Amb motiu d’aquesta data, l’Agència Andorrana de Protecció de Dades (APDA) ha organitzat, amb la col·laboració del Consell General, una taula rodona titulada “Protecció de dades: de la normativa a la realitat”, amb l’objectiu d’apropar la protecció de dades a la ciutadania i traduir el marc normatiu en criteris pràctics, recomanacions útils i exemples reals del nostre entorn.

L’acte ha comptat amb cinc ponents coneixedors de la realitat actual del país en protecció de dades, des de perspectives empresarials, administratives i policials. Marta García, fundadora de DataSpex, ha tractat l’origen i la necessitat actual de la normativa; Bruno Ciroussel, gerent i fundador d’Aitek Event, ha abordat els usos de la intel·ligència artificial i els reptes que planteja; Belina Babi, inspectora de l’APDA, ha detallat pràctiques i comportaments que poden derivar en usos indeguts de les dades, ja sigui per sistemes d’IA o per actors maliciosos; Ferran Jordan, agent major de la Unitat de Delictes Tecnològics del Cos de Policia d’Andorra, ha exposat exemples concrets de ciberdelictes i de situacions de risc; i Andrés López, gerent i fundador de Win2Win, ha posat el focus en les mesures tècniques i organitzatives que cal implementar per reforçar la seguretat i el compliment. La conducció de l’acte ha anat a càrrec de Quim Barceló, que ha facilitat el fil conductor.

La jornada ha estat un èxit, atesa l’elevada participació i l’interès generat, i per aquest motiu volem expressar el nostre agraïment al Consell General per la cessió de l’espai i el suport institucional, als ponents per la seva implicació i rigor, a Quim Barceló per la conducció de l’acte, així com a les autoritats i al públic assistent per la seva presència i participació.

L’APDA continuarà impulsant iniciatives en aquesta línia, convençuda que l’organització d’aquest tipus d’esdeveniments és essencial per difondre el coneixement, reforçar la cultura de privacitat i promoure una responsabilitat compartida entre ciutadania, empreses i institucions. Protegir les dades és, en definitiva, protegir les persones.

La protecció de dades té un valor que va més enllà del compliment normatiu. És una eina democràtica que expressa el respecte per la dignitat de les persones i que permet que la modernització tecnològica avanci de manera segura. Quan la ciutadania entén que els seus drets estan garantits i que les institucions treballen amb criteris clars, la digitalització es converteix en un factor de cohesió i no de desconfiança. En aquest context, el paper de l’APDA és contribuir a crear les condicions perquè aquesta confiança existeixi, es reforci i s’estengui a tots els àmbits del país.

Una de les prioritats d’aquesta nova etapa és potenciar la formació i la transmissió de coneixement. La protecció de dades és una matèria tècnica, però afecta la vida quotidiana de tothom, i només serà plenament efectiva si és entesa i integrada per les administracions, les empreses i la ciutadania. El repte no és només complir una llei, sinó adquirir una cultura digital madura. Per això, l’APDA vol facilitar eines, criteri i comprensió perquè totes les persones puguin desenvolupar els seus projectes amb seguretat i amb plena consciència dels riscos i obligacions associats al tractament d’informació i de dades.

Aquest esforç formatiu és especialment important en un moment en què la tecnologia evoluciona amb rapidesa. La irrupció de la intel·ligència artificial, l’ús intensiu de dades, els nous models d’interoperabilitat o els serveis digitals que s’estan desplegant al país generen preguntes legítimes. Davant d’aquest escenari, l’APDA ha de ser un referent tranquil, ferm i pedagògic, capaç d’explicar amb claredat els principis que han de guiar aquesta transformació. La innovació no és incompatible amb els drets; al contrari, quan es desenvolupa amb criteris de proporcionalitat i respecte, esdevé més robusta i sostenible.

