Protección de datos después del Brexit: ¿qué pasa ahora?

La protección de datos tras el Brexit es un tema complejo y en constante evolución, lo que no es una buena noticia para las empresas británicas. Es probable que las pymes sean las más afectadas, al igual que las empresas más grandes.

El principal problema radica en que la protección de datos no se aborda con mucho detalle en el Acuerdo Comercial, a pesar de que incluye un mecanismo de «puente temporal» para la libre circulación de datos personales desde la UE/EEE al Reino Unido. Sabemos que el gobierno del Reino Unido está elaborando su estrategia y ha señalado que los datos deben tratarse como una oportunidad y no como una amenaza, lo cual se acerca más al enfoque estadounidense que al de la UE. Con el tiempo, es probable que el modelo de protección de datos del Reino Unido cambie y se aleje del de la UE. Actualmente se aplican varios regímenes:

• Régimen GDPR del Reino Unido: esta es la nueva versión personalizada del GDPR del Reino Unido basada en el GDPR de la UE.
• Régimen RGPD de la UE: este es el RGPD original que se aplica a los 27 estados miembros de la Unión Europea y también a Noruega, Islandia y Liechtenstein.
• Brecha de adecuación o régimen GDPR heredado: esto no se aplicará si el Reino Unido recibe una decisión de adecuación final de la UE.

  • La Comisión Europea ha elaborado un proyecto de decisión que establece que el RGPD del Reino Unido y la Ley de Protección de Datos de 2018 garantizan un nivel de protección para los datos personales transferidos desde la UE/EEE esencialmente equivalente al garantizado por el RGPD de la UE. La decisión requiere nueva aprobación, y las políticas y los riesgos podrían retrasar su ratificación.

Envío de datos al extranjero:

• Las normas corporativas vinculantes (NCV) siguen siendo el estándar de oro
  • Las BCR están diseñadas para permitir que las empresas multinacionales transfieran datos personales desde el EEE a las empresas de su grupo ubicadas fuera del EEE (incluido el Reino Unido desde el 31 de diciembre de 2020).
• Las cláusulas contractuales estándar (SCC) son términos modelo aprobados que garantizan que se cumplan los estándares del RGPD (siempre que se respeten los términos de las SCC).

  • La ICO tiene previsto publicar nuevas CCC del Reino Unido en 2021. Ha elaborado una versión modificada de las CCC de la UE vigentes para que sean compatibles con el contexto del Reino Unido. En algún momento, las CCC de la UE podrían resultar inválidas para transferencias desde el Reino Unido.

  • Estas medidas se encuentran actualmente en fase de consulta y existe un período de transición de un año para su uso tras su aprobación. Es probable que sean válidas en los países donde se aplica el RGPD de la UE. Queda por ver si el Reino Unido las aprueba, pero en caso contrario no serán válidas para transferencias fuera del Reino Unido según el RGPD del Reino Unido.

• Otras excepciones a la regla (ver diapositivas y grabación a continuación).

¿Qué pasa con los Delegados de Protección de Datos (DPD)?

• Si actualmente está obligado a tener un DPO, dicho requisito se mantendrá, ya sea bajo el RGPD del Reino Unido o el RGPD de la UE. Puede seguir teniendo un DPO con cobertura en el Reino Unido y el EEE. El DPO puede seguir estando ubicado en el Reino Unido.
• Sin embargo, tanto el RGPD del Reino Unido como el de la UE requerirán que su DPO sea fácilmente accesible desde cada establecimiento en el EEE y el Reino Unido, y que tenga conocimiento especializado de ambos regímenes.

¿Qué deberías estar haciendo ahora?

• El primer paso más importante es comprender sus flujos de datos y las ubicaciones involucradas (debe distinguir el procesamiento en el Reino Unido del procesamiento en la UE. Priorice los flujos que contengan grandes volúmenes, datos de categorías especiales o datos sobre condenas y delitos penales, transferencias críticas para la empresa y aquellos que involucren áreas clave de mayor riesgo, como EE. UU.). MyDocSafe ha desarrollado una herramienta GDPR para registrar y mapear dichos flujos de datos, que funciona como plataforma de auditoría y gestión de la privacidad. Actualmente, solo está disponible para nuevos clientes empresariales; contáctenos para obtener más información.
• Una vez que comprenda los flujos de datos, deberá decidir si tomar medidas adicionales, como:
  • Recibir asesoramiento legal para actualizar sus BCR, SCC, Avisos de privacidad y Acuerdos de procesamiento de datos y cómo mantenerse al tanto de los cambios legales
  • ¿Nombrar representantes de la UE, el Reino Unido y los NEI?
  • Defina su autoridad supervisora principal adecuada
  • Asegúrese de que su DPO sea fácilmente accesible desde cualquier establecimiento del Reino Unido y del EEE y que tenga experiencia en todos los regímenes.

Nuestro veredicto

Creemos que el régimen legal actual no es favorable para las pymes del Reino Unido, que probablemente tendrán dificultades para cumplir o simplemente ignorarán el tema. Quienes operan en el Reino Unido probablemente crean que, por ello, no deberían preocuparse demasiado mientras mantengan los datos en el Reino Unido. Sin embargo, la mayoría ni siquiera sabe si es así. Hubo poco entusiasmo por investigar este tema cuando se introdujo el RGPD. Recopilamos evidencia anecdótica que sugiere que pocas personas han realizado el mapeo de datos y que muy pocas han utilizado las herramientas de software adecuadas para hacerlo. Esta es una de las razones por las que nuestra herramienta de Panel de Control del RGPD, diseñada específicamente para ese propósito y que ofrecimos gratuitamente en su momento, ya no estará disponible para los nuevos clientes de pymes.