¿Qué es el Proyecto de Ley de Protección de Datos e Información Digital (DPDI)?
El Proyecto de Ley de Protección de Datos e Información Digital (DPDI) es esencialmente la implementación posterior al Brexit del RGPD de la UE por parte del gobierno del Reino Unido.
¿Qué es el Proyecto de Ley de Protección de Datos e Información Digital?
El gobierno del Reino Unido ha introducido el Proyecto de Ley de Protección de Datos e Información Digital (DPDI), cuyo objetivo es hacer que el Reglamento General de Protección de Datos (GDPR) de la UE sea más manejable en situaciones de menor riesgo manteniendo al mismo tiempo altos estándares de protección de datos. Las empresas multinacionales que operan tanto en el Reino Unido como en la UE seguirán teniendo que cumplir con el RGPD; sin embargo, las empresas que operan únicamente en el Reino Unido sólo necesitarán cumplir con la DPDI, lo que debería ser más fácil ya que los requisitos son menos gravosos en ciertas áreas. Este artículo se centrará en la versión actual de la DPDI (Proyecto de ley 143) y explicará cómo los cambios mejorarán la legislación existente en materia de protección de datos en el Reino Unido.
Las dificultades de alinear el Proyecto de Ley de Protección de Datos e Información Digital y el RGPD
Muchas empresas enfrentan desafíos para cumplir con el RGPD debido a los informes y la gestión continuos necesarios. Además, están teniendo dificultades para nombrar responsables de protección de datos (DPO) y otro personal relevante, ya que hay escasez de profesionales capacitados en ciberseguridad. Y no olvidemos que las empresas no tienen recursos ilimitados. Además, muchas empresas no están seguras de su estado de cumplimiento y luchan por hacer cumplir las políticas y mejores prácticas de seguridad. A pesar de la preocupación pública por la seguridad de los datos, las juntas han perdido interés en el GDPR después del revuelo inicial y no logran convertirlo en una prioridad. Otra razón por la que las empresas no cumplen plenamente con el RGPD es porque muchas no logran localizar datos personales dentro del plazo requerido, lo que se debe en parte a la dependencia de los servicios basados en la nube. Por supuesto, no existe una solución sencilla para estos problemas, ya que la ciberseguridad no es una tarea directamente rentable. Sin embargo, la DPDI pretende hacer la vida más fácil a las empresas, sin sacrificar los estándares de protección de datos.
Plazos/plazos previstos de la DPDI
Predecir los plazos exactos de la DPDI es un desafío, pero se estima que puede pasar alrededor de un año hasta que el proyecto de ley DPDI se convierta en ley (aproximadamente en marzo de 2024). Después de eso, la mayoría de las disposiciones entrarán en vigor en las fechas especificadas por el Secretario de Estado.
Cambios clave a la versión 2022 del proyecto de ley DPDI
El proyecto de ley de protección de datos e información digital se presentó a la Cámara de los Comunes el 18 de julio de 2022. El Gobierno pospuso la segunda lectura del proyecto de ley DPDI, originalmente prevista para el 5 de septiembre de 2022. Esta decisión se tomó tras la elección de Elizabeth Truss como líder del Partido Conservador, ya que los ministros necesitaban más tiempo para revisar el proyecto de ley DPDI. El 8 de marzo de 2023 se retiró el proyecto de ley DPDI original. Sin embargo, ese mismo día se presentó el Proyecto de Ley de Protección de Datos e Información Digital (Nº 2). Este nuevo proyecto de ley refleja en gran medida el contenido de la versión retirada. A continuación se muestra un resumen de los cambios clave realizados en la versión 2022 del Proyecto de Ley DPDI:
La definición de “datos personales”
DPDI Bill 143 tiene como objetivo cambiar la definición de datos personales en la Ley de Protección de Datos de 2018. Establece que la información se considerará datos personales si el controlador o el procesador puede identificar al individuo, o si la información puede ser obtenida por otra persona y utilizado para identificar al individuo. El proyecto de ley DPDI también explica cuándo una persona puede ser identificable directa o indirectamente en función de si se necesita información adicional.