També és necessari que la protecció de dades formi part del debat públic sobre el futur digital del país. Les administracions i les organitzacions privades estan fent un esforç notable per modernitzar-se, i aquest procés requereix cooperació, diàleg i criteris compartits. L’APDA treballarà per contribuir a un entorn on el tractament de dades es faci amb prudència, transparència i responsabilitat, tenint present que la confiança no s’improvisa: es construeix amb coherència i amb una comunicació clara amb la ciutadania.

El nostre objectiu és que la protecció de dades esdevingui un pilar natural de la digitalització del país. Una eina que acompanya, que orienta i que dona seguretat. Andorra està immersa en una transformació que marcarà les properes dècades, i aquesta transformació ha de situar sempre la persona al centre. En aquest camí, l’APDA vol actuar amb rigor, amb sensibilitat i amb una voluntat clara de servei públic, consolidant una cultura digital basada en el respecte i la confiança.

Publicat al Monogràfic de Transformació Digital del Diari d'Andorra (27/11/2025)

Em permeto fer el paral·lelisme (molt simplificat) amb una eina tecnològica molt actual: la intel·ligència artificial (IA). En sentim a parlar perquè des de fa uns anys s’ha apropat el seu ús al públic general, a través de xatbots basats en models de llenguatge extens.

Tot i que l’ús de les calculadores o dels fulls de càlcul no tenen la mateixa complexitat tecnològica que els xatbots intel·ligents (ni de lluny!), considero que la por al desconegut és similar. Vam aprendre a fer servir una calculadora i a configurar correctament les fórmules dels fulls de càlcul i cal que aprenguem a usar aquesta nova eina per a fer-ho de manera segura.

Per això, cal recordar que la IA que utilitzem és un model de llenguatge i no un model de fets. En poques paraules, els models de llenguatge extens són un model matemàtic probabilístic: el sistema treballa amb paraules, frases i estructures lingüístiques, però no disposa d’un coneixement objectiu, ni entén què és cert o fals; és el motiu principal del que s’anomenen les al·lucinacions de la IA. En essència, un model de llenguatge extens calcula les probabilitats que una certa paraula segueixi una cadena de paraules donada prèviament. De quines dades extreu aquesta probabilitat? Aquí és on entra el terme “gran”: es nodreixen de conjunts de dades molt grans.

En aquest punt de l’article, ja no us ronda tant la pregunta: per què la inspectora de l’Agència Andorrana de Protecció de Dades personals escriu sobre la IA i els xatbots i no sobre dades personals? Els xatbots s’entrenen amb moltes dades, entre les quals es troben dades personals.

És essencial que tant en el moment de configurar la IA com en el moment d’utilitzar-la, es tingui en compte la protecció de dades des del disseny i per defecte. Això implica que hi hagi les mesures de seguretat suficients per a protegir la informació incorporada als xatbots i que s’informi de manera transparent sobre com es processen les dades, així com garantir la recollida d’un consentiment explícit.

Tot i això, per què aquestes mesures de seguretat siguin efectives, cal que els usuaris prenguem consciència de la importància de la privacitat i assumim un paper actiu en la protecció de les nostres dades personals. Una manera senzilla de fer-ho és ajustar les configuracions de privacitat als dispositius i serveis que utilitzem, així com revisar les opcions de seguretat, activant la verificació en dos passos.

La feina de l’Agència Andorrana de Protecció de Dades personals, el correcte compliment per part de les empreses i entitats del país, així com la conscienciació del públic general, permetran minimitzar els riscos i mantenir el control sobre la informació personal en un món cada cop més digitalitzat.

Publicat al Monogràfic de Transformació Digital del Diari d'Andorra (27/11/2025)

El context

La reclamació va ser presentada per un particular el 30 de maig del 2024, en relació amb el traspàs d’informació sensible entre dos centres de psicologia. La persona reclamant va aportar documentació que acreditava la cessió i la conservació indeguda de dades personals de pacients, motiu pel qual va sol·licitar la intervenció de l’APDA. 

