Llei 29/2021 de protección de datos: ¿puedes alojar tu web de Andorra en servidores de la UE?

Respuesta corta para gestorías, comercios y despachos del Principado que quieren un hosting fiable sin infringir la ley andorrana de protección de datos.

Respuesta corta

  1. 1Sí. La Llei 29/2021 (LQPD), en vigor desde el 17 de mayo de 2022, permite transferir datos personales a los Estados miembros de la Unión Europea.
  2. 2El artículo 43 LQPD considera con nivel de protección adecuado a los países de la UE, a los que tienen decisión de adecuación de la UE y a los adheridos al Convenio 108+.
  3. 3Alojar tu web en un datacenter de Frankfurt es, por tanto, una transferencia internacional permitida, sin autorización previa de la APDA.
  4. 4Sigues siendo responsable del tratamiento: necesitas un contrato de encargado del tratamiento con el proveedor y registrar la transferencia en tu documentación.
  5. 5El Decret 391/2022 desarrolla la ley; la autoridad de control es la Agència Andorrana de Protecció de Dades (APDA).

Qué dice la legislación andorrana

La Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (BOPA núm. 119, 17 de noviembre de 2021) sustituyó a la ley de 2003 y entró en vigor el 17 de mayo de 2022, según la propia APDA. Acerca el régimen andorrano al estándar europeo: nuevas obligaciones para los responsables, más derechos para los interesados y la figura del delegado de protección de datos para las administraciones y algunas entidades privadas.

El artículo 42 fija el principio general: no se pueden transferir datos a un país que no ofrezca un nivel de protección al menos equivalente al de la ley. El artículo 43 resuelve la duda del hosting: son destinos adecuados los Estados miembros de la UE, los países con decisión de adecuación publicada en el Diario Oficial de la UE y los sometidos al Convenio 108+ del Consejo de Europa.

El Decret 391/2022, del 28 de setembre (BOPA núm. 118, 5 de octubre de 2022), aprueba el reglamento de aplicación. La relación es recíproca: la UE reconoce a Andorra como país adecuado desde la Decisión 2010/625/UE, de modo que los datos también circulan en sentido contrario.

Lo que sigue siendo tu responsabilidad

Que la transferencia esté permitida no traslada la responsabilidad al proveedor. Tu empresa sigue siendo responsable del tratamiento: debe firmar un contrato de encargado con el hosting, reflejar la transferencia en el registro de actividades, informar a los usuarios en la política de privacidad y aplicar medidas de seguridad adecuadas al riesgo. Si usas además servicios fuera de la UE — analítica, formularios, CDN —, cada uno es una transferencia que hay que evaluar por separado.

Tres casos habituales en el Principado

Gestora patrimonial en Andorra la Vella

Portal de clientes con datos financieros alojado en un VPS en Frankfurt: transferencia permitida por el art. 43. Lo crítico aquí es la seguridad (cifrado, accesos, copias) y el contrato de encargado.

Tienda tax-free en Escaldes-Engordany

Web con pedidos de clientes españoles y franceses: LQPD para la empresa y, probablemente, también RGPD por dirigirse a consumidores de la UE. El servidor en la UE no añade problemas; la pasarela de pago y la analítica sí deben revisarse.

Hotel en Canillo con reservas online

Datos de huéspedes en hosting cPanel dentro de la UE: permitido. El error típico es el motor de reservas externo con servidores en terceros países, que es una transferencia distinta.

Errores frecuentes

  • Creer que el hosting debe estar físicamente en Andorra: la LQPD no lo exige.
  • Pensar que el proveedor "certifica" el cumplimiento: el responsable eres tú.
  • No firmar el contrato de encargado del tratamiento con el hosting.
  • Olvidar las herramientas de terceros fuera de la UE incrustadas en la web.
  • Ignorar el RGPD cuando vendes a clientes de España o Francia.

Cómo te ayuda 4hosting

Nuestros servidores están en un datacenter de la UE, en Frankfurt — no en Andorra, y lo decimos claramente: es justo el destino que el art. 43 LQPD considera adecuado. Firmamos un contrato de encargado del tratamiento (DPA, art. 28 RGPD), trabajamos con alineación con ISO 27001 e incluimos protección DDoS, SSL Let's Encrypt y backup diario en cPanel.

Los planes desde cPanel Advanced, los VPS y los dedicados incluyen horas mensuales de DevOps y CyberSecurity para hardening, copias o revisión de accesos, y la migración desde tu proveedor actual es gratuita. No emitimos certificados de cumplimiento: la adecuación legal de tu web la validas tú o tu asesor.

Preguntas frecuentes

¿Necesito autorización de la APDA para alojar mi web en Alemania?

No, si el destino es un Estado miembro de la UE: el artículo 43 LQPD lo trata como destino con nivel adecuado. Sí debes documentar la transferencia y firmar un contrato de encargado del tratamiento con el proveedor.

¿Se aplica el RGPD a una empresa andorrana?

Andorra no es miembro de la UE, así que la ley principal es la LQPD. El RGPD puede aplicarse además si ofreces bienes o servicios a personas en la UE o monitorizas su comportamiento, algo habitual en el comercio con clientes españoles y franceses.

¿4hosting certifica que mi web cumple la LQPD?

No. 4hosting aloja los datos en la UE y firma el contrato de encargado del tratamiento (DPA), pero el cumplimiento de tu web — avisos, consentimientos, bases legales — lo decides y lo firmas tú o tu asesor.

Ver también