Intereses legítimos
El proyecto de ley 143 sugiere una desviación del requisito actual de realizar una evaluación de los “intereses legítimos” según el artículo 6 del RGPD del Reino Unido y, en su lugar, adopta una lista predeterminada de “intereses legítimos reconocidos”. La lista actual incluye:
- Participación en procesos democráticos
- Garantizar la seguridad nacional
- Mantenimiento de la seguridad y defensa pública.
- Tratamiento necesario para el interés público
- Proteger a las personas vulnerables
- Detectar, aprehender o investigar delitos
- Respondiendo a emergencias
Transferencias internacionales de datos
El proyecto de ley 143 introduce cambios en el enfoque del Reino Unido respecto de las transferencias internacionales de datos. El Proyecto de Ley DPDI sustituye la “prueba de adecuación” por una nueva “prueba de protección de datos” que considera los niveles de protección de datos en terceros países. Se considerarán factores como el respeto de los derechos humanos, la existencia de una autoridad de aplicación y las disposiciones para la reparación de los interesados. El proyecto de ley DPDI también permite al Secretario de Estado emitir reglamentos que especifiquen cláusulas estándar de protección de datos. Además, la Oficina del Comisionado de Información ha actualizado su guía sobre Normas Corporativas Vinculantes.
Solicitudes de acceso de interesados (DSAR)
El proyecto de ley 143 propone cambios en las solicitudes de acceso de los interesados (DSAR) que permiten a los controladores negarse a responder a solicitudes que se consideren vejatorias o excesivas. El proyecto de ley DPDI define las solicitudes vejatorias como aquellas que tienen como objetivo causar angustia, no se hacen de buena fe o constituyen un abuso de proceso. Se tendrán en cuenta factores como la naturaleza de la solicitud, la relación entre el interesado y el responsable del tratamiento, y los recursos disponibles para el responsable del tratamiento al determinar si una solicitud es vejatoria o excesiva.
La definición de “investigación”
El Proyecto de Ley DPDI modifica la definición de fines estadísticos y de investigación. Incluye cualquier investigación que pueda calificarse como científica, que abarca el desarrollo tecnológico, la investigación fundamental y la investigación aplicada. El consentimiento para la investigación científica debe alinearse con los estándares éticos relevantes para el área de investigación específica. El consentimiento también podrá prestarse cuando no puedan identificarse plenamente las finalidades concretas del tratamiento de los datos.
Toma de decisiones automatizada (ADM)
El proyecto de ley 143 busca introducir cambios significativos en la regulación de la toma de decisiones automatizada. Propone que las decisiones tomadas únicamente mediante procesamiento automatizado no deberían tener participación humana. Además, los individuos sólo tendrán derecho a la intervención humana en las decisiones que se consideren “significativas” y no en aquellas que tengan efectos legales o impactos significativos sobre ellos.
Delegados de Protección de Datos (DPO)
En lugar de un Delegado de Protección de Datos (DPO), el Proyecto de Ley 143 exige que las organizaciones designen a una “persona responsable de alto nivel” para el procesamiento de alto riesgo, que será un miembro de la alta dirección de la organización. Esta persona será responsable de manejar las cuestiones de protección de datos, incluida la gestión de violaciones de datos y la atención de quejas relacionadas con el procesamiento de datos. La Oficina del Comisionado de Información (ICO) publicará ejemplos de "procesamiento de alto riesgo".
Evaluaciones de impacto de la protección de datos (EDIP)
El requisito de evaluaciones de impacto de la protección de datos (DPIA) será reemplazado por una evaluación del procesamiento de alto riesgo (AHRP). El Proyecto de Ley DPDI elimina los escenarios que anteriormente requerían una DPIA/AHRP y la necesidad de consultar a un delegado de protección de datos (DPO) durante el proceso.