Les investigacions

L’àrea d’inspecció de l’APDA va admetre a tràmit la reclamació i va obrir un expedient per cadascun dels centres. En el marc de la investigació, es van enviar requeriments d’informació a tots dos centres de psicologia implicats per aclarir les circumstàncies de la cessió i la conservació de la documentació clínica. Es va demanar, entre d’altres aspectes, informació sobre el circuit seguit en el traspàs de dades, les mesures tècniques i organitzatives aplicades, la base legal invocada, la informació facilitada als pacients i la localització actual de la documentació clínica. També es va requerir que expliquessin com havien respectat els principis generals de la protecció de dades i si havien garantit la integritat i la confidencialitat de la informació.

Els incompliments

L’APDA va constatar que tots dos centres de psicologia havien vulnerat diversos principis i obligacions en matèria de protecció de dades.

Pel que fa al centre que va fer la cessió de la documentació, es van detectar incompliments en relació amb la limitació de la finalitat, la licitud del tractament de dades especialment sensibles i la manca d’aplicació de mesures tècniques i organitzatives adequades.

En el cas del centre que va conservar temporalment les dades, es van identificar incompliments similars: manca de limitació de la finalitat, tractament de dades sensibles sense base legal suficient i absència d’informació als pacients sobre aquesta conservació.

En conseqüència, l’Agència va concloure que s’havien infringit diversos articles de l’LQPD.

La sanció

Un cop analitzats els fets, l’APDA va resoldre sancionar amb una amonestació els dos centres de psicologia implicats.

En el cas del centre que va fer la cessió de dades, atès que va cessar l’activitat, l’Agència va imposar una amonestació pels incompliments detectats.

Pel que fa al centre que va conservar temporalment la documentació clínica, l’APDA també va imposar una amonestació i va requerir que, en un termini de quinze dies hàbils des de la fermesa de la resolució, aportés la documentació que acreditava l’adequació a la normativa. Concretament, la presentació de protocols sobre la gestió i el trasllat de documentació clínica que especifiquessin les mesures aplicades en cas de cessament d’un professional; mostres d’acords de corresponsabilitat o contractes amb els professionals sanitaris que exercien com a autònoms, identificant la relació establerta amb el centre, les funcions i responsabilitats de cadascú i la seva relació amb les persones interessades; exemples de la informació facilitada als pacients sobre el tractament de les seves dades personals.

Addicionalment, es va recomanar al centre revisar el sistema de seguretat física i actualitzar els Registres d’Activitat de Tractament per garantir un millor control sobre les dades personals.

Finalment, l’Autoritat va recordar que l’incompliment de la resolució constitueix una infracció molt greu, que pot donar lloc a sancions econòmiques d’entre 30.001 i 100.000 euros.

Per aprofundir

Guia d'orientació sobre les obligacions i protocols a complir amb la Llei Qualificada de Protecció de Dades

Guia de bones pràctiques del deure d'informació

Principals canvis en la nova normativa de protecció de dades: la Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (LQPD)

Normativa de referència

Article 5 de l’LQPD. Principis relatius al tractament.

Article 6 de l’LQPD. Licitud del tractament

Article 9 de l’LQPD. Tractament de categories especials de dades personals.

Article 16 de l’LQPD. Informació que s’ha de facilitar quan les dades personals s’obtenen de la persona interessada.

Article 17 de l’LQPD. Informació que s’ha de facilitar quan les dades personals no s’obtenen de la persona interessada.

Article 35 de l’LQPD. Seguretat i confidencialitat del tractament

La guia aborda, amb un llenguatge clar i exemples adaptats al context andorrà, qüestions com la base legal que legitima el tractament de dades en l’àmbit educatiu, les obligacions dels centres i professionals, les mesures tècniques i organitzatives de seguretat, el deure d’informar i la manera de garantir l’exercici dels drets de les persones. També ofereix recomanacions per a l’ús responsable de les tecnologies digitals i la prevenció de riscos associats a la gestió d’informació sensible, com imatges, registres acadèmics o dades de salut.

