Los recientes cambios en el marco de las transferencias internacionales de datos están generando dudas a numerosas organizaciones sobre las cláusulas contractuales tipo (las “Cláusulas”) que deben utilizar cuando pretenden realizar transferencias internacionales de datos personales desde Reino Unido a terceros países.
La situación es todavía un poco complicada, ya que la Autoridad de Protección de Datos en Reino Unido, la ICO, aún no ha publicado unas Cláusulas específicas para el Reino Unido. En este momento hay que diferenciar dos posibles escenarios:
- Para las transferencias desde el Reino Unido a terceros, las empresas deben seguir utilizando por ahora la versión británica de las antiguas Cláusulas. Estas serán sustituidas por un nuevo Acuerdo de Transferencia Internacional de Datos del Reino Unido (previsto para finales de este año).
- Para las transferencias desde la Unión Europea (“UE”) a terceros países, deben utilizarse las nuevas Cláusulas de la UE. Y los contratos existentes deben actualizarse para reflejar las nuevas Cláusulas de la UE antes de diciembre de 2022.
Aunque el uso de las nuevas Cláusulas de la UE no sería válido en el Reino Unido actualmente, hace unos meses la ICO publicó, sujeto a consulta, un apéndice que se utilizará con las nuevas Cláusulas de la UE para que puedan ser utilizadas en el Reino Unido, así como en la UE (el “Addendum”). En cuanto a los acuerdos de transferencia de datos de las empresas, éstas podrían utilizar el Addendum para añadir el Reino Unido las nuevas Cláusulas de la UE una vez que sean válidas.
Dada la situación, algunas organizaciones están intentando adelantar parte de este trabajo utilizando las nuevas Cláusulas de la UE e incorporando la versión preliminar del Addendum del Reino Unido, junto con una disposición para que las partes se comprometan a sustituir el proyecto de Addendum por el nuevo en cuanto se publique la versión final. Aunque este enfoque no garantizaría un absoluto cumplimiento (ya que se basa en una versión borrador del Addendum), podría ser una opción aceptable de forma temporal para aquellas organizaciones que no valoren adjuntar dos conjuntos diferentes de Cláusulas a los contratos por las complicaciones que esto conlleva.
Por último, en cuanto a las obligaciones adicionales de las nuevas Cláusulas de la UE que las empresas británicas deben conocer, las nuevas Cláusulas son muy similares a las antiguas. La principal diferencia a nivel operativo es que requieren información/detalles adicionales sobre la transferencia en los apéndices y las organizaciones pueden tener que verificar esto con sus registros de actividades del tratamiento. El formato de las nuevas Cláusulas de la UE es bastante diferente, ya que se dividen en cuatro módulos en función de la relación de intercambio de datos: de responsable a responsable, de responsable a encargado, de encargado a encargado y de encargado a subencargado (mientras que las antiguas solamente contemplaban transferencias de responsable a responsable y de responsable a encargado).
