Núm.

119
 17 de novembre del 2021
 22/44
 de les operacions de tractament en la protecció de dades personals.

Una única avaluació pot abordar una 
sèrie d’operacions de tractament similars que comportin alts riscos similars.

2.

El responsable del tractament ha de demanar l’assessorament del delegat de protecció de dades, si l’ha 
designat, en el moment de realitzar l’avaluació d’impacte relativa a la protecció de dades.

3.

L’avaluació d’impacte relativa a la protecció de les dades a què es refereix l’apartat 1 s’ha de requerir, 
en particular, en cas de:
 a) Avaluació sistemàtica i exhaustiva d’aspectes personals de persones físiques basada en un tracta-
ment automatitzat, com l’elaboració de perfils, sobre la base de la qual es prenen decisions que produ-
eixen efectes jurídics per a les persones físiques o que les afecten significativament de manera similar.
b) Tractament a gran escala de les categories especials de dades a què es refereix l’article 9, o de les da-
des personals relatives a condemnes i infraccions penals a què es refereix l’article 10.
 c) Observació sistemàtica a gran escala d’una zona d’accés públic.

4.

L’Agència Andorrana de Protecció de Dades ha d’establir i publicar una llista dels tipus d’operacions de 
tractament que requereixen una avaluació d’impacte relativa a la protecció de dades, de conformitat amb 
l’apartat 1.

5.

L’Agència Andorrana de Protecció de Dades també pot establir i publicar la llista dels tipus de tractament 
que no requereixen avaluacions d’impacte relatives a la protecció de dades.

6.

L’avaluació ha d’incloure, com a mínim:
 a) Una descripció sistemàtica de les operacions de tractament previstes i de les finalitats del tractament, 
inclòs, si escau, l’interès legítim perseguit pel responsable del tractament.
b) Una avaluació de la necessitat i la proporcionalitat de les operacions de tractament, en relació amb 
la seva finalitat.

c) Una avaluació dels riscos per als drets i les llibertats de les persones interessades a què es refereix 
l’apartat 1.
 d) Les mesures previstes per afrontar els riscos, incloses garanties, mesures de seguretat i mecanismes 
que garanteixen la protecció de dades personals i per demostrar la conformitat amb aquesta Llei, te-
nint en compte els drets i interessos legítims de les persones interessades i d’altres persones afectades.

7.

El compliment dels codis de conducta pels responsables o encarregats corresponents, s’ha de tenir de-
gudament en compte en avaluar les repercussions de les operacions de tractament efectuades per aquests 
responsables o encarregats, en particular a l’efecte de l’avaluació d’impacte relativa a la protecció de dades.

8.
8.

Si escau, el responsable ha de recollir l’opinió de les persones interessades o dels seus representants 
en relació amb el tractament previst, sense perjudici de la protecció d’interessos públics o comercials o de 
la seguretat de les operacions de tractament.

9.

Si cal, el responsable ha d’examinar si el tractament es fa d’acord amb l’avaluació d’impacte relativa a la 
protecció de dades, com a mínim quan hi hagi un canvi del risc que representen les operacions de tractament.

10.

Reglamentàriament es fixen la resta de condicions en què s’efectua l’avaluació, així com l’escala de riscos.

Article 33.

Consulta prèvia
1.

El responsable ha de consultar a l’Agència Andorrana de Protecció de Dades abans de procedir al trac-
tament si una avaluació d’impacte relativa a la protecció de les dades personals, en virtut del que disposa 
l’article 32, mostra que el tractament comporta un alt risc, si el responsable no pren mesures per mitigar-lo.

2.
2.

Quan l’Agència Andorrana de Protecció de Dades consideri que el tractament a què es refereix l’apartat 
1 pot infringir aquesta Llei, especialment quan el responsable no ha identificat o mitigat suficientment el 
risc, en un termini de vuit setmanes des de la sol·licitud de la consulta, ha d’assessorar el responsable per 
 l
a
r
e
n
e
G
l
l
e
s
n
o
C