RGPD del Reino Unido y Ley de Protección de Datos (DPA) de 2018

El Reino Unido cuenta con su propio marco de protección de datos que regula cómo las organizaciones recopilan, utilizan y gestionan los datos personales. Este marco se basa en dos piezas clave de legislación: el Reglamento General de Protección de Datos del Reino Unido (UK GDPR) y la Ley de Protección de Datos (DPA) de 2018.

El RGPD del Reino Unido entró en vigor después del Brexit, reemplazando al RGPD de la UE dentro del Reino Unido. Si bien refleja la regulación de la UE en muchas áreas, la versión del Reino Unido le da al gobierno flexibilidad para introducir cambios adaptados a las prioridades nacionales. 

La DPA 2018 funciona junto con el RGPD del Reino Unido como la ley nacional de protección de datos del país. Cubre áreas específicas que no aborda el RGPD del Reino Unido, como la aplicación de la ley, la seguridad pública y las exenciones por seguridad nacional.

El RGPD del Reino Unido y la DPA de 2018 crean un sistema integral para proteger la información personal en distintas situaciones, y cumplir con ambos es obligatorio para las organizaciones que manejan datos personales en el Reino Unido.

¿Qué es el RGPD del Reino Unido?

El UK GDPR es la ley principal que rige cómo se procesan los datos personales en el Reino Unido. Aplica a cualquier organización, ya sea con sede en el Reino Unido o en el extranjero, que recopile, almacene o procese información personal de residentes del Reino Unido. Esto incluye tanto sistemas digitales como registros manuales.

Vigente desde el 1 de enero de 2021, tras la salida del Reino Unido de la UE, el UK GDPR se estableció mediante las Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019. Mantiene las ideas fundamentales del GDPR de la UE, que se convirtió en ley en toda Europa en 2018, con enfoque en un manejo de datos lícito, justo y transparente.

El RGPD del Reino Unido protege los derechos individuales al establecer reglas claras para el uso responsable de los datos, desde la información de clientes hasta los registros de empleados. Aunque está alineado con el RGPD de la UE, permite cambios futuros para adaptarse a las necesidades del Reino Unido, por lo que las organizaciones deben estar atentas a las actualizaciones para mantenerse en cumplimiento.

Esta ley promueve la confianza al exigir que las organizaciones manejen la información personal con cuidado, equilibrando la rendición de cuentas con el uso práctico de los datos. 

¿Qué es la Ley de Protección de Datos (DPA) de 2018?

La DPA 2018 respalda el RGPD del Reino Unido (UK GDPR) para conformar un marco completo de protección de datos en el país. Añade reglas específicas adaptadas a las necesidades legales y de política del Reino Unido, abarcando áreas donde el UK GDPR por sí solo no es suficiente.

La DPA 2018 aborda situaciones únicas, como:

• Tratamiento de datos para la aplicación de la ley: Establece reglas separadas sobre cómo las agencias policiales y de justicia penal pueden manejar los datos personales. Esto equilibra los derechos de privacidad con la seguridad pública. 
• Control de inmigración: Introduce exenciones específicas relacionadas con asuntos de inmigración.
• Seguridad nacional: Permite ciertas exenciones cuando el procesamiento de datos está relacionado con servicios de seguridad o de inteligencia.

Además, la DPA de 2018 define las funciones y facultades de la Oficina del Comisionado de Información (ICO), el organismo independiente del Reino Unido encargado de la protección de datos, responsable de hacer cumplir las leyes de protección de datos, investigar incumplimientos y brindar orientación a las organizaciones. 

La DPA 2018 también aclara las reglas para el procesamiento de datos sensibles, como la información de menores, y establece bases legales para el uso de datos en casos específicos. Junto con el RGPD del Reino Unido, forma un sistema claro que las organizaciones deben seguir para operar legalmente. 

RGPD del Reino Unido vs DPA 2018: ¿Cuál es la diferencia?

El RGPD del Reino Unido y la DPA de 2018 se superponen en algunas áreas. Sin embargo, cada ley cumple una función diferente dentro del marco más amplio de protección de datos.

El RGPD del Reino Unido establece los principales principios, derechos y obligaciones para el tratamiento de datos personales. Refleja la estructura del RGPD original de la UE, con énfasis en un uso de los datos que sea justo, lícito y transparente. Protege los derechos de las personas y promueve la responsabilidad de las organizaciones. 

La DPA 2018 complementa el RGPD del Reino Unido al añadir disposiciones específicas para el entorno legal y de políticas del Reino Unido. Aclara cómo se aplica el RGPD del Reino Unido en ciertos contextos e introduce reglas adicionales cuando es necesario. 