Adreçada principalment a equips directius, docents i personal administratiu, aquesta eina també pot ser d’utilitat per a famílies i estudiants que vulguin conèixer millor els seus drets i les garanties que els emparen. L’objectiu és facilitar el compliment normatiu i, alhora, promoure una cultura de la privacitat que enforteixi la confiança i la seguretat dins de la comunitat educativa.

📄 Consulta i descarrega la guia completa aquí.

El context

La reclamació va ser presentada per un particular el 3 de gener del 2025, en considerar que se li havia impedit exercir el seu dret d’oposició i el dret de supressió, atès que el portal de notícies no facilitava la informació de contacte necessària per fer-ho efectiu.

Les investigacions

L’àrea d’inspecció de l’APDA va admetre a tràmit la reclamació i va obrir un expedient. Com a part de la investigació, es va enviar un requeriment d’informació al mitjà reclamat amb la sol·licitud d’alguns aclariments, dels quals destaca:

Una justificació de la manca d’una política de privacitat accessible al seu lloc web o per altres canals.

Una explicació sobre com s’informava els usuaris i les persones afectades sobre el tractament de les seves dades personals.

El detall dels motius pels quals no existien mecanismes per facilitar l’exercici dels drets en matèria de protecció de dades personals, entre altres aspectes. 

Els incompliments

L’APDA va constatar que el mitjà de comunicació digital duia a terme diversos tractaments de dades personals, com ara:

La publicació d’informació sobre persones identificables i noticiables.

L’accés o registre eventual de dades personals a través dels comentaris a les notícies.

La gestió de cookies.

Tanmateix, el mitjà no proporcionava cap informació sobre aquests tractaments: ni les finalitats, ni la base jurídica, ni els terminis de conservació, ni els drets de les persones afectades en matèria de protecció de dades. Per tant, es va concloure que s’havien vulnerat els articles 16 i 17 de l’LQPD, ja que el mitjà no havia acreditat que posés a disposició de les persones la informació obligatòria sobre el tractament de les seves dades personals, ni mitjançant una política de privacitat ni a través de cap altre canal.

Aquesta omissió constitueix una infracció molt greu, tal com estableix l’article 72.1.g) de l’LQPD: «L’omissió del deure d’informar la persona interessada sobre el tractament de les seves dades personals de conformitat amb els articles 16 i 17».

La sanció

Un cop analitzats els fets, l’APDA va resoldre sancionar el mitjà amb una amonestació. Així mateix, va ordenar que ajustés les seves operacions de tractament a les disposicions de l’LQPD, implementant mecanismes adequats per complir amb el deure d’informar, com ara l’elaboració i publicació d’una política de privacitat.

L’APDA també va advertir que l’incompliment de la resolució podria comportar una sanció econòmica d’entre 30.001 i 100.000 euros. 

Per aprofundir

Guia de bones pràctiques del deure d’informar

Formulari per sol·licitar informació sobre el tractament de les dades personals

Model política de privacitat plana web

Model política de cookies

Model exercici dels drets relatius a la protecció de dades personals

Normativa de referència

Article 16 de l’LQPD. Informació que s’ha de facilitar quan les dades personals s’obtenen de la persona interessada.

Article 17 de l’LQPD. Informació que s’ha de facilitar quan les dades personals no s’obtenen de la persona interessada.

Aquesta iniciativa es va impulsar arran de diverses queixes de ciutadans i ciutadanes sobre possibles incompliments de la normativa per part d’alguns partits polítics. Per aquest motiu, l’APDA va adreçar un requeriment d’informació als 10 partits polítics inscrits al registre. L’LQPD va entrar en vigor el maig del 2022, però fins al requeriment d’enguany fet per l’APDA, la majoria de partits no havien revisat ni actualitzat adequadament la seva política de privacitat. En aquest període es van celebrar eleccions generals i comunals, durant les quals la manca de transparència sobre el tractament de dades personals podria haver generat riscos afegits per als drets de les persones.

