El Reglamento General de Protección de Datos (UE 2016/679) entró en vigor el 25 de mayo de 2018 añadiendo nuevos elementos y mejoras significativas al régimen de protección de datos existente.
La Ley de Protección de Datos (DPA) de 2018, que entró en vigor el 23 de mayo de 2018, implementó el RGPD, aunque también agregó disposiciones para que la legislación del Reino Unido extendiera el RGPD a áreas como los servicios de seguridad y los organismos gubernamentales, que no estaban cubiertos únicamente por el RGPD.
Después del Brexit (una vez finalizado el período de transición del Brexit a partir del 1 de enero de 2021), el RGPD del Reino Unido es la versión conservada del Reglamento de la UE en virtud de la sección 3 de la Acción de la Unión Europea (Retirada) de 2018 y en su versión modificada por el Reglamento de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Enmienda, etc.) (Salida de la UE) de 2020.
El RGPD del Reino Unido protege los derechos de los ciudadanos del Reino Unido en relación con sus datos, mientras que el RGPD de la UE protege los derechos de los ciudadanos de la UE. Para las organizaciones que gestionan datos de ciudadanos tanto del Reino Unido como de la UE, se aplican ambos RGPD.
Los principios y requisitos del RGPD de la UE siguen aplicándose en el Reino Unido con su versión posterior al Brexit y aquí analizamos las principales áreas de alcance y algunas definiciones.
Controladores y procesadores
El RGPD se aplica tanto a los responsables como a los encargados del tratamiento de datos. Los responsables establecen cómo y por qué se tratan los datos personales. El encargado actúa en nombre del responsable para tratar los datos. Su organización puede ser un encargado del tratamiento de datos, un responsable del tratamiento de datos o ambos.
Existen obligaciones legales específicas tanto para los responsables como para los encargados del tratamiento:
- Los responsables del tratamiento deben garantizar específicamente que los contratos con los encargados del tratamiento cumplan con el RGPD; y
- Los controladores y procesadores tienen requisitos separados, pero explícitos, para mantener registros de datos personales y actividades de procesamiento.
- Los procesadores también son legalmente responsables de cualquier violación de seguridad.
Consulte nuestra hoja informativa relacionada 'Seguridad de datos – Reglamento general de protección de datos – Garantizar el cumplimiento' para obtener información más detallada sobre los requisitos de documentación.
Principios de protección de datos
Los datos personales serán:
- tratados de forma legal, justa y transparente
- recopilados para fines específicos, explícitos y legítimos
- adecuada, pertinente y limitada a lo necesario para el propósito
- Precisos y actualizados. Los datos inexactos deben eliminarse o corregirse.
- Conservados en un formato identificable durante no más tiempo del necesario
- procesados de forma segura y protegidos contra procesamiento no autorizado o ilegal, pérdida accidental, destrucción o daño.
Derechos del RGPD para las personas
El derecho a estar informado
Las personas tienen derecho a saber cómo se tratarán sus datos personales. El RGPD promueve la transparencia en el tratamiento mediante un aviso de privacidad que incluye, entre otros datos, información sobre el responsable del tratamiento, el origen de los datos, los destinatarios, las transferencias de datos realizadas fuera de la UE y el periodo de conservación de los datos.
El derecho de acceso (solicitud de acceso del interesado)
Las personas tienen derecho a obtener confirmación de que sus datos están siendo tratados, acceso a sus datos personales y otra información, como la proporcionada en un aviso de privacidad.
El plazo máximo permitido para tramitar una solicitud de acceso a la información es de 30 días y se ha eliminado el derecho a cobrar una tarifa de acceso a la información, a menos que la solicitud sea infundada, excesiva o repetitiva.
El derecho de rectificación
Las personas tienen derecho a que se rectifiquen sus datos personales inexactos o incompletos. Esto también incluye los datos personales que se compartan o cedan a terceros.
El derecho al borrado
Las personas tienen derecho a solicitar la supresión o eliminación de sus datos personales cuando no exista un motivo imperioso para continuar tratándolos. Esto también incluye los datos personales que se compartan o se cedan a terceros.
Es importante tener en cuenta que existen requisitos adicionales cuando la solicitud se refiere a un niño.
Existen algunas excepciones al derecho de supresión, como cuando los datos se conservan para cumplir con una obligación legal.
