Más seguridad para las empresas con respecto a la protección de datos: La Comisión Europea ha revisado las cláusulas contractuales tipo y ha emitido una decisión de adecuación para el Reino Unido mediante la cual declara que la protección de datos del Reino Unido equivale a la de la UE.
En julio de 2020, el Tribunal de Justicia de la Unión Europea declaró inválido el escudo de privacidad entre la UE y EE.UU. en su sentencia «Schrems II», pero dictaminó que las cláusulas contractuales tipo (SCCs, por sus siglas en inglés), que son otro mecanismo para transferir los datos fuera del EEE, siguen siendo válidas. No obstante, éstas deben ir acompañadas de medidas adicionales (p.ej. la encriptación), si no se aplican en el país que recibe los datos. Dichas cláusulas continúan siendo el mecanismo de transferencia de datos más importante.
Actualización de las cláusulas contractuales tipo
El 4 de junio de 2021, la Comisión Europea publicó dos nuevos conjuntos de cláusulas contractuales tipo. Éstas están diseñadas para ayudar a las empresas a clarificar algunas de las cuestiones delicadas que plantea la sentencia «Schrems II».
Uno de los conjuntos de las nuevas cláusulas contractuales tipo cubre la transferencia de datos entre los responsables del control y procesamiento dentro del EEE, creando una especie de acuerdo estándar de tratamiento de datos. El uso de este conjunto de cláusulas contractuales tipo no es obligatorio.
El otro conjunto regula todos los tipos posibles de transferencia de datos personales a un país tercero. Tiene en cuenta los requisitos del Reglamento General de Protección de Datos (RGPD) y la sentencia «Schrems II» del Tribunal de Justicia de la Unión Europea y garantiza un alto nivel de protección de datos, afirmó la Comisión. Estas cláusulas contractuales tipo pretenden proporcionar a las empresas una plantilla de fácil implementación para garantizar el cumplimiento de la normativa de protección de datos.
Las nuevas cláusulas contractuales tipo para la transferencia de datos fuera del EEE siguen un enfoque modular. Cubren la transferencia de datos entre dos controladores, controlador-procesador, procesador-procesador y procesador-controlador eligiendo los módulos aplicables.
Un flujo de datos libre incluso después del Brexit
El Brexit, que fue completado a finales de año, creó incertidumbre con respecto a la transferencia de datos. Esto se debió a que el Reino Unidos se convirtió en un país tercero para la UE y la transferencia de datos requería ser reorganizada.
Con su última decisión, la Comisión Europea ha proporcionado más claridad a las empresas. En su decisión de adecuación del 28 de junio de 2021, la Comisión de la UE declaró: El nivel de protección de datos aplicable en el Reino Unido es equivalente al del Reglamento RGPD de la UE. Por tanto, incluso después del Brexit, los datos personales pueden fluir sin obstáculos desde la Unión Europea hasta el Reino Unido. No obstante, existe una cláusula de suspensión que pone fin a la decisión a los cuatro años con el fin de reevaluar la legislación británica en materia de privacidad de datos.
Un nuevo Anexo 21 de la Ley de Protección de Datos del Reino Unido de 2018, (UK Data Protection Act 2018), regula lo siguiente: La transferencia de datos personales desde allí al EEE, Suiza y Gibraltar se rige por las normas de adecuación del Reino Unido. Por lo tanto, no se requieren más salvaguardias o exenciones para dichas transferencias.
¿Qué significa para su empresa la reciente decisión de la UE sobre la adecuación de la protección de datos en el Reino Unido? ¿Qué puede significar para sus clientes comunitarios y extracomunitarios? Encuentre todas las respuestas en la guía International Transfers - where are we now? del bufete de abogados del Reino Unido, Clayden Law.