Libre circulación de datos no personales en la UE

El 28 de noviembre de 2018 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2018/1807, relativo a un marco para la libre circulación de datos no personales. La norma, firmada el 14 de noviembre, entra en vigor el 18 de diciembre y será de aplicación a partir del 28 de mayo de 2019.

Su objetivo es que los datos que no son personales, como los datos industriales, de máquinas o de sensores, puedan almacenarse y tratarse en cualquier lugar de la Unión sin trabas nacionales injustificadas. Es una pieza del mercado único digital, complementaria al Reglamento general de protección de datos, que ya garantiza la libre circulación de los datos personales.

Qué prohíbe el reglamento

El reglamento prohíbe los requisitos de localización de datos, es decir, las normas o prácticas que obligan a almacenar o tratar datos en un Estado miembro concreto o que dificultan hacerlo en otro. Solo se admiten esas restricciones cuando están justificadas por razones de seguridad pública. Los Estados miembros deben, además, hacer públicos los requisitos que mantengan.

Esto afecta a empresas que contratan servicios de nube o de alojamiento: podrán elegir el proveedor y la ubicación del centro de datos dentro de la Unión con mayor libertad. También abre mercado a los proveedores de infraestructura digital, incluidos los centros de datos, que podrán dar servicio a clientes de otros países sin que existan barreras de localización.

Acceso de las autoridades y cambio de proveedor

Las autoridades competentes conservan el acceso a los datos para el ejercicio de sus funciones, aunque estos estén almacenados o tratados en otro Estado miembro, y se prevén mecanismos de cooperación entre administraciones. Es una garantía importante para supervisores, administraciones tributarias y otros organismos que necesitan consultar información de empresas.

El reglamento también anima a elaborar códigos de conducta de autorregulación que faciliten el cambio de proveedor de servicios y la portabilidad de los datos, de modo que una empresa no quede atada a una nube. No crea un derecho de portabilidad exigible, pero fomenta unas condiciones más transparentes en los contratos.

Datos personales y mixtos

La distinción entre datos personales y no personales no siempre es sencilla. Un mismo conjunto de datos puede contener ambos tipos, y cuando es así, el Reglamento general de protección de datos se aplica a la parte personal. Esta separación obliga a las empresas a conocer bien qué información tratan y dónde, y a documentarlo.

Para las empresas que operan en varios países, el reglamento reduce el riesgo de que una norma nacional les imponga una infraestructura propia. Sin embargo, no elimina las obligaciones sectoriales, ni afecta a las normas fiscales o contables que exijan conservar ciertos registros, que deben analizarse en cada caso.

Qué conviene revisar

Las empresas pueden revisar sus contratos de nube y alojamiento: dónde se almacenan los datos, qué ocurre si se quiere cambiar de proveedor, cómo se devuelven los datos y en qué formato. También conviene inventariar qué datos son personales y cuáles no, y si existen requisitos de localización en su sector que sigan vigentes por motivos de seguridad pública.

Para los proveedores tecnológicos y los centros de datos, la norma abre la posibilidad de captar clientes de otros países de la Unión. Conviene revisar los términos comerciales, las certificaciones de seguridad y los acuerdos de nivel de servicio, y preparar la oferta con tiempo y con asesoramiento jurídico y técnico.

Los datos podrán viajar con más libertad por la Unión, y las empresas deberían saber siempre dónde están y quién responde de ellos.

Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.