DECISIÓN DE EJECUCIÓN (UE) 2021/1773 DE LA COMISIÓN

de 28 de junio de 2021

con arreglo a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por parte del Reino Unido

[notificada con el número C(2021) 4801]

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Vista la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (1), y en particular su artículo 36, apartado 3,

Considerando lo siguiente:

1. INTRODUCCIÓN

(1) La Directiva (UE) 2016/680 establece las normas para la transferencia de datos personales por parte de las autoridades competentes de la Unión Europea (UE) a terceros países y organizaciones internacionales en la medida en que tales transferencias entren dentro de su ámbito de aplicación. Las normas relativas a las transferencias internacionales de datos por parte de las autoridades competentes se establecen en el capítulo V de la Directiva (UE) 2016/680, en concreto en sus artículos 35 a 40. Si bien el flujo de datos personales hacia y desde países no pertenecientes a la UE es esencial para una cooperación eficaz en materia policial, debe garantizarse que el nivel de protección concedido a los datos personales en la Unión no se ve menoscabado por dichas transferencias (2).

(2) A tenor del artículo 36, apartado 3, de la Directiva (UE) 2016/680, la Comisión puede decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado. En virtud de esta condición, pueden realizarse transferencias de datos personales a un tercer país sin necesidad de obtener ninguna autorización adicional (salvo cuando otro Estado miembro del que se obtuvieron los datos tenga que dar su consentimiento para la transferencia), como se establece en el artículo 35, apartado 1, y en el considerando 66, de la Directiva (UE) 2016/680.

(3) Como se precisa en el artículo 36, apartado 2, de la Directiva (UE) 2016/680, la adopción de una decisión de adecuación debe basarse en un análisis exhaustivo del ordenamiento jurídico del tercer país. En su evaluación, la Comisión debe determinar si el tercer país en cuestión garantiza un nivel de protección «esencialmente equivalente» al ofrecido en la Unión Europea [considerando 67 de la Directiva (UE) 2016/680]. La norma con la que se evalúa el nivel de protección «esencialmente equivalente» es la que establece la legislación de la Unión Europea, en concreto la Directiva (UE) 2016/680, así como la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) (3). En este sentido, también son importantes las referencias sobre adecuación del Comité Europeo de Protección de Datos (4).

(4) Tal como ha precisado el Tribunal de Justicia de la Unión Europea, no se exige un nivel de protección idéntico (5). En particular, los medios de que se sirve el tercer país en cuestión para la protección de los datos personales pueden ser diferentes de los aplicados en la Unión Europea siempre que, en la práctica, sean eficaces para garantizar un nivel de protección adecuado (6). Por consiguiente, el nivel de adecuación no exige que se reproduzcan al pie de la letra las normas de la Unión. Se trata más bien de determinar si el sistema extranjero ofrece, en su conjunto, el nivel de protección exigido a través del contenido de los derechos de privacidad y de su ejecución, supervisión y cumplimiento efectivos (7).

(5) La Comisión ha analizado detenidamente la legislación y la práctica pertinentes del Reino Unido. A tenor de sus conclusiones, que se exponen a continuación, la Comisión concluye que el Reino Unido garantiza un nivel adecuado de protección de los datos personales transferidos por parte de las autoridades competentes de la Unión, que entran en el ámbito de aplicación de la Directiva (UE) 2016/680, a las autoridades competentes en el Reino Unido dentro del ámbito de aplicación de la parte 3 de la Data Protection Act (Ley de protección de datos) de 2018 (DPA de 2018) (8).

(6) La presente Decisión tiene como efecto que dichas transferencias puedan realizarse sin necesidad de obtener otro tipo de autorización por un período de cuatro años, sujeto a una posible renovación, y sin perjuicio de las condiciones establecidas en el artículo 35 de la Directiva (UE) 2016/680.

