El Comité Europeo de Protección de Datos (CEPD), organismo de la Unión Europea del que forma parte la Agencia Española de Protección de Datos, ha aprobado unas orientaciones dirigidas a empresas y entidades públicas que realicen transferencias de datos personales a Reino Unido en caso de producirse un Brexit sin acuerdo. Actualmente, el flujo de datos entre países del Espacio Económico Europeo (EEE) y Reino Unido puede realizarse sin garantías adicionales.

En el caso de un Brexit sin acuerdo, Reino Unido se convertiría en un país tercero desde el 30 de marzo de 2019. La normativa establece que si los datos se envían a países que no pertenecen al EEE habría una transferencia internacional de datos, para cuya realización es necesario que el responsable del tratamiento proporcione las garantías jurídicas adecuadas.

El objetivo de este documento es ayudar a las organizaciones que envíen datos personales a Reino Unido a decidir con antelación qué instrumento jurídico pueden adoptar para seguir realizándolas.

En este escenario, el documento recuerda que la transferencia de datos personales a Reino Unido sólo podrá realizarse amparándose en alguno de estos instrumentos: cláusulas de protección de datos estándar o ad hoc, normas corporativas vinculantes, códigos de conducta y mecanismos de certificación, e instrumentos de transferencia específicos a disposición de las autoridades públicas. A falta de cláusulas estándar de protección de datos u otras garantías alternativas apropiadas, pueden utilizarse excepciones en determinadas condiciones, recogidas en el artículo 49 del Reglamento General de Protección de Datos.

La nota informativa del CEPD ha identificado cinco puntos básicos que tienen que plantearse las organizaciones que envíen datos personales a Reino Unido:

1. Identificar qué actividades de tratamiento implicarán la transferencia de datos personales al Reino Unido.
2. Determinar el instrumento de transferencia de datos adecuado para su situación.
3. Aplicar el instrumento elegido para que esté listo para el día 30 de marzo de 2019.
4. Indicar en la documentación interna qué transferencias se realizarán al Reino Unido.
5. Actualizar el aviso de privacidad para informar a los particulares.

Flujo de datos del Reino Unido al EEE

En lo que respecta a las transferencias de datos desde Reino Unido al EEE, según el Gobierno británico, la práctica actual, que permite que los datos personales fluyan libremente, continuará en el caso de un Brexit sin acuerdo.