Ya han pasado varios meses desde que el 1 de febrero de 2020 el Reino Unido abandonara la Unión Europea, finalizando el periodo de transición el pasado 31 de diciembre de 2020. En relación a las políticas de protección de datos y privacidad, no se ha llegado a ningún acuerdo más allá del inicialmente establecido.
Por ello, hemos querido realizar este artículo explicando cómo transferir datos a Reino Unido tras el Brexit.
Contexto RGPD en UK
El Reglamento (UE) 2016/679 del Parlamento y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), deja de aplicarse al Reino Unido desde el 1 de enero de 2021. Esto quiere decir que, el Reino Unido pasa a ser de facto un tercer país y por tanto cualquier intercambio de datos con ellos es considerada una transferencia internacional de datos.
A pesar de todo, el Reino Unido no ha elaborado por el momento un nuevo marca normativo exclusivo para ellos. Continuarán aplicando el RGPD en su versión UK GDPR. Puedes ampliar información al respecto en este otro artículo donde hablábamos sobre Brexit y RGPD: cómo afecta la salida del país británico de la UE.
¿Podemos seguir intercambiando datos con empresas y organizaciones del Reino Unido, en las mismas condiciones?
Como comentábamos, el Reino Unido ha pasado a considerarse un tercer país en cuanto a las transferencias de datos se refiere. Por lo que, será necesario proceder de la misma forma que con las transferencias internacionales a terceros países no pertenecientes ni a la UE ni al EEE.
Se permitirán las transferencias de datos personales desde la UE o el EEE a Reino Unido siempre y cuando se implementen cláusulas tipo específicas de protección de datos ad hoc, aprobadas por la Comisión Europea.
Las empresas y organizaciones multinacionales deberán incluir normas corporativas vinculantes que garanticen el nivel de protección adecuado en todas las sociedades del grupo, independientemente del país de tratamiento.
Si se exportan bienes protegidos por la Propiedad Intelectual, hay que comprobar la nueva normativa sobre exportaciones paralelas. Es posible que necesite obtener el permiso del propietario de los derechos.
Las empresas deberán identificar, de forma diferenciada, qué actividades de tratamiento suponen una transferencia de datos a Reino Unido. También tendrán que categorizar la actividad de tratamiento concreta:
- Identificar el instrumento, así como los canales y vías de transmisión y flujo de datos.
- Identificar las medidas tomadas en toda la documentación interna (políticas, procedimientos, contratos, etc.). Habrá que prestar especial atención para actualizar las políticas de privacidad para garantizar el principio de información de los titulares de los datos y de otros interesados.
En resumen, se podrán transferir los datos si se cumplen las siguientes garantías:
- Cuando exista un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos.
- Cuando existan normas corporativas vinculantes.
- Utilizar las cláusulas tipo de protección de datos que la Comisión Europea pone a disposición de las empresas y organizaciones.
- Cuando existan códigos de conducta, que incluyan compromisos vinculantes y exigibles el responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de los interesados.
- Existen mecanismos de certificación, en la línea anteriormente comentada.
En relación a todo lo comentado, todas las empresas de la Unión Europea deberán valorar, con la ayuda de profesionales cualificados, la adaptación de estas medidas para poder realizar las transferencias de datos a Reino Unido correctamente. En AKELA somos expertos en materia de protección de datos y empresas. Solicítanos información sin compromiso a continuación sobre cómo cumplir correctamente con las transferencias de datos de tu empresa a Reino Unido.
