Brussel·les dona llum verda a les dades amb el Regne Unit

El 28 de juny del 2021 la Comissió Europea va adoptar dues decisions per les quals reconeix que el Regne Unit ofereix un nivell adequat de protecció de dades personals: una a l’empara del Reglament general de protecció de dades i una altra a la de la Directiva sobre protecció de dades en l’àmbit penal. Els estats membres havien votat a favor el 16 de juny i el Comitè Europeu de Protecció de Dades havia emès un dictamen favorable. L’acord comercial de desembre havia previst un període transitori de sis mesos com a màxim, fins al 30 de juny, durant el qual les dades podien continuar circulant.

Per a les empreses espanyoles i catalanes amb clients, filials, proveïdors o plataformes al Regne Unit, suposa que poden continuar transferint dades personals sense recórrer a mecanismes alternatius, com les clàusules contractuals tipus. Evita, a més, que després del Brexit el Regne Unit passés a ser un tercer país sense reconeixement, amb els costos de documentació i contractació que això hauria implicat.

Què és una decisió d’adequació

El RGPD permet transferir dades personals fora de l’Espai Econòmic Europeu quan el país de destinació ofereix un nivell de protecció essencialment equivalent a l’europeu, i és la Comissió qui ho reconeix mitjançant una decisió d’adequació. Quan n’hi ha una, les dades flueixen com dins de la Unió, sense autoritzacions ni garanties addicionals. Abans del Regne Unit, la Comissió havia reconegut aquest nivell a països com Suïssa, el Japó, l’Argentina o Nova Zelanda.

En el cas britànic, l’anàlisi s’ha centrat en la legislació derivada del mateix RGPD, la llei de protecció de dades del 2018, i en les normes sobre l’accés de les autoritats a les dades amb finalitats de seguretat nacional i d’investigació penal. La decisió de la directiva policial és la primera d’aquest tipus, i permet la cooperació policial i judicial amb intercanvi de dades personals.

Vigència i salvaguardes

Les decisions tenen una vigència inicial de quatre anys, passats els quals es podrien renovar si el nivell de protecció continua sent adequat. La Comissió continuarà vigilant l’evolució del dret britànic i pot intervenir, suspendre o derogar la decisió si el Regne Unit s’allunya del nivell exigit. És rellevant perquè el Regne Unit, fora de la Unió, és lliure de modificar la seva legislació en el futur, i el reconeixement es manté mentre el nivell de protecció continuï sent equivalent. Per a les empreses, això vol dir que la tranquil·litat actual és real, però no definitiva.

La decisió del RGPD no cobreix les dades que es transfereixen amb finalitats de control d’immigració al Regne Unit, un àmbit en què la normativa britànica preveu una excepció als drets dels interessats. En aquests casos, i en qualsevol altre que quedi fora, les empreses han de continuar utilitzant altres mecanismes, com les noves clàusules contractuals tipus adoptades per la Comissió el 4 de juny.

Què convé revisar

Les empreses amb fluxos de dades cap al Regne Unit haurien d’actualitzar el seu registre d’activitats de tractament i les seves polítiques de privadesa, indicant que la transferència s’empara en la decisió d’adequació. Convé revisar els contractes amb proveïdors britànics de serveis al núvol, de nòmines o de màrqueting, i comprovar si continuen sent necessàries les clàusules contractuals tipus en transferències posteriors.

També convé anotar la data de revisió de les decisions i seguir les novetats legislatives del Regne Unit, perquè poden afectar la validesa del marc. Aquesta informació és de caràcter general i no substitueix l’assessorament en protecció de dades per a cada cas concret.

Una bona notícia per a qui treballa amb el Regne Unit, però amb data de revisió: convé mantenir la documentació al dia.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.