Protección de datos después del Brexit: la Ley de Protección de Datos del Reino Unido de 2018

En 2016, el Reino Unido votó a favor de abandonar la Unión Europea (UE), comúnmente conocida como "Brexit". "Esta decisión tuvo varias implicaciones para las leyes de ciberseguridad, teniendo en cuenta que las leyes existentes de la UE ya no se aplicarían al Reino Unido después del Brexit.

La Ley de Protección de Datos del Reino Unido de 2018 (DPA 2018) se implementó para establecer regulaciones de ciberseguridad para el nuevo estado independiente. Comprendía normas relativas al uso de los datos, el manejo responsable de los datos y la protección de los derechos individuales sobre sus datos.

Descubra cómo UpGuard puede ayudar a su organización a proteger sus datos y supervisar su postura de ciberseguridad >

¿Qué es la Ley de Protección de Datos del Reino Unido de 2018?

La DPA 2018 es una ley del Reino Unido que regula cómo se recopilan, procesan y almacenan los datos personales en el Reino Unido. El Gobierno del Reino Unido lo aprobó para proporcionar regulaciones de ciberseguridad en el Reino Unido después del Brexit. Incorpora la mayor parte del Reglamento General de Protección de Datos (GDPR) de la UE, una ley de ciberseguridad de la UE que el Reino Unido siguió mientras formaba parte de la unión. El RGPD de la UE proporcionó un esquema general que el Reino Unido adaptó a sus necesidades específicas.

La DPA 2018 da importancia a los derechos de las personas y sus datos personales, al tiempo que establece directrices para las organizaciones sobre el manejo y la protección de los datos. Además, contiene disposiciones explícitamente adaptadas al Reino Unido, como las regulaciones para el procesamiento de datos relacionadas con la aplicación de la ley y la seguridad nacional.

En resumen, el DPA 2018 cumple tres propósitos principales para el Reino Unido:

Permite al Reino Unido adoptar formalmente el RGPD de la UE en su proceso legislativo nacional.
Otorga al Reino Unido la autoridad para modificar y eximir partes del GDPR de la UE que pueden o no aplicarse al Reino Unido
Amplía la normativa de protección de datos del Reino Unido a nuevas áreas no incluidas inicialmente en el RGPD de la UE

Principios de protección de datos

Una parte importante de la DPA 2018 son los principios de protección de datos utilizados en toda la legislación. Cada sección incluye estos principios de protección de datos y su aplicación a entidades específicas.

Legalidad, equidad y transparencia: El procesamiento de datos personales debe obtenerse de manera legal y legal en el mejor interés del interesado, y las partes deben comunicar qué, cómo y por qué procesa los datos a los interesados.
Limitación de la finalidad: El tratamiento de los datos personales solo debe utilizarse para el fin previsto inicialmente y nunca reutilizarse para otros fines.
Minimización de datos: Las personas u organizaciones no recopilarán más datos personales de los necesarios para sus servicios.
Exactitud: Los datos personales que se procesan deben ser correctos y estar actualizados, y se deben tomar medidas razonables para garantizarlo.
Limitaciones de almacenamiento: Los datos personales no deben almacenarse cuando ya no se utilizan para el propósito original, y se deben implementar procesos para destruir los datos de forma segura.
Integridad y Confidencialidad: Los datos personales deben ser correctos e inmanipulables, y el tratamiento solo debe ser realizado por personas con acceso a los datos.
Rendición de cuentas: Los controladores y procesadores de datos deben rendir cuentas y ser responsables de su procesamiento de datos, priorizando el cumplimiento de la DPA 2018.

Componentes clave

Hay siete secciones principales en el DPA 2018. No todas se aplican a todas las organizaciones, pero las empresas deben revisar y comprender cada sección para mantener el cumplimiento.

