Actualitat

Sobirania de les dades: per què importa on són

On s’allotgen les dades decideix quina llei s’hi aplica i qui hi pot accedir. Criteris per a pimes d’Andorra i Catalunya amb el RGPD i la Llei 29/2021.

Publicat el Per BDR Group11 min de lectura

On s’allotgen les dades d’una empresa determina quina llei s’hi aplica, qui pot obligar el proveïdor a lliurar-les i com es recuperen si el servei falla. Per a una pime d’Andorra o de Catalunya, saber-ho forma part de complir la normativa de protecció de dades i d’evitar dependre d’un sol proveïdor sense ser-ne conscient.

Què vol dir sobirania de les dades en una pime

Parlar de sobirania de les dades és respondre tres preguntes amb noms concrets: en quin país són físicament, a quina jurisdicció està sotmesa l’empresa que les custodia i qui hi pot accedir tècnicament. Molts contractes només responen la primera.

La segona és la que més sovint es passa per alt. La llei nord-americana obliga els proveïdors de comunicacions electròniques i de computació remota a conservar o lliurar, si reben un requeriment emparat en aquesta llei, les dades que tenen en possessió, custòdia o control, tant si són dins del país com fora (títol 18 del Codi dels Estats Units, secció 2713, de 2018). Un servidor a Frankfurt d’una empresa nord-americana continua depenent, en aquest punt, d’una llei nord-americana.

Això no fa il·legal treballar amb un proveïdor nord-americà, però la ubicació del servidor no explica, per si sola, qui pot arribar a la informació.

Andorra: fora de la UE, amb un nivell de protecció reconegut

Andorra no és a la UE, però la Comissió Europea va decidir el 19 d’octubre de 2010 que garanteix un nivell adequat de protecció de les dades personals transferides des de la Unió (Decisió 2010/625/UE). El RGPD manté vigents aquestes decisions mentre la Comissió no les modifiqui (article 45.9) i, a 25 d’octubre de 2026, Andorra continua a la llista de països amb decisió d’adequació. Una transferència basada en aquesta decisió no necessita cap autorització específica (article 45.1).

La decisió s’ha revisat: el 15 de gener de 2024 la Comissió va concloure, en la primera revisió de les onze decisions anteriors al RGPD, que Andorra continua oferint un nivell adequat, i va destacar que la Llei 29/2021 està molt alineada amb el RGPD.

Des d’Andorra, el marc és la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals (BOPA núm. 119, del 17 de novembre de 2021). Prohibeix les comunicacions internacionals de dades cap a països sense un nivell de protecció equivalent (article 42), que determina la llista de la UE o l’adhesió efectiva al Conveni 108+ del Consell d’Europa; les transferències a membres de la UE hi estan previstes (article 43). Fora d’aquests casos, calen garanties adequades (article 44).

Enviar dades de clients a un servei allotjat en un país que no és a la UE ni té decisió d’adequació és, per a una empresa andorrana, una transferència internacional que s’ha de poder justificar. I si ofereix béns o serveis a residents a la Unió, el RGPD també li pot ser aplicable (article 3.2).

A Catalunya, el RGPD posa condicions al proveïdor

Per a una empresa de Girona o de L’Hospitalet, el marc és el Reglament (UE) 2016/679. Qui contracta un servei que tracta dades personals per compte seu ha d’escollir un encarregat amb garanties suficients i regular la relació per contracte (article 28). El contracte ha de fixar que el proveïdor només tracta les dades segons instruccions documentades, també sobre transferències a tercers països, i que les suprimeix o les retorna en acabar. Tampoc pot recórrer a un altre encarregat sense autorització prèvia per escrit.

És habitual que una gestoria o una clínica hagi anat sumant eines en línia (correu, emmagatzematge, CRM, signatura) sense revisar-ne cap contracte, i que ningú sàpiga dir on són les dades.

Com fer l’inventari de dades i proveïdors

Un full de càlcul és suficient per començar. El RGPD (article 30) i la Llei 29/2021 (article 34) regulen el registre d’activitats de tractament, amb excepcions segons l’organització i el tractament; encara que no t’hi obliguin, és el punt de partida natural.

Per a cada sistema que desa dades (correu, ERP, CRM, fitxers, comptabilitat, signatura, còpies) apunta:

  • Qui l’utilitza i quines dades conté: de clients, d’empleats, de salut, financeres, sota secret professional.
  • Quin proveïdor el presta, en quin país està establert i a quin grup pertany.
  • En quin país són les dades i les còpies, i quins subencarregats intervenen.
  • Qui custodia les claus de xifratge.
  • Quin contracte d’encarregat hi ha i quan es va revisar.
  • Com s’exporten les dades i si l’exportació s’ha provat mai.

Què canvia segons el tipus de dada

La sobirania no pesa igual per a totes les dades, i convé decidir-ho per categories.

Tipus de dadaQuè diu la normaConseqüència pràctica
Contacte de clientsContracte d’encarregat i seguretat adequada al risc (RGPD arts. 28 i 32; Llei 29/2021 arts. 31 i 35)Contracte, subencarregats i còpies són el mínim
SalutTractament prohibit amb excepcions (RGPD art. 9; Llei 29/2021 art. 9); avaluació d’impacte si és a gran escala (RGPD art. 35.3.b; Llei 29/2021 art. 32.3.b)Pesen més la ubicació, els accessos i la sortida del proveïdor
Financeres de clientsNo són categoria especial (art. 9), però cal seguretat adequada al risc (art. 32)Xifrat, còpies provades i control d’accessos
Sota secret professionalLa Llei 48/2014 el defineix com a deure de l’advocat i dret del client (art. 13)El despatx en respon; triar proveïdor en forma part

Banca i despatxos a Andorra

Les entitats operatives del sistema financer andorrà tenen una regla d’externalització a la Llei 7/2024, del 27 de maig (article 8). Per externalitzar funcions operatives rellevants, inclosos els sistemes informàtics, han d’informar l’Autoritat Financera Andorrana (AFA) i obtenir-ne l’autorització prèvia, després d’analitzar el proveïdor, els riscos i les clàusules del contracte. L’externalització no allibera l’alta direcció ni altera les obligacions envers els clients, i l’entitat continua sent plenament responsable del proveïdor.

