El brexit también afectará a la protección de datos personales

A partir del 30 de marzo de 2019, a las 00:00h, Reino Unido pasará a ser considerado un “tercer país” para muchas cuestiones y, en particular, en materia de protección de datos y transferencias internacionales. A salvo quedarían, no obstante, los posibles acuerdos transitorios que pudieran llegar a regularse en el acuerdo de retirada. Así, lo ha comunicado la Dirección General de Justicia y Consumidores de la Unión Europea el pasado 9 de enero de 2018.

El Reino Unido notificó su intención de abandonar la Unión Europea y el 29 de marzo de 2017 activó la aplicación del artículo 50 del Tratado de la Unión Europea. Su consecuencia más inmediata: salvo que el acuerdo de retirada establezca lo contrario, la legislación comunitaria dejará de ser de aplicación en Reino Unido a partir del día 30 de marzo de 2019, a las 00:00h (“fecha de retirada”). Una vez llegada esta fecha, Reino Unido se convertirá, a todos los efectos, en un “tercer país”.

Lo anterior supone que las transferencias de datos personales desde la Unión Europa al Reino Unido pasarán a estar sometidas a mayores restricciones, lo que afectará tanto a prestadores de servicios (incluyendo servicios de hosting, por ejemplo), así como a compañías que transfieran datos personales de clientes o trabajadores a sus sociedades matrices o filiales localizadas en el Reino Unido.

De esta manera, salvo pacto específico en el acuerdo de retirada, a partir de la fecha de retirada, será de aplicación las normas en materia de transferencias de datos personales a terceros países. En estos casos, el Reglamento General de Protección de Datos 2016/679 (“RGPD”) establece que los responsables del tratamiento podrán llevar a cabo transferencias internacionales:

Cuando se disponga de una decisión de adecuación de la Comisión Europea;
Cuando el responsable ofrezca garantías adecuadas sobre la protección que recibirán los datos y los interesados cuenten con derechos exigibles y acciones legales efectivas (i.e.: normas corporativas vinculantes, cláusulas tipo adoptadas por la Comisión o por una autoridad de control, o cláusulas contractuales autorizadas por una autoridad de control); o
Cuando se cumplan alguna de las excepciones previstas para situaciones específicas que permiten transferir datos sin garantías adecuadas (i.e. consentimiento, necesidad de la transferencia para la ejecución de un contrato, razones de interés público, etc.).

Esta decisión se toma en consonancia con otras muchas decisiones que afectaran a las relaciones internacionales entre la Unión Europea y Reino Unido.

Seguiremos atentos al desarrollo de esta y del resto de cuestiones que se tratarán en el acuerdo final de retirada que regule lo que, sin duda, constituirán las bases de las futuras relaciones entre la Unión Europea y el Reino Unido.

Adaya Esteban y Jorge Monclús