‍Diferencias clave

Las principales diferencias entre el UK GDPR y la DPA 2018 son las siguientes: 

• Procesamiento de datos de seguridad pública y justicia penal: La DPA de 2018 contiene una sección dedicada que abarca el tratamiento de datos personales con fines de seguridad pública. Estas normas buscan equilibrar la seguridad pública con las protecciones de la privacidad. 
• Exenciones por seguridad nacional: La DPA 2018 incluye exenciones específicas para el tratamiento de datos personales relacionados con la seguridad nacional, los servicios de inteligencia y actividades relacionadas.
• Manejo de datos de categoría especial: Ambas leyes imponen requisitos estrictos para el tratamiento de datos sensibles, como información de salud, origen racial o étnico y opiniones políticas. Sin embargo, la DPA 2018 ofrece más detalles sobre cómo se aplican estas normas en el Reino Unido. 
• Códigos de práctica del ICO: La DPA 2018 otorga a la ICO la autoridad para emitir códigos de práctica y guías que ayuden a las organizaciones a aplicar la ley en la práctica.

‍

Las organizaciones deben cumplir ambas leyes en conjunto, ya que cumplir solo una dejaría vacíos, con el riesgo de sanciones y pérdida de confianza. 

¿Quiénes deben cumplir con el RGPD del Reino Unido y la DPA 2018?

El RGPD del Reino Unido y la DPA 2018 se aplican a una amplia variedad de organizaciones que procesan datos personales. Estas leyes están diseñadas para proteger los derechos de privacidad de las personas y establecen reglas claras sobre cómo se recopila, almacena y utiliza la información personal. 

Las dos leyes se aplican a: 

• Organizaciones con sede en el Reino Unido: Cualquier organización establecida en el Reino Unido que procese datos personales debe cumplir. Esto aplica a empresas, autoridades públicas, organizaciones benéficas y otras organizaciones, sin importar su tamaño o sector.a
• Organizaciones fuera del Reino Unido: Las normas también se aplican a las organizaciones con sede fuera del Reino Unido si ofrecen bienes o servicios a personas en el Reino Unido (aunque sean gratuitos) o si monitorean el comportamiento de personas en el Reino Unido. 

Los tipos de datos que están cubiertos son:

• Procesamiento automatizado de datos (p. ej., bases de datos de clientes y sistemas CRM). 
• Corchetes de datos estructurados (p. ej., archivos u hojas de cálculo organizados). 
• Algunos datos no estructurados, en particular si están en manos de autoridades públicas. 

En resumen, tanto las organizaciones del sector privado como del sector público, sin importar dónde se encuentren, pueden estar sujetas a estas leyes si procesan datos personales de residentes del Reino Unido.

¿Qué se considera datos personales según el RGPD del Reino Unido y la DPA?

El RGPD del Reino Unido y la DPA 2018 definen los datos personales como cualquier información que se relaciona con una persona identificable. Esto incluye información que puede identificar a alguien directamente, como su nombre, o indirectamente cuando se combina con otros datos.

Algunos ejemplos de datos personales incluyen: 

• Nombre y datos de contacto. 
• Números de identificación (p. ej., número de Seguro Nacional o número de pasaporte).
• Datos de ubicación e identificadores en línea (p. ej., direcciones IP).
• Datos biométricos y genéticos utilizados para identificar a las personas. 

Si la información puede usarse para identificar a una persona, por sí sola o junto con otros datos, se considera datos personales según la ley del Reino Unido. 

Ciertos tipos de datos personales se consideran más sensibles y requieren protecciones adicionales. Estos se conocen como datos de categorías especiales e incluyen:

• Origen racial o étnico.
• Creencias religiosas o filosóficas. 
• Opiniones políticas.
• Afiliación sindical.
• Información de salud. 
• Datos genéticos y biométricos utilizados para la identificación. 
• Detalles sobre la vida sexual o la orientación sexual de una persona. 

‍

Las organizaciones deben contar con una base legal más sólida para procesar datos de categorías especiales, y a menudo se aplican salvaguardas adicionales.

También es importante señalar qué constituye realmente el “tratamiento” según el RGPD del Reino Unido y la DPA 2018. En esencia, se refiere a cualquier operación realizada sobre datos personales, como:

• Recopilación
• Almacenamiento
• Organización
• Uso
• Compartir
• Eliminar o destruir

Las leyes se aplican tanto al tratamiento automatizado (como los registros digitales) como a los sistemas de archivo manual cuando los datos personales están organizados de manera estructurada.  

