¿Qué repercusiones tendrá el Brexit en el RGPD?

Tras la salida del Reino Unido de la UE, muchas organizaciones se preguntan qué repercusiones tendrá el Brexit en el RGPD y qué medidas deben adoptarse para cumplir con las nuevas leyes y normativas.

Cuando el RGPD entró en vigor el 25 de mayo de 2018, supuso la mayor reforma de la legislación en materia de protección de datos de los últimos veinte años. La normativa se diseñó para armonizar las normas de protección de datos en toda la Unión Europea y para reconocer los derechos de las personas en lo que respecta al uso de sus datos personales.

Las organizaciones han dedicado mucho tiempo y esfuerzo durante los dos últimos años a mejorar los procesos de protección de datos y a aplicar nuevas medidas para cumplir con esta normativa histórica.

Este compromiso con la protección de datos no ha sido en vano, ya que muchas de las medidas adoptadas seguirán siendo pertinentes y no modificarán la forma en que las empresas con sede en el Reino Unido tratan los datos de los interesados en este país.

No obstante, ahora que el Reino Unido ha abandonado oficialmente la UE, las organizaciones deberán evaluar qué cambios es necesario introducir para garantizar el cumplimiento de la legislación pertinente en materia de protección de datos.

Para responder a cualquier pregunta que pueda tener, hemos elaborado una breve guía en la que se explica qué implicaciones pueden tener estos cambios para su empresa.

El Brexit y el RGPD: todo lo que necesita saber

¿Seguirá siendo de aplicación el RGPD en el Reino Unido?

El¹ de enero de 2021, el RGPD de la UE dejó de ser aplicable en el Reino Unido, al tratarse de un reglamento de la UE. No obstante, si su empresa opera en el Reino Unido, seguirá estando obligada a cumplir con la legislación británica en materia de protección de datos. El Gobierno del Reino Unido ha incorporado el RGPD a la legislación británica bajo la denominación de «RGPD del Reino Unido».

En la práctica, esto significa que ha cambiado muy poco. Se han introducido algunas modificaciones para reflejar la situación del Reino Unido fuera de la UE, pero, en esencia, los principios fundamentales de protección de datos, los derechos y las obligaciones del RGPD siguen siendo los mismos y se han incorporado al RGPD del Reino Unido.

¿Seguirá siendo de aplicación el RGPD si su empresa opera en el Espacio Económico Europeo (EEE)?

Sí. Si su empresa opera en Europa, ofrece bienes o servicios a personas físicas en Europa o realiza un seguimiento del comportamiento de personas físicas en Europa, el RGPD de la UE seguirá siendo de aplicación. Si su organización lleva a cabo actividades de tratamiento tanto en la UE como en el Reino Unido, deberá cumplir tanto con el RGPD del Reino Unido como con el RGPD de la UE.

¿Cómo afecta el Brexit a las transferencias internacionales de datos?

Como parte del nuevo acuerdo comercial, la UE ha acordado aplazar las restricciones a las transferencias durante un período limitado de hasta cuatro meses, que podrá ampliarse a seis. Este mecanismo transitorio permitirá que los datos personales circulen libremente desde el Espacio Económico Europeo (EEE) al Reino Unido hasta que se adopte una decisión sobre la adecuación.

Dado que el Reino Unido ha abandonado la UE, se le considera un «tercer país» con respecto a Europa a efectos del RGPD. Los terceros países son aquellos que se encuentran fuera del ámbito de aplicación del RGPD de la UE. Las transferencias de datos desde la UE a terceros países están sujetas a restricciones, salvo que la Comisión Europea conceda un estatus denominado «adecuación».

La Comisión Europea concede la «adecuación» a aquellos países que se considera que cuentan con un nivel adecuado de protección de datos. Entre los demás países a los que la UE ha concedido el estatus de adecuación se encuentran Argentina, Nueva Zelanda, Israel y Japón. Si se concede la adecuación al Reino Unido, la libre circulación de datos personales continuará sin nuevas restricciones.

¿Será la UE un marco adecuado para las transferencias de datos desde el Reino Unido?

Sí. El Gobierno del Reino Unido ha confirmado que, de forma transitoria, reconocerá a la UE como un territorio adecuado para permitir los flujos de datos desde el Reino Unido sin necesidad de mecanismos de transferencia adicionales.

¿Necesitará su empresa un representante en Europa?

Si su empresa ofrece bienes o servicios a personas físicas en el EEE o si realiza un seguimiento del comportamiento de personas físicas en el EEE, es posible que deba designar a un representante en la UE. Del mismo modo, si su empresa no tiene su sede en el Reino Unido pero trata datos personales de ciudadanos británicos, es posible que deba designar a un representante en el Reino Unido con arreglo al RGPD del Reino Unido.

¿Cuál será la función de la ICO?

