Comisión Europea inicia proceso para que los datos personales sigan circulando entre UE y Reino Unido

Después de meses de incertidumbre y especulaciones por el Brexit, la Comisión Europea ha iniciado por fin un proceso que, de culminar con éxito, permitiría que los datos personales de la Unión Europea se enviasen libremente a Reino Unido, lo que ahorraría a las empresas de ambas zonas millones de euros (y libras) y muchas horas cumplimentando papeleo para poder conseguirlo.

La Comisión Europea asegura que las leyes británicas proporcionan un nivel de protección de datos comparable al de la RGPD, y si finalmente se toma la decisión de permitir el flujo de datos, los datos protegidos por la RGPD se podrán enviar y procesar en Reino Unido, que tras el abandono de la UE cesó de tener los datos de sus ciudadanos protegidos por la RGPD, lo que implicaba que las normas relacionadas con la importación de información personal sobre los ciudadanos de la UE tenían que revisarse, como se empieza a hacer desde ahora.

El volumen de datos intercambiado entre ambas regiones es ingente, y si no se llega a un acuerdo, las empresas de ambos mercados tendrán que poner en marcha mecanismos alternativos, muy complejos, para cumplir con la RGPD en el flujo de información digital. Según algunas estimaciones, el coste total de la implementación de estos contratos podría superar los 2.000 millones de dólares, y como sucede en estos casos, las empresas pequeñas serían las más afectadas. De ahí el interés, sobre todo por parte de Reino Unido, en llegar a un acuerdo que facilite el proceso y evite este desembolso económico a las empresas.

Para tener más oportunidades para que el país consiga llegar a un acuerdo, las normas de la RGPD se revisaron para adaptarlas a las leyes domésticas, lo que dio como resultado la DPA (Ley de protección de datos), a la que se suele denominar la RGPD del Reino Unido. Pero a pesar de estos pasos, la Unión Europea no consiguió llegar a un acuerdo en materia de circulación de datos personales antes del periodo de transición del Brexit. En vez de eso, puso en marcha un periodo provisional de seis meses, durante los cuales se acordó que los datos personales siguiesen fluyendo entre la UE y Reino Unido, mientras los países miembros de la Unión Europea valoraban si el Reino Unido debe ser o no reconocido como adecuado en materia de flujo de datos o no.

El borrador de medidas propuestas para llegar a un acuerdo recoge las provisiones clave de la RGPD contra las leyes de Reino Unido, y concluye que la ley de protección de datos de Reino Unido proporciona salvaguardas similares a las de la RGPD, derechos individuales, sistemas de supervisión y otras normas relacionadas con la protección de datos parecidas a las leyes de la UE.

Eso sí, aunque la UE decida que Reino Unido cumple las normas para el flujo de datos personales de los ciudadanos de países de la UE, las normas que salgan de él solo serían válidas durante un periodo de tiempo concreto. En principio, este periodo será de cuatro años, y una vez cumplido el plazo se podría revisar y renovar la idoneidad de Reino Unido para seguir con el flujo de datos personales de la Unión Europea.

También si hay cambios problemáticos en las leyes de protección de datos del Reino Unido, se puede retirar la consideración de idoneidad para el paso de datos de la UE al país. En cualquier caso, durante estos cuatro años, las leyes británicas de protección de datos serán vigiladas de cerca por la Comisión Europea. La CE ya ha asegurado que vigilará los desarrollos legales en el país de manera continua, y que las autoridades británicas deberían mantener a la UE informadas de cualquier cambio en las leyes.

Reino Unido, de conseguir la idoneidad para el flujo de datos personales de los ciudadanos de la Unión Europea, se uniría así a la lista de países que la UE considera adecuados para mantener este flujo de información. Entre ellos Argentina, Canada, Israel, Japón, Nueva Zelanda, Suiza y Uruguay.