Situació prèvia al requeriment

Les dades obtingudes mostren que, abans del requeriment, la situació era clarament deficient: només 1 de 10 partits disposava d’una política de privacitat publicada i prou alineada amb els requisits de l’LQPD, amb marge de millora. La resta (9 partits) presentaven polítiques incompletes o amb greus errors (en alguns casos encara es feia referència a la normativa del 2003) o no en tenien cap publicada.

Quatre partits sense resposta, sense política de privadesa i sense DPD

Dels 10 partits requerits, 4 no han respost l’APDA i, a més, no tenen publicada una política de privacitat ni han designat un Delegat o Delegada de Protecció de Dades (DPD). 

3 d’aquests 4 no tenen representació parlamentària; tanmateix, l’LQPD és d’aplicació general a tots els Partits Polítics inscrits al registre i, per tant, actius, amb independència de la seva presència al Consell General. El quart, amb representació parlamentària, té el seu web en manteniment i facilita únicament una adreça electrònica de contacte. En conseqüència, no disposa de política de privacitat accessible ni consten les dades de contacte del o de la DPD ni els motius de la seva inexistència.

Designació del o de la DPD: avanços parcials

Abans del requeriment, només 2 partits tenien designat una persona Delegada de Protecció de Dades.

2 partits més l’han designada després del requeriment.

2 partits han indicat que consideren que no estan obligats a designar-la.

Els tres partits sense representació parlamentària que no han respost, tampoc han notificat les dades de contacte del o de la DPD ni han aclarit si en disposen o els motius pels quals no en tenen.

Resultats després del requeriment

Després de l’actuació de l’APDA:

5 partits tenen política de privacitat publicada (publicada no equival necessàriament a «completa»: l’APDA continua revisant la qualitat dels continguts rebuts).

De la resta, 1 manté el web en manteniment, 1 ha traslladat la política a l’APDA, però encara no l’ha publicada, i 3 no han respost i no disposen de política de privacitat al seu lloc web. 

A data actual, 20 d’agost del 2025, 4 partits disposen de política de privacitat publicada i una persona delegada de protecció de dades designada. 

Riscos

D’acord amb l’article 9 de l’LQPD, les dades personals que revelen opinions polítiques constitueixen categories especials i, per tant, el seu tractament està prohibit amb caràcter general, excepte si concorre alguna de les circumstàncies legalment previstes. Així mateix, els sistemes automatitzats (formularis, xats, IA, canals de missatgeria) poden inferir dades sensibles, encara sense recollir-les explícitament, incrementant els riscos de vulneració de drets. Aquest context exigeix transparència i responsabilitat, especialment en períodes electorals o en qualsevol procés de participació ciutadana. 

Règim sancionador

L’APDA recorda que l’LQPD va entrar en vigor el maig del 2022 i que la protecció de dades en l’àmbit polític és especialment sensible, atès que les dades relatives a opinions polítiques constitueixen categories especials i requereixen un nivell de protecció elevat.

L’Agència ja ha imposat amonestacions a altres entitats per manca de política de privacitat i adverteix que aquests incompliments poden comportar sancions econòmiques rellevants. D’acord amb l’LQPD:

Infracció molt greu: l’omissió del deure d’informar la persona interessada sobre el tractament de les seves dades (arts. 16 i 17) se sanciona amb 30.001 € – 100.000 €.

Infracció lleu: l’incompliment del principi de transparència o del dret d’informació per no facilitar tota la informació dels arts. 16 i 17 se sanciona amb 500 € – 15.000 €.

En cas de detectar incompliments, l’APDA pot dur a terme actuacions com ara requerir mesures correctores, emetre advertiments o amonestacions, ordenar la publicació o esmena de les polítiques de privacitat, verificar el compliment mitjançant inspeccions i, si escau, incoar procediments sancionadors amb les sancions econòmiques previstes a l’LQPD.