Parte 1: Descripción general de la DPA: La sección introductoria describe el propósito y el tema principal de la DPA 2018, que trata sobre la protección de los datos personales. Incluye definiciones de términos utilizados en la ley, incluida la definición de "datos personales", "procesamiento", "sujeto de datos" y varias otras entidades descritas a lo largo de la legislación.
Parte 2: Procesamiento general: Esta sección incluye dos propósitos principales. En primer lugar, complementa el RGPD de la UE añadiendo secciones que originalmente se dejaban abiertas para la interpretación e implementación de los Estados miembros de la UE. En segundo lugar, aplica los requisitos del RGPD de la UE a situaciones de tratamiento generales específicas. Esta sección contiene más definiciones y normativas sobre la protección de datos para el tratamiento de datos en virtud del RGPD de la UE y el tratamiento de datos que el RGPD de la UE no cubre.
Parte 3: Procesamiento de las fuerzas del orden: Esta sección de la DPA 2018 se aplica a cualquier procesamiento de datos en un entorno de aplicación de la ley, utilizando los seis principios de protección de datos descritos anteriormente. También incluye los derechos del interesado y las funciones y obligaciones de las fuerzas del orden, los responsables y encargados del tratamiento de datos.
Parte 4: Procesamiento de los servicios de inteligencia: La sección 4 se aplica específicamente a los servicios de inteligencia, incluidos el Servicio de Seguridad, el Servicio de Inteligencia Secreto y la sede de Comunicaciones del Gobierno. Una vez más, los seis principios para la protección de datos se describen explícitamente para el procesamiento de datos dentro de un entorno de servicios de inteligencia, junto con los derechos de los interesados. Exclusivas de esta sección son las exenciones de los principios de protección de datos, principalmente para situaciones destinadas a salvaguardar la seguridad nacional.
Parte 5: El Comisionado de Información: Esta sección de la DPA 2018 describe el papel del Comisionado de Información, la autoridad nacional de supervisión del Reino Unido para la regulación y supervisión de la ley de protección de datos, y se encarga de la aplicación y las investigaciones de incumplimiento.
Parte 6: Cumplimiento: Esta sección explica el proceso de aplicación del DPA 2018 a través de avisos de información, evaluación y cumplimiento. También proporciona pautas de sanciones, apelaciones, quejas y recursos judiciales.
Parte 7: Disposición complementaria y final: La sección final describe las regulaciones de la ley, los cambios en la convención de protección de datos y otras situaciones específicas relacionadas con el procesamiento de datos personales. Termina con las fechas en que el acto entra en vigor y el alcance del acto.

El impacto del Brexit en la ciberseguridad

El Brexit tuvo un impacto significativo en la ciberseguridad en toda la Unión Europea. Cuando el Reino Unido salió de la unión, se convirtió en un "tercer país", un nombre dado a todos los países fuera del Espacio Económico Europeo (EEE). Debido a esta salida, ya no estaban obligados a cumplir con las leyes de ciberseguridad existentes en la UE.

Reglamento General de Protección de Datos (RGPD) de la UE

Antes del Brexit, el Reino Unido operaba bajo el Reglamento General de Protección de Datos (RGPD). Aprobado en 2016, el GDPR se centra en la privacidad de los datos, la ciberseguridad y la gestión de infracciones. Todos los estados miembros de la UE estaban obligados a cumplir con el RGPD. El reglamento tiene como objetivo estandarizar la protección de datos, proteger los datos personales y la privacidad, y simplificar los procesos de regulación para las organizaciones internacionales.

Cuando el Reino Unido era miembro de la Unión Europea, el GDPR era directamente aplicable, lo que negaba la necesidad de una legislación específica sobre ciberseguridad del Reino Unido. Sin embargo, después de votar a favor de abandonar la UE y durante el período de transición del Brexit, el Reino Unido firmó varios acuerdos de retirada con la UE, incluido un requisito de ciberseguridad. El Acuerdo de Retirada de la UE especificaba que el Reino Unido garantizaba un nivel de protección de datos esencialmente equivalente al previsto en el Derecho de la Unión.

Reglamento General de Protección de Datos del Reino Unido (RGPD del Reino Unido)

Junto con el DPA 2018, se promulgó el Reglamento General de Protección de Datos del Reino Unido (RGPD del Reino Unido). El RGPD del Reino Unido y la DPA 2018 comprenden el panorama de la ciberseguridad del Reino Unido al final del período de transición.