¿Cuáles son los 7 principios de protección de datos?

El RGPD del Reino Unido establece siete principios fundamentales que guían cómo las organizaciones manejan los datos personales. Estos principios constituyen la base del sistema de protección de datos del Reino Unido y se aplican a todo el procesamiento de datos. 

Los 7 principios de la protección de datos

1. Legalidad, equidad y transparencia

Los datos deben procesarse de manera legal y justa, proporcionando a las personas información clara sobre su uso, como a través de avisos de privacidad.

2. Limitación de finalidad

Los datos solo deben recopilarse con fines específicos y claros, y no deben usarse para nada incompatible con esos fines, a menos que la persona lo acepte.

3.  Minimización de datos 

Minimización de datos es recopilar únicamente los datos personales que las organizaciones realmente necesitan para sus fines declarados. Por ejemplo, pedir el nombre y la dirección de un cliente para entregar un producto sin solicitar detalles innecesarios. 

4. Precisión 

Se deben tomar medidas razonables para mantener los datos personales precisos y actualizados. Esto incluye, por ejemplo, proporcionar formas para que las personas corrijan información de contacto inexacta.

5. Limitación del almacenamiento 

Los datos personales no deben conservarse por más tiempo del necesario para los fines para los que fueron recopilados. Por ejemplo, las organizaciones deben eliminar los registros de clientes antiguos que ya no se requieren por motivos comerciales o legales.

6. Integridad y confidencialidad (seguridad)

Deben implementarse medidas de seguridad adecuadas para proteger los datos personales contra el acceso no autorizado, la pérdida o el daño. Esto incluye usar cifrado para proteger la información sensible almacenada en los sistemas de la empresa.  

7. Rendición de cuentas 

Las organizaciones deben demostrar cumplimiento manteniendo registros de las actividades de datos y capacitando al personal.

Estos siete principios se aplican a todas las organizaciones que procesan datos personales y constituyen la base para construir un enfoque de protección de datos legal y transparente. 

Derechos de los titulares de datos según el RGPD del Reino Unido y la DPA de 2018

El UK GDPR y la DPA 2018 otorgan a las personas derechos claros sobre sus datos personales y más control sobre cómo se recopila, usa y comparte la información.

Las organizaciones deben comprender y respetar estos derechos. También necesitan responder a las solicitudes de las personas dentro de los plazos establecidos. 

Estos son los derechos clave de los titulares de datos que organizaciones e individuos deben conocer: 

‍

• Derecho a ser informado: Las personas tienen derecho a saber que sus datos personales están siendo utilizados. Las organizaciones deben proporcionar información clara, a menudo mediante avisos de privacidad. 
• Derecho de acceso: Las personas pueden solicitar acceso a los datos personales que una organización tiene sobre ellas. A esto a menudo se le llama Solicitud de Acceso del Interesado (SAR, por sus siglas en inglés). La organización debe proporcionar la información, por lo general dentro de un mes. 
• Derecho de rectificación: Si los datos personales son incorrectos o están incompletos, las personas pueden solicitar que se corrijan.
• Derecho de supresión (derecho al olvido): En ciertas situaciones, las personas pueden solicitar que se eliminen sus datos personales. Este derecho aplica, por ejemplo, cuando los datos ya no son necesarios para su propósito original o cuando se ha retirado el consentimiento. 
• Derecho a restringir el tratamiento: Las personas pueden solicitar que sus datos solo se almacenen y no se utilicen para otros fines en circunstancias específicas, como cuando se disputa la exactitud de los datos. 
• Derecho a la portabilidad de datos: Las personas pueden solicitar recibir sus datos personales en un formato estructurado, de uso común y legible por máquina. También pueden solicitar que los datos se transfieran a otra organización.
• Derecho de oposición: Las personas pueden oponerse al uso de sus datos personales para ciertos fines, incluido el marketing directo. 
• Derechos relacionados con la toma de decisiones automatizada y la elaboración de perfiles: Las personas cuentan con protecciones cuando las decisiones se toman únicamente mediante procesos automatizados, especialmente si la decisión tiene efectos significativos (p. ej., elegibilidad para crédito o empleo). 

La DPA de 2018 introduce excepciones a algunos derechos en situaciones específicas, que incluyen:

• Datos procesados con fines de aplicación de la ley
• Datos procesados para control migratorio
• Procesamiento relacionado con la seguridad nacional

En estos casos, ciertos derechos pueden limitarse para equilibrar la privacidad individual con el interés público o los requisitos de seguridad. 

