El expediente más sonado de protección de datos en Andorra terminó sin multa. La Agència Andorrana de Protecció de Dades dio por probadas cuatro infracciones contra Andorra Telecom, SAU —una de ellas muy grave— por la activación fraudulenta de tarjetas eSIM, y la sanción fue una amonestación. Cero euros. Si de ahí concluyes que aquí no pasa nada, has leído mal el expediente.
Respuesta rápida: La protección de datos en Andorra se rige por la Llei 29/2021, en vigor desde el 17 de mayo de 2022. Exime del registro de actividades de tratamiento a las empresas de menos de 50 trabajadores, obliga a notificar las brechas en 72 horas y sanciona las infracciones muy graves con multas de 30.001 a 100.000 euros.
Lo esencial
- La Llei 29/2021, qualificada de protecció de dades personals (LQPD), rige desde el 17 de mayo de 2022; su reglamento se aprobó por el Decret 391/2022 (Portal Jurídic d'Andorra).
- El artículo 34.8 exime del registro de actividades de tratamiento a las empresas de menos de 50 trabajadores.
- Infracciones muy graves: 30.001 a 100.000 euros; graves, 15.001 a 30.000; leves, hasta 15.000 (artículos 72 y 73).
- La APDA resolvió el 8 de abril de 2025 el expediente de las eSIM de Andorra Telecom con cuatro infracciones y una amonestación (Diari d'Andorra, mayo de 2025).
- Andorra tiene nivel adecuado de protección desde la Decisión 2010/625/UE, de 19 de octubre de 2010, confirmado en la revisión de la Comisión Europea de enero de 2024.
Qué regula la protección de datos en Andorra y desde cuándo
La LQPD sustituyó en 2022 a un texto de 2003 que ya no tenía relación con cómo trabaja hoy una empresa, y se escribió mirando de reojo al reglamento europeo. Reconocible no es idéntico, y las diferencias caen justo donde una pyme decide presupuesto.
| Andorra (LQPD) | Unión Europea (RGPD) | |
|---|---|---|
| Registro de actividades | Exento por debajo de 50 trabajadores (art. 34.8) | Exento por debajo de 250, salvo riesgo, tratamiento no ocasional o datos sensibles (art. 30.5) |
| Delegado de protección de datos | Sector público siempre; privados, solo en supuestos tasados | Autoridades públicas, observación sistemática o datos sensibles a gran escala (art. 37) |
| Notificación de brechas | 72 horas | 72 horas (art. 33) |
| Multa máxima | 100.000 € (art. 73) | 20 millones de euros o el 4 % de la facturación mundial (art. 83.5) |
| Mínimo por infracción muy grave | 30.001 € | Sin suelo legal |
| Autoridad | Agència Andorrana de Protecció de Dades | La de cada Estado miembro |
Fuentes: LQPD y Reglamento (UE) 2016/679.
La exención por debajo de 50 trabajadores es una trampa si vendes fuera
Aquí está el consejo que más veces he visto dar mal. Una empresa de doce personas lee el artículo 34.8, comprueba que está muy por debajo de cincuenta y da por cerrado el registro de actividades de tratamiento. Formalmente tiene razón. Operativamente se ha metido en un problema.
El artículo 3.2 del RGPD no pregunta dónde está tu sociedad. Pregunta a quién le vendes. Si ofreces bienes o servicios a personas que están en la Unión Europea, o controlas su comportamiento, el reglamento europeo te aplica directamente, y con él sus artículos 30 y 83. La exención andorrana te protege frente a la APDA, no frente a una autoridad española o francesa. Misma lógica que hace que el AI Act alcance ya a una empresa andorrana sin filial en la Unión: el criterio no es tu domicilio social, es el destino de lo que produces.
Si tu clientela es andorrana, la exención es real y aprovéchala. Si vendes en Barcelona o en Toulouse, o por web sin restringir el envío, monta el registro igual: es una hoja de cálculo con seis columnas, no un proyecto.
El baremo de nueve puntos que decide si necesitas delegado
Administraciones, organismos autónomos y entidades parapúblicas están obligados siempre. Una sociedad privada, solo en dos supuestos: evaluación sistemática y exhaustiva de aspectos personales mediante tratamiento automatizado, o datos sensibles a gran escala.
«A gran escala» sonaba a concepto indeterminado hasta que la APDA publicó una calculadora orientativa. Cuatro criterios —número de afectados, categorías de datos, duración y ámbito geográfico—, catorce puntos como máximo y el umbral en nueve.
Cálculo propio de Valira Valley: nueve sobre catorce es el 64 % del máximo, así que se cruza el umbral sin puntuar alto en ningún criterio aislado. Una clínica dental de Escaldes con miles de historiales conservados años, datos de salud y algún paciente transfronterizo suma más rápido de lo que su gerente supone. No hace falta ser grande: basta con acumular.