2. NORMAS APLICABLES AL TRATAMIENTO DE DATOS PERSONALES POR PARTE DE LAS AUTORIDADES COMPETENTES A EFECTOS DE CONTROL DE LA APLICACIÓN DEL DERECHO PENAL

2.1. Marco constitucional

(7) El Reino Unido es una democracia parlamentaria. Tiene un Parlamento soberano, que es supremo frente a todas las demás instituciones gubernamentales, un poder ejecutivo que se deriva del Parlamento y rinde cuentas ante él y un poder judicial independiente. El poder ejecutivo adquiere su autoridad de su capacidad para obtener la confianza de la Cámara de los Comunes electa y rinde cuentas ante ambas cámaras del Parlamento (Cámara de los Comunes y Cámara de los Lores), que son responsables de escrutar al Gobierno y debatir y aprobar las leyes. El Parlamento del Reino Unido ha delegado la responsabilidad al Parlamento de Escocia, el Parlamento de Gales (Senedd Cymru) y la Asamblea de Irlanda del Norte de legislar en Escocia, Gales e Irlanda del Norte sobre determinados asuntos internos. Si bien la protección de datos es un asunto reservado al Parlamento británico, es decir, que la misma legislación aplica en todo el país, se delegan otras áreas de política pertinentes para la presente Decisión. Por ejemplo, los sistemas de justicia penal, incluidas las funciones policiales (actividades que realizan las autoridades policiales) de Escocia e Irlanda del Norte, se delegan en el Parlamento de Escocia y la Asamblea de Irlanda del Norte respectivamente (9).

(8) Si bien el Reino Unido no tiene una constitución codificada, en el sentido de un documento constitutivo afianzado, sus principios constitucionales han surgido con el tiempo y proceden, en particular, de la jurisprudencia y del consenso. Se ha reconocido el valor constitucional de determinadas leyes parlamentarias, como la Carta Magna, la Bill of Rights (Declaración de Derechos) de 1689 y la Human Rights Act (Ley de Derechos Humanos) de 1998. A través del common law, las leyes parlamentarias y determinados tratados internacionales, en especial el Convenio Europeo de Derechos Humanos, que el Reino Unido ratificó en 1951, se han desarrollado los derechos fundamentales de las personas como parte de la constitución. En 1987, el Reino Unido también ratificó el Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (10).

(9) La Human Rights Act de 1998 incorpora los derechos recogidos en el Convenio Europeo de Derechos Humanos al Derecho del Reino Unido. La Human Rights Act concede a toda persona los derechos y libertades fundamentales recogidos en los artículos 2 a 12 y 14 del Convenio Europeo de Derechos Humanos, los artículos 1 a 3 de su Protocolo n.o 1 y el artículo 1 de su Protocolo n.o 13, interpretados según los artículos 16 a 18 del Convenio. Esto incluye el derecho al respeto a la vida privada y familiar que, a su vez, incluye el derecho a la protección de los datos, así como el derecho a un proceso equitativo (11). En concreto, de acuerdo con el artículo 8 del Convenio Europeo de Derechos Humanos, no podrá haber injerencia de la autoridad pública en el ejercicio de este derecho sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención de las infracciones penales, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

(10) En virtud de la Human Rights Act de 1998, cualquier acción de las autoridades públicas debe ser compatible con uno de los derechos garantizados por el Convenio (12). Además, el Derecho primario y el subordinado deben interpretarse y aplicarse de manera compatible con tales derechos (13). Cualquier persona, en la medida en que considere que las autoridades públicas han violado sus derechos, incluidos los derechos a la privacidad y la protección de los datos, puede obtener una reparación ante los tribunales del Reino Unido en virtud de la Human Rights Act de 1998 y, después de agotar los recursos nacionales, puede obtener una reparación ante el Tribunal Europeo de Derechos Humanos por violaciones de los derechos reconocidos por el Convenio Europeo de Derechos Humanos.

2.2. Marco de protección de datos del Reino Unido

(11) El Reino Unido se retiró de la Unión Europea el 31 de enero de 2020. En virtud del Acuerdo sobre la retirada del Reino Unido de Gran Bretaña e Irlanda del Norte de la Unión Europea y de la Comunidad Europea de la Energía Atómica (14), el Derecho de la Unión se aplicó en el Reino Unido durante el período transitorio hasta el 31 de diciembre de 2020. Antes de la retirada y durante el período transitorio, el marco legislativo de protección de datos personales del Reino Unido que regía el tratamiento de datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la protección y la prevención frente a las amenazas para la seguridad pública, consistía en las partes pertinentes de la Data Protection Act de 2018, que incorporó la Directiva (UE) 2016/680.

