l'article 34 de la LOPDGDD espanyola, i no ho és. Confondre les dues coses porta a dos errors simètrics: nomenar un DPD que no calia i, molt pitjor, no nomenar-lo perquè el sector propi no surt a l'annex.

Si externalitzeu el DPD, esteu contractant un encarregat del tractament

L'article 21.6 del Reglament d'aplicació ho diu sense matisos: si s'externalitza la funció, el delegat de protecció de dades té la condició d'encarregat del tractament. La guia de l'APDA ho reforça en parlar de persones jurídiques externes que actuen mitjançant contracte de prestació de serveis.

Les conseqüències són molt concretes. Necessiteu un contracte d'encàrrec amb el contingut de l'article 31.4 de la LQPD, no un simple pressupost de serveis. Heu de fer una anàlisi real de les garanties que ofereix el prestador i deixar-ne constància. I si el DPD extern subcontracta part de la feina, cal autorització prèvia i les mateixes obligacions per al subencarregat.

Hi ha també una prohibició expressa que sovint es passa per alt. L'article 16.2 del Reglament impedeix que el representant a Andorra d'un responsable no establert al Principat sigui alhora el seu DPD. Són funcions incompatibles.

Catorze anys al Reglament, setze a la Llei

Una asimetria que mereix atenció: l'article 8 de la LQPD fixa en setze anys l'edat a partir de la qual un menor pot consentir per si sol el tractament de les seves dades en serveis de la societat de la informació. En canvi, el Reglament activa l'obligació de DPD quan l'activitat principal se centra en menors de catorze anys.

La conseqüència pràctica és aquesta: una plataforma digital adreçada a joves de catorze i quinze anys tracta dades de menors que encara no poden consentir per si sols, però no queda automàticament dins del supòsit de l'article 21.4 del Reglament. Continuarà havent d'analitzar els altres tres supòsits, i molt probablement hi caurà per la via del perfilat o del volum, amb la corresponent avaluació d'impacte relativa a la protecció de dades. Però el camí no és directe, i convé no donar-ho per resolt.

Espanya i Andorra: on divergeixen de veritat

Qüestió	Espanya (RGPD + LOPDGDD)	Andorra (LQPD + Reglament)
Norma aplicable	Art. 37 RGPD i art. 34 LOPDGDD	Art. 38 LQPD i art. 21 del Reglament
Llista d'obligats per sector	Llista legal a l'art. 34.1 LOPDGDD, de compliment obligat	Llista orientativa en guies de l'APDA, sense força normativa
Observació habitual i sistemàtica a gran escala	Supòsit exprés de l'art. 37.1.b RGPD	No figura com a supòsit autònom a l'art. 38.2 LQPD
Concepte de gran escala	Concepte jurídic indeterminat, sense xifra a la norma	Més de 5.000 afectats, per art. 17.5.b del Reglament
Subjectes vulnerables i menors	Sense supòsit específic d'obligació	Supòsit exprés per activitat principal (art. 21.4 del Reglament)
DPD extern	Sense qualificació normativa expressa com a encarregat	Encarregat del tractament per art. 21.6 del Reglament
Comunicació a l'autoritat	Deu dies, també si és voluntari (art. 34.3 LOPDGDD)	Deu dies, també si és voluntari (art. 21.5 del Reglament)

La divergència més interessant és la tercera. El RGPD obliga a designar DPD quan l'activitat principal consisteix en operacions que requereixen una observació habitual i sistemàtica d'interessats a gran escala. Aquest supòsit no apareix com a tal a l'article 38.2 de la LQPD.

Llegit de manera estricta, una empresa andorrana que fa videovigilància intensiva en múltiples establiments, sense prendre decisions automatitzades ni tractar categories especials, no encaixaria de manera directa en cap dels tres supòsits legals. En la pràctica acabarà entrant pel tercer, el de la quantitat considerable amb alt risc, perquè l'article 17.3 del Reglament inclou l'observació sistemàtica entre els criteris d'alt risc. Però el recorregut argumental és diferent del que faríeu a Espanya, i qui copia un informe espanyol i el tradueix al català es queda amb una motivació que no encaixa amb la norma andorrana.

Què passa si no el designeu

La guia informativa de l'APDA qualifica la manca de designació, quan és exigible, com a infracció greu. El règim sancionador de la LQPD situa les infraccions greus en una forquilla de 15.001 a 30.000 euros, i les molt greus entre 30.001 i 100.000 euros. El Reglament d'aplicació hi afegeix una regla d'agreujament: si concorren dues o més infraccions molt greus, la sanció econòmica pot arribar al 2% de la facturació global anual.