La ICO seguirá siendo el organismo supervisor independiente encargado de velar por el cumplimiento de la legislación británica en materia de protección de datos. Sin embargo, dejará de ser una autoridad supervisora de la UE, por lo que, si trata datos de ciudadanos de la UE, deberá designar a un representante en la UE. La ICO ha dejado claro que, si trata datos de ciudadanos de la UE, seguirá estando obligado a cumplir con el RGPD.

¿A quién informará en caso de que se produzca una filtración de datos?

En caso de una violación de datos, una empresa con sede en el Reino Unido se pondría en contacto con la ICO. Tras el Brexit, la ICO solo investigará los incidentes relacionados con la protección de datos que afecten a personas físicas del Reino Unido. Si la violación afecta a personas de varias nacionalidades, la ICO iniciará una investigación y colaborará con las autoridades de control de cada uno de los territorios afectados. Si hay interesados de la CEE implicados, deberá ponerse en contacto directamente con las autoridades de control pertinentes de la UE.

¿Se verán afectadas otras normativas en materia de protección de datos?

DPA

La Ley de Protección de Datos del Reino Unido de 2018 (DPA 2018) seguirá siendo de aplicación, como complemento del RGPD del Reino Unido.

PECR

El Reglamento sobre Privacidad y Comunicaciones Electrónicas de 2003 (PECR) establece normas relativas al marketing, las cookies y las comunicaciones electrónicas. Se trata de un reglamento específico del Reino Unido derivado de una normativa de la UE conocida como la Directiva sobre privacidad electrónica (actualmente existen planes para sustituir dicha Directiva por el Reglamento sobre privacidad electrónica). Por lo tanto, el PECR seguirá vigente y no se verá afectado por la salida del Reino Unido de la UE.

NIS

La Directiva sobre la seguridad de las redes y los sistemas de información (NIS) también se deriva del Derecho de la UE, pero está incorporada a la legislación del Reino Unido. Por lo tanto, seguirán aplicándose las normas vigentes. No obstante, si es usted un proveedor de servicios digitales con sede en el Reino Unido que presta servicios en la UE, es posible que deba designar a un representante en uno de los Estados miembros de la UE en los que preste dichos servicios.

eIDAS

El Reglamento sobre identificación electrónica, autenticación y servicios de confianza también es una norma de la UE, pero ya no es de aplicación en el Reino Unido. No obstante, el Gobierno británico ha anunciado que incorporará las normas del eIDAS a la legislación británica, por lo que, si es usted un proveedor de servicios de confianza del Reino Unido, seguirá estando obligado a cumplir dichas normas. Además, si presta servicios en la UE, también deberá cumplir con las normas de eIDAS en los Estados miembros de la UE.

FOIA

La Ley de Libertad de Información de 2000 forma parte de la legislación del Reino Unido y seguirá siendo de aplicación.

EIR

El Reglamento sobre información medioambiental está recogido en la legislación del Reino Unido, por lo que seguirá siendo de aplicación a menos que se derogue o se modifique.

¿Qué medidas deberían adoptar las empresas tras el Brexit?

Las organizaciones deberán llevar a cabo un análisis detallado de la protección de datos para evaluar si es necesario introducir algún cambio. Si su empresa tiene su sede en el Reino Unido y ofrece bienes y servicios principalmente a clientes del Reino Unido, las medidas que deberá adoptar serán mínimas. Sin embargo, si suministra bienes y servicios tanto a la UE como al Reino Unido, es posible que sea necesario introducir cambios. Para garantizar el cumplimiento de la legislación pertinente en materia de protección de datos, su organización debería:

1. Analice los flujos de datos para garantizar que su empresa pueda cumplir tanto con el RGPD del Reino Unido como con el RGPD de la UE.
2. Actualice los registros de tratamiento para cumplir con los requisitos del RGPD de la UE y del RGPD del Reino Unido.
3. Evalúe si existe alguna autoridad de supervisión de la UE que pueda considerarse ahora autoridad de supervisión principal (LSA).
4. Actualice los planes de respuesta ante brechas de seguridad para que se pueda notificar a la ICO y a la LSA de la UE en caso de que se produzca una brecha.
5. Valore si su empresa necesita designar a un representante en el Reino Unido y/o en la UE.
6. Actualice las políticas de privacidad para garantizar que detallen los flujos de datos y cumplan los requisitos pertinentes de ambas normativas.
7. Modifique los contratos y plantillas existentes para incluir las referencias pertinentes tanto al RGPD del Reino Unido como al RGPD de la UE.
8. Considere si será necesario actualizar las evaluaciones de impacto en materia de protección de datos y las evaluaciones de interés legítimo para cumplir con el RGPD del Reino Unido.
9. Asegúrese de que se hayan establecido las garantías adecuadas para los flujos transfronterizos de datos.
10. Evalúe si es necesario nombrar a un delegado de protección de datos distinto para el Reino Unido y para la UE.