Che impatto avrà la Brexit sul GDPR?

Dopo l’uscita del Regno Unito dall’UE, molte organizzazioni si sono chieste quale impatto avrà la Brexit sul GDPR e quali misure occorra adottare per conformarsi alle nuove leggi e normative.

Quando il GDPR è entrato in vigore il 25 maggio 2018, ha segnato la più grande rivoluzione delle leggi sulla privacy degli ultimi 20 anni. La normativa è stata pensata per uniformare le regole sulla protezione dei dati in tutta l’Unione Europea e per riconoscere i diritti delle persone riguardo all’uso dei propri dati personali.

Negli ultimi due anni le organizzazioni hanno dedicato molto tempo e impegno a migliorare i processi di protezione dei dati e ad adottare nuove misure per conformarsi a questa normativa fondamentale.

Questo impegno per la protezione dei dati non è stato vano, dato che molte delle misure adottate rimarranno valide e non cambieranno il modo in cui le aziende con sede nel Regno Unito trattano i dati degli interessati all’interno di questo Paese.

Comunque, ora che il Regno Unito è uscito ufficialmente dall’UE, le organizzazioni dovranno valutare quali modifiche sia necessario apportare per garantire il rispetto della normativa vigente in materia di protezione dei dati.

Per rispondere a qualsiasi domanda tu possa avere, abbiamo preparato una breve guida che illustra cosa potrebbero comportare questi cambiamenti per la tua attività.

Brexit e GDPR - Tutto quello che devi sapere

Il GDPR continuerà ad applicarsi nel Regno Unito?

Il^1° gennaio 2021, il GDPR dell’UE ha cessato di applicarsi nel Regno Unito, poiché si tratta di un regolamento dell’UE. Tuttavia, se la tua azienda opera nel Regno Unito, dovrai comunque rispettare la normativa britannica sulla protezione dei dati. Il governo britannico ha recepito il GDPR nella legislazione del Regno Unito sotto il nome di UK GDPR.

In pratica, questo significa che è cambiato ben poco. Sono state apportate alcune modifiche per tenere conto dello status del Regno Unito al di fuori dell’UE, ma in sostanza i principi fondamentali in materia di protezione dei dati, i diritti e gli obblighi previsti dal GDPR rimangono gli stessi e sono stati sanciti nel GDPR del Regno Unito.

Il GDPR si applica comunque se la tua azienda opera nello Spazio economico europeo (SEE)?

Sì. Se la tua azienda opera in Europa, offre beni o servizi a persone fisiche in Europa oppure monitora il comportamento di persone fisiche in Europa, allora il GDPR dell’UE continuerà ad applicarsi. Se la tua organizzazione svolge attività di trattamento sia nell’UE che nel Regno Unito, dovrai rispettare sia il GDPR del Regno Unito che il GDPR dell’UE.

In che modo la Brexit influisce sui trasferimenti internazionali di dati?

Nell’ambito del nuovo accordo commerciale, l’UE ha accettato di posticipare le restrizioni sui trasferimenti per un periodo limitato fino a quattro mesi, prorogabile a sei. Questo meccanismo transitorio permetterà ai dati personali di circolare liberamente dallo Spazio economico europeo (SEE) al Regno Unito fino a quando non verrà presa una decisione di adeguatezza.

Dato che il Regno Unito è ormai uscito dall’UE, ai sensi del GDPR viene considerato un “paese terzo” rispetto all’Europa. I paesi terzi sono quegli Stati che non rientrano nell’ambito di applicazione del GDPR dell’UE. I trasferimenti di dati dall’UE verso paesi terzi sono soggetti a restrizioni, a meno che la Commissione Europea non conceda uno status chiamato “adeguatezza”.

La Commissione Europea riconosce l’adeguatezza ai paesi che ritiene abbiano un livello adeguato di protezione dei dati. Tra gli altri paesi a cui l’UE ha riconosciuto lo status di adeguatezza ci sono l’Argentina, la Nuova Zelanda, Israele e il Giappone. Se al Regno Unito verrà riconosciuto lo status di adeguatezza, la libera circolazione dei dati personali continuerà senza nuove restrizioni.

L’UE sarà adeguata per i trasferimenti di dati dal Regno Unito?

Sì. Il governo del Regno Unito ha confermato che, in via transitoria, riconoscerà l’UE come adeguata per consentire il flusso di dati dal Regno Unito senza bisogno di ulteriori meccanismi di trasferimento.

La tua azienda avrà bisogno di un rappresentante in Europa?

Se la tua azienda offre beni o servizi a persone fisiche nel SEE o se monitori il comportamento di persone fisiche nel SEE, potresti dover nominare un rappresentante nell’UE. Allo stesso modo, se la tua azienda non ha sede nel Regno Unito ma tratta i dati personali di cittadini britannici, potresti dover nominare un rappresentante nel Regno Unito ai sensi del GDPR britannico.

Quale sarà il ruolo dell’ICO?