Són imports molt inferiors als del RGPD, i això té un efecte psicològic que considero perillós. La sanció econòmica no és l'únic risc. L'APDA pot fer públiques les seves resolucions, i per a un despatx, una asseguradora o una entitat financera andorranes, la publicació val bastant més que trenta mil euros.

Opinió d'Eleva

Crec que el debat sobre si cal o no cal DPD està mal plantejat en la majoria d'empreses andorranes. Es tracta com una qüestió de sí o no, quan la Llei el que exigeix de veritat és una anàlisi documentada. L'APDA ho diu de manera explícita a les dues guies: llevat que resulti obvi que no cal, es recomana documentar l'anàlisi interna, i aquesta documentació forma part del principi de responsabilitat proactiva i pot ser requerida en una inspecció.

Dit d'una altra manera: una empresa que no té DPD però conserva una anàlisi raonada, datada i signada de per què no li correspon està en una posició defensiva sòlida. Una empresa que no té DPD i tampoc no té cap paper que expliqui per què, no té res a oposar quan l'Agència truca. La segona situació és molt més habitual que la primera.

Hi ha un segon punt on discrepo de la pràctica dominant al mercat. La designació voluntària s'ofereix sovint com una decisió de baix cost i alt valor reputacional. No és tan barata. Un cop designat, el delegat entra en el règim de l'article 39 de la LQPD: independència, prohibició d'instruccions, prohibició de destitució o sanció per l'exercici de les seves funcions, accés al nivell jeràrquic més alt i recursos suficients. Si el nomeneu voluntàriament i després el tracteu com un tràmit, heu creat una obligació que no teníeu i no la compliu. Val més no designar-lo i documentar bé per què.

Com documentar l'anàlisi interna

Una anàlisi que aguanti una inspecció hauria de recollir, com a mínim, els elements següents:

1. Inventari de les activitats de tractament, encara que no estigueu obligats a portar registre formal. Si partiu de zero, el nostre checklist d'auditoria interna de privadesa per a entitats andorranes cobreix aquest primer pas.

2. Identificació de quines activitats impliquen categories especials de dades i quin volum d'afectats té cadascuna.

3. Contrast exprés amb els quatre supòsits: decisions automatitzades amb efectes jurídics, categories especials a gran escala, quantitat considerable amb alt risc, i activitat principal sobre col·lectius vulnerables o menors de catorze anys.

4. Aplicació del llindar dels 5.000 afectats de l'article 17.5.b del Reglament, amb la xifra concreta de cada tractament.

5. Conclusió motivada, amb data i responsable identificat.

6. Compromís de revisió quan canviïn les activitats, s'obrin nous serveis o creixi el volum de dades.

Si el resultat és afirmatiu, cal afegir la documentació de l'elecció del delegat: currículum, descripció de funcions, anàlisi escrita d'absència de conflicte d'interessos i, si escau, certificacions. A Eleva Data acompanyem aquest procés des de la nostra pràctica de protecció de dades a Andorra. L'APDA no verifica aquests requisits en el moment de la designació, però els pot exigir després.

Preguntes freqüents

Un advocat pot ser el DPD de la meva empresa?

Sí, mitjançant contracte de prestació de serveis. La guia de l'APDA hi posa un límit: aquest advocat no pot representar la mateixa organització davant els tribunals en assumptes que involucrin dades personals, perquè hi hauria conflicte d'interessos.

Puc nomenar el meu director financer o el responsable de sistemes?

No. L'article 23.2 del Reglament exclou expressament els càrrecs amb poder de decisió sobre les finalitats o els mitjans del tractament, i cita el director general, el director d'operacions, el director financer, el responsable legal, el responsable de sistemes, el responsable de compliment, el cap de màrqueting i el cap de recursos humans. La llista no és tancada: qualsevol funció inferior amb poder de decisió sobre tractaments també genera conflicte.

Quant temps tinc per comunicar la designació a l'APDA?

Deu dies hàbils des del nomenament, segons l'article 38.4 de la LQPD. També s'han de comunicar els cessaments. I l'obligació s'aplica tant si la designació era obligatòria com si va ser voluntària.

El DPD respon personalment si l'empresa incompleix?

No. La responsabilitat del compliment recau sobre el responsable o l'encarregat del tractament. El delegat supervisa, informa i assessora, i quan detecta una vulneració rellevant l'ha de documentar i comunicar de manera immediata als òrgans d'administració i direcció.

Un mateix DPD pot treballar per a empreses competidores?

Sí, sempre que les tasques concretes no generin conflicte d'interessos. El delegat està subjecte a secret professional o a obligació de confidencialitat, i això permet que presti servei a organitzacions en competència sense comprometre la confidencialitat de cap d'elles.