Escrito por Forrester Research,
El día del Brexit se acerca rápidamente, pero no hay certeza de si la salida del Reino Unido de la UE irá acompañada o no de un acuerdo de retirada, o no. La protección de datos es solo una de las muchas áreas que se verán afectadas por el Brexit. Y en un escenario sin acuerdo, el impacto de la salida del Reino Unido de la UE se vuelve aún más dramático.
Hay varias preguntas que los clientes hacen sobre el régimen de protección de datos aplicable después del día Brexit, y las respuestas específicas dependen del tamaño de las empresas, la ubicación de sus sucursales y oficinas, el volumen de transferencias internacionales de datos y dónde se encuentran sus clientes.
Sigue leyendo si quieres saber más sobre las tres preguntas más comunes que hacen tus compañeros sobre el Brexit.
- Si el Reino Unido abandona la UE sin un acuerdo, ¿pueden las empresas del Reino Unido dejar de preocuparse por el RGPD? Técnicamente, cuando el Reino Unido salga de la UE, el Reglamento General de Protección de Datos (RGPD) de la UE dejará de ser ley en el Reino Unido. Sin embargo, con acuerdo o sin él, el gobierno del Reino Unido ya ha hecho planes para adoptar el «RGPD del Reino Unido». Como sugiere el nombre, este conjunto de reglas estará estrechamente alineado con el RGPD de la UE existente y acompañará a la Ley de Protección de Datos de 2018 del Reino Unido. La combinación de estos dos proyectos de ley podría tener efectos más estrictos en el régimen general de protección de datos que lo que las empresas en la experiencia del Reino Unido hoy. Además, las empresas con sede en el Reino Unido y que tienen clientes en la UE o que supervisan su comportamiento también deberán cumplir con el RGPD de la UE. También hay áreas en las que es posible que no haya nuevas reglas netas, pero las empresas del Reino Unido aún necesitarán hacer ajustes, lo que resultará en medidas adicionales para el cumplimiento. Estas son, por ejemplo, medidas sobre transferencias internacionales de datos, responsabilidad, nuevos requisitos de supervisión regulatoria, el establecimiento de un representante de la UE, etc. En resumen, el RGPD dejará de aplicarse al Reino Unido, pero lo que estamos viendo es un panorama regulatorio. eso está a punto de volverse considerablemente más complejo para las empresas del Reino Unido.
- Si el Reino Unido abandona la UE, el Reino Unido se convierte en un «tercero» en lo que respecta a la protección de datos. ¿Qué significa esto? Sí, el día en que el Reino Unido abandone la UE, el Reino Unido se convierte en un tercero para la protección de datos y se aplicará una serie de restricciones a la transferencia internacional de datos que implique el flujo de datos personales desde y hacia el Reino Unido. Este tema es, de hecho, uno de los más impactados por el Brexit. Las empresas deben considerar una variedad de escenarios posibles según la dirección y las modalidades de sus flujos de datos. Por ejemplo, la transferencia de datos personales del Reino Unido a los países de la UE no se verá afectada en gran medida. Para las transferencias de datos desde el Reino Unido a países fuera de la UE, las empresas del Reino Unido deben consultar las normas contenidas tanto en el próximo RGPD del Reino Unido como en las decisiones de adecuación que se adoptarán próximamente. Sin embargo, uno de los problemas más complicados es la transferencia de datos personales de la UE al Reino Unido que es indirecta, por ejemplo, aquellos que involucran a un tercero, como un proveedor de nube. En general, el día del Brexit, las empresas deben detener estas transferencias a menos que existan ciertas salvaguardas o exenciones. Por ejemplo, la transferencia podría basarse en la protección de las cláusulas contractuales estándar de la Comisión Europea o estar sujeta a una exención cuando la transferencia sea necesaria para ejecutar un contrato. Las normas corporativas vinculantes también representan una opción. Sin embargo, las empresas también pueden decidir que almacenar o procesar datos personales de la UE en el Reino Unido no es una estrategia viable, especialmente en el caso de que falte una decisión de la UE que reconozca al Reino Unido como «adecuado» para la protección de datos. Estas empresas podrían decidir invertir en la creación de centros de datos en la UE o trabajar con proveedores que ofrezcan esa opción. También podrían considerar medidas técnicas para asegurar esas transferencias: la anonimización de los datos antes de que se envíen al Reino Unido podría ser una forma de hacerlo.
- ¿Qué deben hacer las empresas hoy? Lo mejor que se puede hacer hoy es asegurarse de que las empresas cumplan con las normas de protección de datos existentes, es decir, el RGPD y la Ley de Protección de Datos del Reino Unido de 2018. Si bien el panorama regulatorio será sin duda más complejo, se mantendrá en gran medida consistente con el existente. . Sin embargo, nuestros datos sugieren que solo la mitad de las organizaciones del Reino Unido cumplen con el RGPD. Por lo tanto, recomendaría encarecidamente a las empresas que aceleren la ejecución de sus estrategias de cumplimiento. Con Brexit en mente, las empresas deben comprender los flujos de datos internacionales de datos personales. Las transferencias clave para identificar serán de la UE al Reino Unido. Deben priorizar la remediación de transferencias que involucran grandes volúmenes de datos, transferencias de datos de categoría especial o datos de condenas e infracciones penales, y transferencias críticas para el negocio. Es fundamental invertir en las medidas adecuadas para garantizar que estas transferencias sean lícitas. También deben considerar las políticas de privacidad existentes, las evaluaciones de impacto de la protección de datos, los derechos de los interesados y las medidas para demostrar la responsabilidad como áreas que requerirán ajustes adicionales.
Esta publicación fue escrita por el analista sénior Enza Iannopollo y apareció originalmente aquí.
