¿Se puede externalizar un DPO?
13/01/2021El pasado 1 de febrero de 2020 el Reino Unido abandonó la Unión Europea, arrancando un periodo transitorio durante el cual se seguían aplicando las mismas condiciones normativas en la relación entre Europa y el Reino Unido. Asimismo, en el periodo transitorio se esperaba la elaboración de pactos, acuerdos o tratados, que permitieran a todas las partes interesadas acometer la salida de forma ordenada y estructurada.
En el caso que nos aplica en este artículo, la normativa relativa a privacidad y protección de datos, no se ha llegado a ningún acuerdo más allá del inicialmente establecido, esto es, el Reino Unido pasa a ser de facto un tercer país y por tanto cualquier intercambio de datos con ellos es considerada una transferencia internacional de datos.
¿En qué situación nos encontramos ahora? Finalizado el periodo de transición el 31 de diciembre de 2020, el Reglamento (UE) 2016/679 del Parlamento y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante Reglamento General de Protección de Datos o RGPD), deja de aplicarse al Reino Unido desde el 1 de enero de 2021. Dado que no han elaborado un nuevo marco normativo o framework que les aplique exclusivamente a ellos, tal como PIPEDA en Canadá o la Ley General de Protección de Datos en México, por ejemplo, el Reino Unido continúa aplicando el RGPD en su totalidad, ahora llamado UK GDPR.
Una vez nos hemos situado en el contexto normativo, ¿podemos seguir intercambiando datos con empresas y organizaciones del Reino Unido, en las mismas condiciones que ahora? La respuesta corta es no y las opciones en estos momentos son varias, a tenor de la regulación que hace el Reglamento General de Protección de Datos para las transferencias internacionales de datos, en su Capítulo V. Recordemos que las transferencias internacionales pueden ser realizadas cuando se hayan asegurado y comprobado un nivel de protección de las personas físicas, en el país destino, de la siguiente forma:
- Cuando las transferencias se basen en una decisión de adecuación, dictada por la Comisión Europea. Ejemplos de países que han sido objeto de esta decisión de adecuación son Andorra, Nueva Zelanda, Uruguay o el caso más reciente, Japón.
- Si el país objeto de la transferencia no ha sido objeto de una decisión de adecuación, se podrán transferir los datos si se cumplen las siguientes garantías:
- Cuando exista un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos.
- Cuando existan normas corporativas vinculantes.
- Utilizar las cláusulas tipo de protección de datos que la Comisión Europea pone a disposición de las empresas y organizaciones. Dichas cláusulas tipo también podrán ser adoptadas por una autoridad de control como la Agencia Española de Protección de Datos, pero deberá ser aprobado por la Comisión.
- Cuando existan códigos de conducta, que incluyan compromisos vinculantes y exigibles el responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de los interesados.
- Por último, si existen mecanismos de certificación, en la linea anteriormente comentada.
- Si no existe una decisión de adecuación o garantías, se podrán transferir los datos si se cumplen otros requisitos que se detallan en el artículo 49 del RGPD.
Resumidos los requisitos para las transferencias internacionales de datos, debemos señalar que actualmente el Reino Unido se halla inmerso en un proceso iniciado por la Comisión Europea, para ser objeto de una decisión de adecuación (artículo 45 RGPD), lo que permitiría el intercambio de datos sin autorización previa. Mientras dicha decisión no cristalice, tanto el Information Commissioner’s Office (la autoridad de control del Reino Unido) como la Comisión Europea, recomiendan lo siguiente:
- Acudir a las Cláusulas contractuales estándar (artículo 46 RGPD) que deberán ser acordadas entre el responsable y el encargado del tratamiento.
- Como segunda opción, si las empresas u organizaciones se encuentran bajo normas corporativas vinculantes (BCR), podrá solicitarse al ICO su adopción para poder transferir sin problemas los datos. Para ello, el ICO aprobará las normas corporativas vinculantes si:
- La entidad establecida en el Reino Unido notifica al ICO que tiene normas corporativas vinculantes aprobadas por la UE y solicita su adopción.
- Proveen el nombre del Delegado de Protección de Datos y sus datos de contacto.
- Entregan cualquier información relevante para el proceso de adopción de las normas.
- Por último, como tercera opción en su caso, acudir al sistema de excepciones que se detalla en el artículo 49 del RGPD.
Así pues, nos encontramos en un momento de transición, añadido al ya mencionado periodo del año 2020. Mientras el Reino Unido no sea incluido en una decisión de adecuación por parte de la Comisión Europea, recomendamos analizar los flujos de datos hacia y desde el Reino Unido para, posteriormente, redactar las cláusulas contractuales estándar con las empresas u organizaciones necesarias. Obviamente la elaboración y aprobación de normas corporativas vinculantes se antoja un proceso complicado y largo, cuyo final muy probablemente será posterior al momento de la decisión de adecuación.
Y no olvidemos cumplir con el principio de transparencia e informar a los afectados, a través de cláusulas de información y consentimiento modificadas a tal efecto, bien realizando novaciones de contratos con nuestros clientes.