Piense en el GDPR del Reino Unido como un marco amplio para la protección de datos en todo el Reino Unido. Se inspiró en el GDPR de la UE y proporcionó una ley nacional para las regulaciones de ciberseguridad para el Reino Unido después del Brexit. El DPA 2018 amplía ese marco con detalles y excepciones específicos del Reino Unido. Juntos, ambos son parte integral de la protección integral de datos en todo el Reino Unido.

¿Quién debe cumplir con la Ley de Protección de Datos del Reino Unido de 2018?

La DPA 2018 se aplica ampliamente en todos los sectores industriales del Reino Unido. La estipulación de referencia es si su organización maneja datos personales, incluida la obtención, el procesamiento, el almacenamiento o la eliminación de datos.

Esto incluye a los controladores y procesadores de datos, pero también a cualquier empresa o negocio del Reino Unido (público y privado) que utilice datos personales. Las personas que procesan datos personales, ya sea de forma independiente o en un rol específico dentro de una empresa, también deben cumplir con la DPA 2018.

Sanciones por incumplimiento

Hay una variedad de sanciones por incumplimiento de la DPA 2018, que van desde multas hasta delitos penales. Esto incluye situaciones en las que las personas han sufrido daños debido al incumplimiento, lo que ha dado lugar a órdenes de cumplimiento e indemnizaciones.

Las sanciones monetarias incluyen multas de nivel inferior de hasta 10 millones de libras esterlinas o multas de nivel superior de hasta 17,5 millones de libras esterlinas. La Oficina del Comisionado de Información (ICO), la principal autoridad de protección de datos en el Reino Unido, también tiene el poder de garantizar el cumplimiento y abordar el incumplimiento a través de varios avisos que les permiten realizar inspecciones, auditorías o solicitar información.

Los delitos penales descritos en la DPA 2018 incluyen

Obtención ilícita de datos personales
Reidentificación de datos anonimizados
Alterar los registros para evitar la divulgación
Destrucción o falsificación de datos
Declaraciones falsas en respuesta a Avisos Informativos
Prohibición de la obligación de presentar los registros pertinentes

Estas ofensas de alto nivel resultan en fuertes multas determinadas por los tribunales.

Cómo cumplir con el RGPD y el DPA 2018

El RGPD del Reino Unido exige que las organizaciones sigan principios como la legalidad, la transparencia, la minimización de datos, la precisión y la confidencialidad. Los interesados deben ser informados de sus derechos, incluidos el acceso, la rectificación, la supresión y la transferencia. Las medidas de seguridad deben proteger los datos personales y se deben realizar evaluaciones de impacto para el procesamiento de alto riesgo. Las violaciones de datos deben informarse a la ICO y a las personas afectadas dentro de las 72 horas.

Para cumplir con la DPA 2018, las organizaciones necesitan una razón válida para manejar datos personales: consentimiento, contratos, requisitos legales e intereses vitales, públicos o legítimos. La Ley tiene pautas específicas para la aplicación de la ley, la seguridad y los datos de inteligencia, por lo que esas entidades deben cumplir con sus requisitos. Además, las organizaciones deben respetar la edad digital del consentimiento (13 años en el Reino Unido), designar un DPO para las entidades públicas y contar con auditorías, formación y políticas para cumplir con la normativa.

El impacto de la Ley de Protección de Datos del Reino Unido de 2018

La DPA 2018 remodeló el panorama de la ciberseguridad en el Reino Unido, especialmente en torno a la protección de datos. Su impacto duradero hace hincapié en los derechos individuales, la responsabilidad de la organización y la alineación de la legislación con las leyes de ciberseguridad existentes.

Modernización de las leyes de protección de datos del Reino Unido

Antes de la DPA de 2018, el Reino Unido operaba bajo la Ley de Protección de Datos de 1998. Ha habido avances tecnológicos sustanciales desde entonces hasta ahora, y la DPA 2018 modifica y reemplaza esta ley anterior. La DPA 2018 actualizó la legislación, especialmente en lo que respecta a cómo se utilizan y procesan los datos personales.