El derecho a restringir el procesamiento
Las personas tienen derecho a restringir el tratamiento de sus datos personales. En estas circunstancias, los datos personales pueden conservarse, pero no procesarse.
El derecho a la portabilidad de datos
Las personas tienen derecho a obtener y reutilizar sus datos personales en diferentes servicios. Esto les permite mover, copiar o transferir datos personales. Los datos personales deben proporcionarse en un formato estructurado legible por máquina (como .csv).
El derecho a objetar
Las personas tienen derecho a oponerse al tratamiento de sus datos personales. El tratamiento deberá cesar de inmediato, salvo que existan motivos legítimos imperiosos para el mismo o si el tratamiento se realiza para la formulación, el ejercicio o la defensa de reclamaciones.
Derechos en relación con la toma de decisiones automatizada y la elaboración de perfiles
Las personas tienen derecho a garantizar que existan salvaguardias que las protejan contra el riesgo de que se tomen decisiones perjudiciales sin intervención humana. Esto también se extiende a la protección de los datos personales utilizados para la elaboración de perfiles.
Rendición de cuentas y gobernanza
El principio de rendición de cuentas exige que se implementen medidas de gobernanza adecuadas para documentar el cumplimiento. Por lo tanto, las organizaciones deben:
- Implementar medidas que cumplan con los principios de protección de datos
- Documentar políticas y procedimientos en relación con el almacenamiento y procesamiento de datos personales
- Implementar medidas técnicas y organizativas para garantizar y demostrar el cumplimiento.
- designar un delegado de protección de datos cuando sea necesario.
Consulte nuestra hoja informativa relacionada 'Seguridad de datos: garantizar el cumplimiento de la protección de datos' para obtener información más detallada.
Licitud del tratamiento
Es importante comprender y documentar la base legal de su tratamiento. Existen seis:
- Consentir
- Obligación contractual
- Obligación legal
- Intereses vitales
- Interés público
- Intereses legítimos.
En cuanto al consentimiento, este debe ser específico, inequívoco y otorgado libremente. No se puede presuponer un consentimiento positivo por inacción, como no marcar la casilla de "darse de baja" en línea o usar casillas premarcadas. Las empresas deben asegurarse de registrar la fecha, la hora, el método y la redacción utilizada para obtener el consentimiento, por lo que es importante asegurarse de que su empresa cuente con los medios para registrar y documentar dicha información.
Guía de consentimiento de la ICO
El interés legítimo le otorgará la capacidad de procesar los datos de las personas, pero solo dentro de los límites que estas esperarían. Si se basa en intereses legítimos, asumirá la responsabilidad de garantizar que:
- existe una base para utilizar el interés legítimo
- El tratamiento de los datos se limita a ese interés y puede demostrarse
- Los derechos del individuo se han considerado en un proceso de equilibrio
- El individuo es informado de los intereses legítimos en sus políticas de privacidad.
Guía sobre los intereses legítimos de la ICO
Notificación de infracciones
Una violación de datos personales es la destrucción, pérdida, alteración, divulgación o acceso no autorizado accidental o ilícito a datos personales.
El regulador británico, la ICO, cuenta con una herramienta de autoevaluación en línea que ayuda a determinar la gravedad de la infracción y si es necesario denunciarla. Algunas infracciones deben notificarse a la autoridad supervisora pertinente en un plazo de 72 horas. Es fundamental realizar la evaluación en cuanto se detecte la infracción.
Guía de la ICO para la evaluación de violaciones de datos personales
Transferencia de datos
El 28 de junio de 2021, la Comisión Europea adoptó una decisión de adecuación para el Reino Unido, lo que significa que la mayoría de los datos pueden seguir fluyendo entre el Reino Unido y el EEE de la UE sin necesidad de salvaguardias adicionales. (La excepción son los datos destinados al control de la inmigración).
Al transferir datos a un tercer país, podrían aplicarse salvaguardias adicionales, como cláusulas contractuales tipo o normas corporativas vinculantes. El primer enlace a continuación es del organismo regulador del Reino Unido, la ICO. El segundo es de la Comisión Europea.
Guía del acuerdo de transferencia de datos de la ICO
Normas de la UE para transferencias fuera del bloque
Fuentes y enlaces
Página de inicio de la ICO para organizaciones
Portal del RGPD de la UE: www.gdpreu.org
