El período de transición para la retirada del Reino Unido de la Unión Europea finalizó el 31 de diciembre de 2020. En materia de protección de datos “a priori” esto significa que, a desde el pasado 1 de enero de 2021, el Reino Unido ya no aplicará el Reglamento Europeo de Protección de Datos (RGPD) al tratamiento de datos personales y por tanto todas las transferencias de datos personales al Reino Unido desde cualquier país de la Unión Europea constituirán una transferencia internacional de datos personales sujetas a las disposiciones del Capítulo V del RGPD.
Conscientes de esta incertidumbre, el acuerdo que regula las condiciones de salida del Reino Unido de la Unión Europea, contempla un período de transición de hasta 6 meses desde su entrada en vigor para la transmisión de datos personales desde la Unión Europea (UE), al Reino Unido aplicándose también respecto a las transferencias de datos a Islandia, Liechtenstein y Noruega durante el cual la Comisión Europea considera que el nivel de protección del Reino Unido es adecuado pero sólo de manera transitoria y siempre que mantenga su actual régimen de protección de datos.
En la práctica, esto se traduce a que, por el momento, las empresas pueden seguir transfiriendo datos personales entre la UE y el Reino Unido sin la necesidad de implementar medidas o salvaguardas adicionales a la espera de que en este tiempo se adopte una decisión de adecuación por parte de la Comisión Europea aplicable al Reino Unido o en su ausencia acudiendo a algunos de los instrumentos en los que se puede confiar para transferir datos personales a un tercer país de conformidad con el artículo 46.2 RGPD:
- Cláusulas contractuales estándar o ad hoc.
- Proyecto de Códigos de conducta de conformidad con el artículo 40 RGPD distintos de los previstos en el artículo 46.2 e).
- Nuevos mecanismos de certificación de acuerdo con el artículo 42.5 RGPD distintos de los previstos en el artículo 46.2 f).
- Normas corporativas vinculantes de acuerdo con el artículo 47 RGPD.
A falta de los instrumentos anteriores, se podrá recurrir al uso de las excepciones previstas en el propio RGPD (artículo 49), si bien se recuerda que dichas excepciones tiene una “naturaleza excepcional” y deben ser interpretadas de manera restrictiva.
¿Qué debemos hacer a partir de ahora?
Los encargados y responsables del tratamiento también deberán cumplir con otras obligaciones derivadas del RGPD, en particular sobre la necesidad de actualizar los registros de actividades de tratamiento y los avisos de privacidad para mencionar las transferencias de datos personales al Reino Unido.
Para las transferencias de datos del Reino Unido al EEE, el Comité Europeo de Protección de datos sugiere consultar regularmente el sitio web del gobierno del Reino Unido y el Sitio web de ICO para obtener información actualizada. https://ico.org.uk/.