La Comisión Europea incluso adoptó una decisión de adecuación del Reino Unido después del Brexit, considerando que las leyes de protección de datos del Reino Unido eran equivalentes a las de la UE y permitiendo el flujo de datos entre los dos. Esto elimina la necesidad de SCC (cláusulas contractuales estándar).

Derechos individuales mejorados

Las personas reciben derechos más sólidos en virtud de la DPA 2018. Esto amplía los derechos descritos en el RGPD de la UE, que cubre el acceso, la eliminación y la portabilidad. La DPA 2018 ha otorgado a los interesados un mayor poder y control sobre sus datos.

Sanciones más severas por infracciones

La DPA 2018 trajo consigo sanciones más estrictas por violar la ley de protección de datos, obligando a las empresas a cumplir constantemente con estas regulaciones actualizadas. El incumplimiento da lugar a fuertes multas, demandas y delitos penales, dependiendo de la gravedad de la infracción.

Procesamiento de datos para la aplicación de la ley

Las fuerzas del orden se vieron afectadas por la pasión de la DPA 2018, que proporcionó disposiciones sobre cómo procesar los datos personales. Se incluye un régimen transparente de protección de datos para cualquier tratamiento de datos relacionado con la prevención del delito, las investigaciones y la seguridad nacional.

Disposiciones relativas a categorías especiales de datos

Junto con los datos relacionados con la aplicación de la ley, la DPA 2018 también establece disposiciones más explícitas para categorías especiales de procesamiento de datos. Las organizaciones ahora requieren niveles de protección más altos para los datos personales (incluidos los datos de salud, genéticos y biométricos) y los datos de condenas penales en todos sus procedimientos de procesamiento.

Rendición de cuentas y gobernanza

El DPA 2018 hace hincapié explícitamente en la rendición de cuentas. Las organizaciones deben cumplir con las regulaciones, pero también demostrar su cumplimiento de manera consistente. La mayoría de las empresas implementaron evaluaciones de impacto de la protección de datos, contrataron a funcionarios de protección de datos (DPO) y mejoraron sus políticas internas de protección de datos y las reglas corporativas en torno a las actividades de procesamiento de datos.

Impacto en la percepción pública

Ya existía un discurso público sustancial sobre el Brexit y las implicaciones resultantes en la legislación existente y nueva en todo el Reino Unido. La aprobación de la DPA 2018 ayudó a proporcionar al público información sobre sus derechos de protección de datos, incluido lo que las organizaciones debían cumplir en caso de obtener y utilizar sus datos.

Preparación para el Brexit

Aunque este no era el objetivo principal de la DPA 2018, la aprobación de esta legislación preparó al Reino Unido para el Brexit, garantizando una transición fluida de la legislación de la UE a la suya propia. Fue una de las muchas leyes escritas y firmadas durante el período de transición del Brexit, que proporcionó marcos para el funcionamiento y las regulaciones cuando el Reino Unido ya no era parte de la UE.

La DPA 2018 se encuentra junto a una variedad de otras leyes europeas de ciberseguridad que protegen los datos personales, brindan cumplimiento de las mejores prácticas y garantizan la seguridad de los dispositivos conectados. La DPA 2018 se promulgó en un momento único en el que el Reino Unido estaba en transición fuera de la UE. Sin embargo, sigue esbozando las regulaciones necesarias en torno al uso de datos personales que hacen hincapié en los derechos de las personas.

Si su organización maneja datos personales y desea cumplir con la DPA 2018, podemos ayudarlo. UpGuard BreachSight ayuda a su organización a comprender los riesgos que afectan a su postura de seguridad externa y a que sus activos se supervisen y protejan constantemente, incluidos los datos personales. La supervisión continua, la protección contra fugas de datos, los perfiles de seguridad compartidos y los informes de información son solo algunos de los aspectos más destacados de esta plataforma todo en uno.

¡Echa un vistazo a un recorrido por el producto a continuación!