L’APDA recorda que, si una persona considera que s’han vulnerat els seus drets en matèria de protecció de dades o que no se l’ha informat adequadament sobre el tractament de les seves dades personals, pot presentar una reclamació davant l’Agència, la qual avaluarà el cas i actuarà d’acord amb les seves competències.

Per aprofundir:

Guia de bones pràctiques del deure d’informar

Formulari per sol·licitar informació sobre el tractament de les dades personals

Model política de privacitat plana web

Model política de cookies

Model exercici dels drets relatius a la protecció de dades personals

Normativa de referència:

Article 16 de l’LQPD. Informació que s’ha de facilitar quan les dades personals s’obtenen de la persona interessada.

Article 17 de l’LQPD. Informació que s’ha de facilitar quan les dades personals no s’obtenen de la persona interessada. 

De les 38 notificacions de violacions de seguretat rebudes a l’APDA, s’han tancat 15 de la incidència que no afectaven dades personals (com, per exemple, un bloqueig de la pàgina web); s’han fet recomanacions a 18 entitats per millorar diferents aspectes de la protecció de dades (com revisar el contracte d’encàrrec de tractament amb el proveïdor de serveis, avaluar si aquest encarregat aplica les mesures de seguretat adequades o mantenir un enfocament proactiu per garantir la normativa de protecció de dades), i s’ha fet un requeriment a 4 entitats que no van enviar la notificació completa en el termini establert d’un mes. A aquests organismes se’ls ha demanat una explicació dels motius pels quals no han presentat la notificació i que facilitin a l’APDA la comunicació feta als seus afectats, si és que n’hi ha. 

Finalment, a Andornet se li ha fet un requeriment més exhaustiu en què, entre altres, se li ha sol·licitat la relació d’entitats clientes afectades per la violació de la seguretat amb implicacions sobre les dades personals; els contractes d’encàrrec de tractament amb diferents organismes, incloent-hi públics i parapúblics, així com detalls tècnics del ciberatac.

Per aprofundir:

Guia informativa: notificacions de violacions de seguretat de dades personals

Consells per notificacions de violacions de seguretat de dades personals

Model de contracte d’encàrrec de tractament

Normativa de referència:

Article 31 l’LQPD. Encarregat del tractament de dades personals.

Article 36 de l’LQPD. Notificació d’una violació de la seguretat de les dades personals a l’autoritat de control.

Article 37 de l’LQPD. Comunicació d’una violació de la seguretat de les dades personals a la persona interessada.

Publicat al Diari BonDia Andorra (07/08/2025)

L’APDA ha rebut en les últimes setmanes diverses queixes relacionades amb l’incompliment de la normativa de protecció dades personals per part d’alguns partits polítics. Concretament, aquestes fan referència a una absència o incorrecta política de privadesa, a la manca de designació d’un Delegat o Delegada de Protecció de Dades (DPD) o a l’ús de formularis i altres eines a la pàgina web, entre altres. Així, des de l’APDA s’ha detectat que hi ha diverses formacions que disposen de formularis, canals de missatgeria instantània o sistemes de xat automatitzat basats en intel·ligència artificial que poden implicar tractaments de dades personals sensibles. D’acord amb l’article 9 de la LQPD, les dades personals que revelen opinions polítiques constitueixen categories especials de dades i, per tant, el seu tractament està prohibit amb caràcter general, excepte si concorre alguna de les circumstàncies legalment previstes. A més, en el cas dels sistemes automatitzats, cal tenir en compte que, encara que no es recullin dades identificatives de manera aparent, el contingut de les interaccions sí que pot inferir informació personal o sensible. 

Aquesta actuació té com a objectiu garantir que el tractament de dades personals, especialment en l’àmbit polític, es dugui a terme amb transparència, responsabilitat i ple respecte pels drets de les persones reconeguts per la LQPD.

L’APDA recorda a la ciutadania que pot exercir els seus drets en matèria de protecció de dades i posa a disposició recursos informatius al seu web.