Una entitat financera catalana té el Reglament (UE) 2022/2554 (DORA), aplicable des del 17 de gener de 2025: els contractes amb proveïdors TIC han d’indicar els països on es presten els serveis i es tracten les dades, emmagatzemació inclosa, i garantir-ne la recuperació si el proveïdor fa fallida o s’acaba el contracte (article 30.2).

Per als despatxos, la Llei 48/2014, del 18 de desembre, només permet aixecar el secret professional en els casos previstos per la llei, amb l’autorització expressa del client o, excepcionalment, per decisió motivada de la Junta de Govern del Col·legi d’Advocats. La llei no parla de núvols. La nostra lectura és que un despatx que guarda els expedients en un servei extern ha de poder justificar on són i qui hi accedeix.

Preguntes que cal fer al proveïdor

Abans de signar o renovar, demana per escrit:

  1. A quina legislació està sotmesa l’empresa, incloses matrius i filials?
  2. En quins països es tracten i s’emmagatzemen les dades i les còpies, i com s’avisa d’un canvi?
  3. Quins subencarregats hi intervenen i com pots oposar-te a un canvi (RGPD, article 28)?
  4. Qui custodia les claus de xifratge? Se’n poden fer servir de pròpies?
  5. Què fa si rep un requeriment d’una autoritat d’un tercer país? El Reglament (UE) 2023/2854 (Reglament de dades), aplicable des del 12 de setembre de 2025, obliga els proveïdors de serveis de tractament de dades a evitar l’accés i la transferència il·legítims de dades no personals situades a la Unió (article 32).
  6. Com se’n surt? El mateix reglament exigeix un contracte amb preavís màxim de dos mesos, transició de fins a trenta dies i almenys trenta dies per extreure les dades (article 25); des del 12 de gener de 2027 no es podran cobrar costos pel canvi (article 29).
  7. On són les còpies i quan es va provar l’última restauració?
  8. En quant de temps t’avisa d’un incident? El responsable té setanta-dues hores per notificar-ho si afecta dades personals (RGPD, article 33; Llei 29/2021, article 36).

La ubicació no ho resol tot: còpies, claus i sortida

La nostra posició és que la sobirania es comprova en tres moments. El dia a dia: on són les dades i sota quina llei. L’incident: si les còpies són al mateix proveïdor i al mateix compte que les originals, un error o un accés indegut les pot afectar alhora. La sortida: poder recuperar la informació en un format útil i en un termini raonable si es canvia de proveïdor.

Un hotel d’Andorra amb les reserves en una plataforma estrangera, les còpies a la mateixa plataforma i cap exportació provada depèn del tot d’un tercer, i això no surt en cap clàusula. Tenir les dades a prop ajuda, però no substitueix una còpia separada i comprovada. I si les claus de xifratge les guarda el proveïdor que allotja les dades, protegeixen poc davant d’un requeriment adreçat a ell.

On tenim interès, i on no

Ho diem clar: a BDR Group oferim serveis cloud gestionats de la mà d’Andorra Cloud, amb datacenter propi a Andorra i equip tècnic al Principat, i per tant tenim interès en aquest debat. Això no fa de l’allotjament local la resposta per a tot: hi ha càrregues que funcionen bé en un núvol públic i un entorn híbrid sovint és l’opció més raonable. El criteri hauria de ser el tipus de dada i el risc de perdre’n el control, no el preu de la primera factura.

Què fer ara

  1. Fes l’inventari dels sistemes amb dades personals o crítiques, amb el país de les dades i el de cada proveïdor.
  2. Classifica les dades per sensibilitat i decideix on va cada grup, en lloc d’una sola decisió per a tota l’empresa.
  3. Revisa els contractes d’encarregat: instruccions, subencarregats, transferències i què passa amb les dades en acabar el servei.
  4. Identifica les transferències fora de la UE (o fora d’Andorra i de la UE, si ets una empresa andorrana) i la base legal que les empara.
  5. Comprova que les còpies són fora del sistema principal i fes una prova de recuperació real.

Preguntes freqüents

Si el meu proveïdor té els servidors a la UE, ja n’hi ha prou?

No sempre. Si l’empresa proveïdora està sotmesa a la llei d’un altre país, com la nord-americana citada, aquesta també hi pot tenir efectes. Cal mirar el contracte i la jurisdicció.

Una empresa catalana pot allotjar dades personals a Andorra?

Sí. La Comissió Europea considera que Andorra garanteix un nivell adequat de protecció, i una transferència basada en una decisió d’adequació no necessita autorització específica. El contracte d’encarregat continua sent obligatori.

Una empresa andorrana pot fer servir un núvol d’un país de la UE?

Sí, la Llei 29/2021 preveu les transferències a membres de la UE. Cal revisar els serveis que, tot i contractar-se a Europa, envien dades a tercers països.

Fonts

Vols saber on són les dades de la teva empresa?

Si vols revisar on s’allotja la teva informació i quines opcions tens a Andorra, comença per la fitxa del servei: Cloud empresarial gestionat a Andorra

Torna a Actualitat

Actualitat

Articles relacionats