Registros de Actividades de Tratamiento (ROPA)
Según el nuevo proyecto de ley, los controladores y procesadores ya no estarían obligados a mantener registros de actividades de procesamiento (ROPA). Sin embargo, según el artículo 30A del RGPD del Reino Unido, los controladores aún deben mantener registros apropiados del procesamiento de datos personales, incluida información como la ubicación de los datos, los propósitos del procesamiento, el intercambio de detalles, el período de retención, las categorías especiales de datos y los datos. relacionados con condenas penales. Los registros del procesador deben incluir información sobre el controlador y la ubicación de los datos. Tanto los registros del responsable como del procesador también deben incluir información sobre la seguridad de los datos, si es posible.
Cookies y tecnologías de seguimiento
El proyecto de ley 143 introduce cambios en la regulación de las cookies y las tecnologías de seguimiento. Amplía los tipos de cookies que se pueden colocar en el dispositivo de un usuario sin su consentimiento para incluir aquellas utilizadas para información estadística y mejora del servicio. El proyecto de ley DPDI también autoriza al Secretario de Estado a crear regulaciones que permitan el consentimiento u objeción automática a las cookies, reduciendo la necesidad de que las personas acepten o rechacen manualmente las cookies en múltiples sitios web.
Cambios en la ICO
El proyecto de ley 143 propone cambios significativos al ICO, incluido el cambio de su nombre a Comisión de Información. El proyecto de ley DPDI también sugiere cambios en la estructura de gobernanza, los deberes y los poderes de aplicación del regulador. El principal objetivo de la Comisión de Información sería garantizar un nivel adecuado de protección de los datos personales y promover la confianza pública en el procesamiento de datos. El proyecto de ley DPDI también enfatiza la importancia de promover la competencia y la innovación. El Comisionado de Información del Reino Unido, John Edwards, cree que las reformas del Proyecto de Ley 143 logran un buen equilibrio y se alinean con el plan estratégico de la ICO (ICO25), que describe sus objetivos para los próximos tres años.
Derechos del interesado
Las modificaciones relacionadas con los derechos de los interesados se especifican en las Cláusulas 7 a 10 del Proyecto de Ley 143. Se aclaran las obligaciones de suministro de información, sin modificaciones significativas, para garantizar que la exención por esfuerzo desproporcionado o imposibilidad descrita en el Artículo 14(5)(b) ) del RGPD del Reino Unido se aplica a todas las actividades de procesamiento que involucran datos que no se obtienen directamente del interesado.
Servicios de verificación digital
El proyecto de ley 143 define los servicios de verificación como servicios que verifican información sobre un individuo y se la confirman a otra persona. Los servicios de verificación digital (DVS) son estos servicios que se brindan en línea. El Secretario de Estado debe crear un documento llamado marco de confianza DVS para describir las reglas para proporcionar DVS. También deben establecer un registro de proveedores de DVS y pueden emitir marcas de confianza para DVS.
Marketing directo
El Proyecto de Ley 143 incluye una nueva definición de marketing directo en el Reglamento de Privacidad y Comunicaciones Electrónicas (PECR), definiéndolo como cualquier comunicación de publicidad o material de marketing dirigido a personas específicas. Además, el proyecto de ley DPDI sugiere aumentar las multas por llamadas y mensajes de texto molestos según el PECR para alinearse con las sanciones descritas en el RGPD del Reino Unido, que podrían ascender hasta el 4% de la facturación global o £17,5 millones, lo que sea mayor.
Representantes del Reino Unido
La cláusula 13 del Proyecto de Ley 143 tiene como objetivo eliminar la obligación establecida en el artículo 27 del RGPD del Reino Unido, que exige que los controladores y procesadores designen un representante con sede en el Reino Unido.
Datos comerciales/datos abiertos
El proyecto de ley 143 busca simplificar la implementación de “esquemas de datos inteligentes”, que fomentarían el intercambio de datos entre empresas. Estos esquemas otorgarían a terceros autorizados la capacidad de acceder y compartir datos de forma segura, según lo solicite el cliente.