Obligaciones empresariales clave bajo el RGPD del Reino Unido y la DPA de 2018

Las organizaciones, entidades públicas, organizaciones benéficas y otros grupos y empresas que manejan datos personales en el Reino Unido deben cumplir con responsabilidades específicas conforme al RGPD del Reino Unido y la DPA 2018.

Establecer una base legal para el procesamiento

Las organizaciones deben tener un motivo válido para recopilar y usar datos personales. Las bases legales según el RGPD del Reino Unido incluyen:

• Consentimiento de la persona
• Cumplimiento de un contrato
• Proteger intereses vitales (p. ej., salvar la vida de alguien)
• Cumplimiento de una obligación legal
• Realizar una tarea en interés público
• Intereses legítimos perseguidos por la organización o por un tercero (a menos que prevalezcan los derechos individuales)

Implementar medidas de seguridad de datos

Se deben tomar medidas técnicas y organizativas adecuadas para proteger los datos personales. Esto incluye usar cifrado, controlar el acceso a los sistemas y proteger los datos contra pérdidas o uso no autorizado. 

Designa a un Oficial de Protección de Datos (DPO) si es necesario

Algunas organizaciones necesitan designar un DPO, especialmente si:

• Es una autoridad pública
• Realizar monitoreo a gran escala de individuos
• Procesa grandes volúmenes de datos de categorías especiales

Mantén registros de las actividades de procesamiento (ROPA) 

La mayoría de las organizaciones necesitan mantener registros internos de los datos personales que procesan, cómo se usan y la base legal para su procesamiento. Esto ayuda a demostrar responsabilidad.

Realiza evaluaciones de impacto en la protección de datos (DPIA) para el tratamiento de alto riesgo 

Si una organización realiza un tratamiento que probablemente implique un alto riesgo para los derechos de una persona, debe llevar a cabo una DPIA antes de iniciar la actividad. Por ejemplo, se requerirá una DPIA cuando una empresa realice un uso a gran escala de datos sensibles o lleve a cabo perfiles.

Responder a solicitudes de acceso del sujeto y derechos de datos

Las organizaciones deben responder a las solicitudes de las personas que ejercen sus derechos en virtud de la ley de protección de datos, como solicitudes de acceso o rectificación. En la mayoría de los casos, la respuesta debe proporcionarse en el plazo de un mes. 

Si una organización no cumple con estas responsabilidades, puede resultar en acciones de cumplimiento, daño reputacional y sanciones significativas. 

Cómo manejar las brechas de datos bajo el RGPD del Reino Unido

Una violación de datos personales puede ocurrir cuando la información se pierde, se accede a ella sin permiso, se altera o se destruye. Bajo el RGPD del Reino Unido, las organizaciones deben seguir pasos claros para responder a este tipo de incidentes.

En caso de una violación de datos, estos son los pasos que las organizaciones deben seguir:

• Notificar al ICO dentro de 72 horas: Si una violación crea un riesgo para los derechos o libertades de las personas, la organización debe reportarla al ICO dentro de 72 horas de haberla detectado.
• Informar a las personas afectadas: Si la violación probablemente resultará en un alto riesgo para las personas, la organización también debe informar a los afectados sin demora innecesaria. 
• Documenta la violación: Incluso si una violación no necesita reportarse, las organizaciones deben mantener registros internos de lo que sucedió, cómo se gestionó y cualquier acción correctiva tomada.
• Comprender los roles y responsabilidades: Tanto los controladores de datos como los procesadores tienen responsabilidades durante una brecha. Los procesadores deben notificar al controlador sin demora, y los controladores son responsables de evaluar el impacto y decidir los siguientes pasos.

‍

La preparación ante violaciones de datos debe ser una parte fundamental de la preparación para el cumplimiento de cualquier organización. Esto significa contar con procedimientos claros, planes de respuesta y capacitación del personal para gestionar los incidentes de manera eficaz y reducir el posible daño. 

Transferencias internacionales de datos según la ley del Reino Unido

El RGPD del Reino Unido impone restricciones a la transferencia de datos personales a países fuera del Reino Unido. Estas reglas existen para asegurarse de que la información de las personas siga protegida cuando sale del marco legal del Reino Unido.

Las organizaciones deben implementar las salvaguardas adecuadas, a menos que el destino esté aprobado como adecuado por el gobierno del Reino Unido. 