El corolario ahorra dinero. Pasa el baremo antes de contratar a nadie: el delegado designado se comunica a la APDA —según la agencia, en los diez días hábiles siguientes al nombramiento— y desde ahí hay que mantener y documentar la función. Nombrarlo «por si acaso» convierte una recomendación en una obligación autoimpuesta.
Lo que enseña de verdad el expediente de las eSIM
Volvamos al caso del principio, que es la mejor radiografía disponible de cómo actúa la APDA. La agencia abrió actuaciones en noviembre de 2024 a partir de informaciones de prensa sobre un caso de ingeniería social: varios suplantadores activaron tarjetas eSIM haciéndose pasar por los titulares y saltándose el protocolo de verificación del operador. La resolución del 8 de abril de 2025 desestimó el recurso de la compañía y confirmó cuatro incumplimientos. El muy grave, por vulnerar los principios de exactitud, integridad, confidencialidad y responsabilidad proactiva. Los tres graves: verificación de identidad insuficiente, falta de medidas de seguridad desde el diseño y no notificar la brecha dentro del plazo de 72 horas.
Sanción: amonestación.
La lectura cómoda es que la APDA gradúa y ante un operador que colabora ha preferido advertir. La incómoda: esa amonestación es el escalón previo de una escala cuyo siguiente peldaño no empieza en una cifra simbólica. La LQPD fija un mínimo de 30.001 euros para las muy graves; el RGPD, con su techo de 20 millones, no fija ninguno.
Cálculo propio: el techo andorrano es 200 veces menor que el europeo, lo que invita a relajarse. Pero el riesgo de una pyme no está en el techo, al que no llegará nunca, sino en el suelo. Comparar máximos es el error de análisis más común aquí.
Queda un coste que no sale en ninguna tabla: la infracción por no notificar en 72 horas se consuma sola, con independencia de lo bien que hubieras protegido los datos. Es la más fácil de evitar y la más fácil de cometer, porque depende de tener un teléfono al que llamar un sábado por la noche.
La adecuación europea es un activo comercial, no un trámite
Si vendes servicios a empresas de la Unión Europea, esto es lo más rentable que vas a leer del asunto. Andorra tiene decisión de adecuación desde el 19 de octubre de 2010, y en enero de 2024 la Comisión Europea revisó por primera vez las decisiones anteriores al RGPD: once países y territorios —Andorra entre ellos, junto a Argentina, Canadá, Islas Feroe, Guernsey, Isla de Man, Israel, Jersey, Nueva Zelanda, Suiza y Uruguay— siguen ofreciendo un nivel adecuado.
En la práctica, un cliente alemán puede enviarte datos de sus empleados o sus usuarios sin cláusulas contractuales tipo y sin evaluación de impacto de transferencia. Una fricción menos en cada contrato, y un argumento comercial que casi ningún proveedor andorrano usa porque no sabe que lo tiene. Ponlo en la propuesta, en la página donde hablas de precio.
El contrapeso, para no vender humo: la adecuación se revisa y no es un cheque en blanco. Cuanto más se acerque el país a la Unión —el acuerdo de asociación apunta ahí—, más escrutinio, no menos.
Cuándo esto no va contigo
Un límite honesto, porque sobreactuar en cumplimiento es caro. Si tienes menos de cincuenta trabajadores, tu clientela es andorrana, no tratas datos de salud, biométricos ni ideológicos y no haces perfilado automatizado, no necesitas registro de actividades, ni delegado, ni consultora. Necesitas tres cosas: saber qué datos tienes y dónde, contratos de encargado de tratamiento con quien te lleve la nómina y el correo, y escrito a quién se llama si el sábado por la noche alguien entra en tu servidor.
Tampoco confundas esto con el AI Act: si usas modelos generativos de cara al público, las obligaciones de transparencia van por otra vía, con otra autoridad y su propio calendario.
Lo que no admite matiz es el plazo de 72 horas: el único punto donde cumplir o no se mide en horas y no en criterio.
Fuentes
- Portal Jurídic d'Andorra, Llei 29/2021 (texto refundido) y Decret 391/2022.
- Agència Andorrana de Protecció de Dades, Drets i obligacions y Resolucions.
- Diari d'Andorra, L'APDA sanciona Andorra Telecom per la identificació de titulars d'eSIM, mayo de 2025, y Altaveu.
- EUR-Lex, Decisión 2010/625/UE, de 19 de octubre de 2010.
- Comisión Europea, primera revisión de las decisiones de adecuación, SWD(2024) 3 final, 15 de enero de 2024.
- EUR-Lex, Reglamento (UE) 2016/679 (RGPD).