¿Afectará la DPDI la capacidad del Reino Unido para ofrecer servicios digitales a la UE?
La Comisión de la UE tiene el poder de poner fin, suspender o modificar su decisión que permite la libre transferencia de datos personales de la UE al Reino Unido si considera que el Reino Unido no proporciona suficiente protección de datos. Sin embargo, el gobierno del Reino Unido pretende mantener la adecuación y muchos cambios en el proyecto de ley DPDI simplemente aclaran y simplifican el cumplimiento en lugar de reducir la protección de datos. Incluso si se revoca la adecuación, las organizaciones aún pueden transferir datos utilizando cláusulas contractuales estándar u otros mecanismos. Sin embargo, esto crearía desafíos adicionales para las empresas que transfieren datos entre la UE y el Reino Unido.
¿Cuáles son los puntos clave de acción práctica?
Las organizaciones que operan en el Reino Unido deben monitorear de cerca el progreso del Proyecto de Ley DPDI y evaluar cualquier modificación necesaria para alinearse con él una vez que se convierta en ley. Deben determinar si continuarán adhiriéndose al RGPD o harán la transición a los propios estándares del Reino Unido cuando se promulgue el proyecto de ley DPDI. Aunque el Proyecto de Ley DPDI introduce algunos requisitos adicionales, no son significativos. Además, el proyecto de ley DPDI adopta un enfoque más práctico y aclara ciertos aspectos, simplificando la exploración de nuevas tecnologías, incluida la IA. La reducción de trámites y papeleo mejorará la eficiencia y reducirá los costos de cumplimiento, sin sacrificar los estándares de protección de datos. La eliminación de la incertidumbre que rodea las funciones comerciales fundamentales permite a las organizaciones y a la ICO centrar sus esfuerzos en áreas que realmente ponen en peligro la privacidad de las personas.
¿Cómo puede ayudar Lepide?
La plataforma Lepide Data Security ofrece numerosas funciones que pueden ayudar a las organizaciones a cumplir con la mayoría, si no todas, las leyes de privacidad de datos. Las características más relevantes se resumen a continuación:
>Vista holística de la actividad en todos los sistemas: la plataforma proporciona una vista centralizada de todos los sistemas, tanto locales como basados en la nube, que almacenan datos personales pertenecientes a ciudadanos del Reino Unido y la UE. A través de un panel intuitivo, puede ver todos los detalles de todos los cambios que se están produciendo en su infraestructura de TI, como cambios en el acceso de los usuarios, permisos, configuraciones y más.
Descubrimiento y clasificación de datos: la función de clasificación de datos integrada de Lepide escaneará sus repositorios, ya sean locales o basados en la nube, y etiquetará los datos personales a medida que se encuentren. Esto hace que sea mucho más fácil buscar registros específicos y así cumplir con las solicitudes de acceso de los sujetos.
Notificaciones inmediatas de incumplimiento: la plataforma puede enviar notificaciones inmediatas de incumplimiento basadas en niveles inusuales de actividad o comportamiento anómalo. Esto ayuda a las organizaciones a detectar y responder a posibles violaciones de datos de manera oportuna.
Informes de auditoría para demostrar el cumplimiento: la plataforma genera informes de auditoría que demuestran claramente los cambios de permisos y otra información relevante durante un período determinado. También puede automatizar la generación, programación y entrega de informes de auditoría. Estos informes proporcionan evidencia del cumplimiento de los requisitos DPDI/GDPR para la gestión y seguimiento del acceso a datos personales.
Archivo de datos de auditoría: la plataforma Lepide le permite archivar datos de auditoría durante el tiempo necesario o recomendado, lo que le ayuda a demostrar el cumplimiento de los requisitos de DPDI/GDPR.
Si desea ver cómo la plataforma Lepide Data Security puede ayudarle a cumplir con la DPDI, programe una demostración con uno de nuestros ingenieros o comience su prueba gratuita hoy.