Estos son los mecanismos legales para transferencias internacionales: 

• Decisiones de adecuación: El gobierno del Reino Unido puede decidir que un país, territorio u organización internacional ofrece un nivel de protección de datos comparable a las normas del Reino Unido. Las transferencias a estos lugares están permitidas sin medidas adicionales. 
• Cláusulas Contractuales Estándar (SCC): Las SCC son acuerdos legales aprobados por el gobierno del Reino Unido. Establecen obligaciones contractuales para proteger los datos personales al transferirlos a países sin una decisión de adecuación.
• Acuerdos Internacionales de Transferencia de Datos (IDTA): Los IDTA están diseñados para las organizaciones del Reino Unido que transfieren datos a nivel internacional. Ofrecen una alternativa a las SCC, proporcionando un conjunto estándar de términos para proteger los datos personales.
• Normas Corporativas Vinculantes (BCR): Las BCR permiten a las organizaciones multinacionales transferir datos dentro de su grupo de empresas. Sin embargo, solo pueden hacerlo si cuentan con políticas aprobadas y exigibles que cumplan los requisitos del RGPD del Reino Unido.

En algunos casos excepcionales, las organizaciones pueden transferir datos personales sin estos mecanismos. Por ejemplo: 

• Se obtiene el consentimiento explícito de la persona después de informarle sobre los posibles riesgos. 
• La transferencia es necesaria para la ejecución de un contrato. 
• Hay razones importantes de interés público. 

‍

Las transferencias internacionales conllevan riesgos legales y reputacionales. Por ello, las organizaciones deben evaluar cuidadosamente las circunstancias y utilizar las salvaguardas adecuadas.

Aplicación y sanciones

El ICO es responsable de hacer cumplir el RGPD del Reino Unido y la DPA 2018. El ICO tiene la autoridad para investigar a las organizaciones, emitir orientación y tomar medidas cuando se infringe la ley. Sus facultades específicas incluyen:

• Investigar quejas o presunto incumplimiento. 
• Realizar auditorías e inspecciones. 
• Emitir advertencias o reprimendas.
• Imponer multas por incumplimientos de la ley de protección de datos.

La ICO puede imponer multas significativas según la gravedad de la infracción: 

• Hasta £8.7 millones o el 2% de la facturación anual global (lo que sea mayor) por infracciones menos graves.
• Hasta £17.5 millones o el 4% de la facturación anual global (lo que sea mayor) por infracciones más graves. Esto incluye cosas como el procesamiento ilegal o no respetar los derechos de las personas.

Las organizaciones a menudo enfrentan sanciones por:

• Recopilar o usar datos personales sin el consentimiento adecuado. 
• No implementar medidas de seguridad adecuadas para proteger los datos. 
• Ignorar las solicitudes de acceso de los titulares de datos (DSAR) o no responder dentro del plazo requerido. 

Los organismos reguladores esperan que las organizaciones tomen en serio la protección de datos. No cumplir con las obligaciones legales puede resultar en sanciones económicas, daño a la reputación y acciones legales. 

Cómo crear un programa de protección de datos conforme

Crear un programa eficaz de protección de datos ayuda a las organizaciones a cumplir sus responsabilidades según el RGPD del Reino Unido y la DPA de 2018.

Estos son los pasos clave para apoyar el cumplimiento: 

• Crea una política de privacidad clara y concisa: Tu política de privacidad debe explicar qué datos personales recopilas, cómo los utilizas, tu base legal para el procesamiento y cómo las personas pueden ejercer sus derechos.
• Capacita al personal sobre responsabilidades y manejo de datos: Todos los involucrados en el manejo de datos personales deben entender su función. Esto incluye cómo identificar y reportar posibles riesgos o brechas.
• Implemente procesos de gestión de proveedores: Las organizaciones deben evaluar y gestionar los riesgos asociados con los proveedores externos que procesan datos personales. Esto incluye contar con contratos claros y cláusulas de protección de datos.
• Realiza evaluaciones de riesgo de datos: Una evaluación de riesgo de datos regular ayuda a las organizaciones a identificar vulnerabilidades, evaluar la probabilidad de incidentes y aplicar controles adecuados para proteger los datos personales.a0
• Mantén registros y trazas de auditoría: Mantener registros precisos de las actividades de procesamiento de datos demuestra responsabilidad. Esto incluye documentar las bases legales para el procesamiento, los flujos de datos y las medidas de seguridad. 
• Monitorea las actualizaciones de la guía del RGPD del Reino Unido y la DPA 2018: La ley de protección de datos evoluciona con el tiempo. Las organizaciones deben revisar periódicamente las actualizaciones del ICO y evaluar los procesos internos para reflejar los cambios en los requisitos legales. 

Al adoptar estas prácticas, las organizaciones pueden cumplir con las normas legales, proteger los datos personales y generar confianza entre sus usuarios, clientes y consumidores.