L’ICO rimarrà l’organismo di controllo indipendente che disciplina la legislazione britannica in materia di protezione dei dati. Tuttavia, non sarà più un’autorità di controllo dell’UE, quindi se tratti i dati di cittadini dell’UE, dovrai nominare un rappresentante nell’UE. L’ICO ha chiaramente affermato che, se tratti i dati dei cittadini dell’UE, dovrai comunque rispettare il GDPR.

Chi avviserai in caso di violazione dei dati?

In caso di violazione dei dati, un’azienda con sede nel Regno Unito contatterebbe l’ICO. Dopo la Brexit, l’ICO indagherà solo sugli incidenti relativi alla protezione dei dati che coinvolgono cittadini del Regno Unito. Se la violazione riguarda persone di diverse nazionalità, l’ICO avvierà un’indagine e collaborerà con le autorità di controllo di ciascuno dei territori interessati. Se sono coinvolti soggetti della CEE, dovrai contattare direttamente le autorità di controllo dell’UE competenti.

Ci saranno ripercussioni su altre normative in materia di protezione dei dati?

DPA

La legge britannica sulla protezione dei dati del 2018 (DPA 2018) continuerà ad applicarsi, integrando il GDPR britannico.

PECR

Il Regolamento sulla privacy e le comunicazioni elettroniche del 2003 (PECR) stabilisce le norme relative al marketing, ai cookie e alle comunicazioni elettroniche. Si tratta di un regolamento specifico del Regno Unito derivato da una normativa UE nota come direttiva e-privacy (ci sono progetti in corso per sostituire la direttiva e-privacy con il regolamento e-privacy). Il PECR rimarrà quindi in vigore e non è influenzato dall’uscita del Regno Unito dall’UE.

NIS

Anche la direttiva sulla sicurezza delle reti e dei sistemi informativi (NIS) deriva dal diritto dell’UE, ma è recepita nella legislazione del Regno Unito. Di conseguenza, le norme attuali continueranno ad applicarsi. Tuttavia, se sei un fornitore di servizi digitali con sede nel Regno Unito che offre servizi nell’UE, potresti dover nominare un rappresentante in uno degli Stati membri dell’UE in cui fornisci i tuoi servizi.

eIDAS

Anche il regolamento sui servizi di identificazione, autenticazione e fiducia elettronici (e IDAS ) è una normativa UE, ma non è più in vigore nel Regno Unito. Tuttavia, il governo britannico ha dichiarato che incorporerà le norme eIDAS nella legislazione del Regno Unito, quindi se sei un fornitore di servizi di fiducia nel Regno Unito, dovrai comunque rispettare queste norme. Inoltre, se fornisci servizi nell’UE, dovrai rispettare le norme eIDAS anche negli Stati membri dell’UE.

FOIA

Il Freedom of Information Act del 2000 fa parte della legislazione del Regno Unito e continuerà ad essere applicato.

EIR

Le norme sull’informazione ambientale sono previste dalla legislazione del Regno Unito e continueranno quindi ad applicarsi a meno che non vengano abrogate o modificate.

Quali misure dovrebbero adottare le aziende dopo la Brexit?

Le aziende dovranno effettuare un’analisi approfondita della protezione dei dati per capire se è necessario apportare delle modifiche. Se la tua azienda ha sede nel Regno Unito e offre beni e servizi prevalentemente a clienti britannici, non dovrai fare quasi nulla. Tuttavia, se fornisci beni e servizi sia all’UE che al Regno Unito, potrebbe essere necessario apportare alcune modifiche. Per garantire la conformità alla normativa vigente in materia di protezione dei dati, la tua organizzazione dovrebbe:

1. Mappa i flussi di dati per garantire che la tua azienda sia conforme sia al GDPR del Regno Unito che al GDPR dell’UE.
2. Aggiorna i registri dei trattamenti per soddisfare i requisiti del GDPR dell’UE e del GDPR del Regno Unito.
3. Valuta se esiste un’autorità di vigilanza dell’UE che ora possa essere considerata un’autorità di vigilanza capofila (LSA).
4. Aggiorna i piani di risposta alle violazioni della sicurezza in modo da consentire l’eventuale notifica all’ICO e all’LSA dell’UE in caso di violazione.
5. Valuta se la tua azienda debba nominare un rappresentante nel Regno Unito e/o nell’UE.
6. Aggiorna le informative sulla privacy per assicurarti che descrivano in dettaglio i flussi di dati e rispettino i requisiti previsti da entrambe le normative.
7. Modifica i contratti e i modelli esistenti per includere i riferimenti appropriati sia al GDPR del Regno Unito che al GDPR dell’UE.
8. Valuta se sarà necessario aggiornare le valutazioni d’impatto sulla protezione dei dati e le valutazioni relative al legittimo interesse per conformarti al GDPR del Regno Unito.
9. Assicurati che siano in atto le misure di protezione adeguate per i flussi transfrontalieri di dati.
10. Valuta se devi nominare un responsabile della protezione dei dati separato per il Regno Unito e per l’UE.