- El 28 de junio la Comisión Europea adoptó dos decisiones de adecuación sobre el Reino Unido, una del RGPD y otra de la directiva policial.
- Los datos personales pueden fluir de la UE al Reino Unido sin cláusulas ni garantías adicionales.
- Las decisiones tienen una vigencia inicial de cuatro años y la Comisión puede revisarlas si cambia la legislación británica.
El 28 de junio de 2021 la Comisión Europea adoptó dos decisiones por las que reconoce que el Reino Unido ofrece un nivel adecuado de protección de datos personales: una al amparo del Reglamento General de Protección de Datos y otra al de la Directiva sobre protección de datos en el ámbito penal. Los Estados miembros habían votado a favor el 16 de junio y el Comité Europeo de Protección de Datos había emitido un dictamen favorable. El acuerdo comercial de diciembre había previsto un periodo transitorio de seis meses como máximo, hasta el 30 de junio, durante el cual los datos podían seguir circulando.
Para las empresas españolas y catalanas con clientes, filiales, proveedores o plataformas en el Reino Unido, supone que pueden seguir transfiriendo datos personales sin recurrir a mecanismos alternativos, como las cláusulas contractuales tipo. Evita, además, que tras el Brexit el Reino Unido pasara a ser un tercer país sin reconocimiento, con los costes de documentación y contratación que eso habría implicado.
Qué es una decisión de adecuación
El RGPD permite transferir datos personales fuera del Espacio Económico Europeo cuando el país de destino ofrece un nivel de protección esencialmente equivalente al europeo, y es la Comisión quien lo reconoce mediante una decisión de adecuación. Cuando existe, los datos fluyen como dentro de la Unión, sin autorizaciones ni garantías adicionales. Antes del Reino Unido, la Comisión había reconocido ese nivel a países como Suiza, Japón, Argentina o Nueva Zelanda.
En el caso británico, el análisis se ha centrado en la legislación que derivó del propio RGPD, la ley de protección de datos de 2018, y en las normas sobre el acceso de las autoridades a los datos con fines de seguridad nacional y de investigación penal. La decisión de la directiva policial es la primera de este tipo, y permite la cooperación policial y judicial con intercambio de datos personales.
Vigencia y salvaguardas
Las decisiones tienen una vigencia inicial de cuatro años, tras los cuales podrían renovarse si el nivel de protección sigue siendo adecuado. La Comisión seguirá vigilando la evolución del derecho británico y puede intervenir, suspender o derogar la decisión si el Reino Unido se aleja del nivel exigido. Es relevante porque el Reino Unido, fuera de la Unión, es libre de modificar su legislación en el futuro, y el reconocimiento se mantiene mientras el nivel de protección siga siendo equivalente. Para las empresas, eso significa que la tranquilidad actual es real, pero no definitiva.
La decisión del RGPD no cubre los datos que se transfieren con fines de control de inmigración en el Reino Unido, un ámbito en el que la normativa británica prevé una excepción a los derechos de los interesados. En esos casos, y en cualquier otro que quede fuera, las empresas deben seguir utilizando otros mecanismos, como las nuevas cláusulas contractuales tipo adoptadas por la Comisión el 4 de junio.
Qué conviene revisar
Las empresas con flujos de datos hacia el Reino Unido deberían actualizar su registro de actividades de tratamiento y sus políticas de privacidad, indicando que la transferencia se ampara en la decisión de adecuación. Conviene revisar los contratos con proveedores británicos de servicios en la nube, de nóminas o de marketing, y comprobar si siguen siendo necesarias las cláusulas contractuales tipo en transferencias posteriores.
También conviene anotar la fecha de revisión de las decisiones y seguir las novedades legislativas del Reino Unido, porque pueden afectar a la validez del marco. Esta información es de carácter general y no sustituye el asesoramiento en protección de datos para cada caso concreto.
Una buena noticia para quien trabaja con el Reino Unido, pero con fecha de revisión: conviene mantener la documentación al día.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