(12) A fin de preparar la retirada de la UE, el Gobierno del Reino Unido promulgó la European Union (Withdrawal) Act (Ley de Retirada de la Unión Europea) de 2018 (15), que incorpora la legislación de la Unión directamente aplicable al Derecho del Reino Unido y dispone que la denominada «legislación nacional derivada de la UE» siguiera teniendo efecto una vez finalizado el período transitorio. La parte 3 de la DPA de 2018 (16), que incorporó la Directiva (UE) 2016/680, constituye la «legislación nacional derivada de la UE» según la European Union (Withdrawal) Act. De acuerdo con la European Union (Withdrawal) Act, los tribunales del Reino Unido debían interpretar la «legislación nacional derivada de la UE» no modificada de conformidad con la jurisprudencia pertinente del Tribunal de Justicia de la Unión Europea y los principios generales del Derecho de la Unión, de modo que tuvieran efecto de manera inmediata antes del final del período transitorio (denominados «jurisprudencia de la Unión conservada» y «principios generales del Derecho de la Unión conservados» respectivamente) (17).

(13) En virtud de la European Union (Withdrawal) Act, los secretarios de Estado del Reino Unido están facultados para introducir una legislación secundaria, por medio de instrumentos jurídicos, para realizar las modificaciones necesarias en el Derecho de la Unión conservado como consecuencia de la retirada del Reino Unido de la Unión. La normativa Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 o DPPEC Regulations [Reglamentos en materia de Protección de Datos, Privacidad y Comunicaciones Electrónicas (modificaciones, etc.) (salida de la UE) de 2019] (18) ejerció esta facultad. Esta normativa modifica la legislación en materia de protección de datos del Reino Unido, en particular la DPA de 2018, para adaptarla al contexto nacional (19).

(14) Por tanto, las normas jurídicas sobre el tratamiento de datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención en el Reino Unido tras el período transitorio en virtud del acuerdo de retirada seguirán siendo las normas establecidas en las partes pertinentes de la DPA de 2018, pero en su forma modificada por la normativa DPPEC Regulations, en particular en la parte 3 de dicha Ley. El Reglamento General de Protección de Datos del Reino Unido (RGPD del Reino Unido) no se aplica a este tipo de tratamiento.

(15) La parte 3 de la DPA de 2018 establece las normas para el tratamiento de datos personales a efectos de control de la aplicación del Derecho penal, en particular los principios de protección de datos, los fundamentos jurídicos del tratamiento (licitud), los derechos de los interesados, las obligaciones de las autoridades competentes (como responsables del tratamiento) y las restricciones para las transferencias ulteriores. Al mismo tiempo, en las partes 5 y 6 de la DPA de 2018 se proporcionan las normas aplicables sobre supervisión, ejecución y reparación aplicables al ámbito penal.

(16) Por otro lado, a la luz del importante papel que desempeñan las autoridades policiales en el sector del ámbito penal, deben tenerse en cuenta las normas que rigen las funciones policiales. Las funciones policiales están descentralizadas, es decir, se recogen en leyes diferentes que, sin embargo, son a menudo similares en su contenido y regulan las funciones policiales en a) Inglaterra y Gales, b) Escocia e c) Irlanda del Norte (20). Además, varios tipos de documentos de orientación ofrecen aclaraciones adicionales sobre cómo deben utilizarse las competencias policiales. Hay tres formas principales de orientación policial: 1) orientación estatutaria emitida en virtud de la legislación, como el Code of Ethics (21) y el Code of Practice on the Management of Police Information (Código de práctica MoPI) (22), emitidos en virtud de la Police Act (Ley de las fuerzas policiales) de 1996 (23), o los códigos PACE (24) emitidos en virtud de la Police and Criminal Evidence Act (Ley de pruebas policiales y penales) (25), 2) Authorised Professional Practice on the Management of Police Information (Guía APP sobre la gestión de la información policial) (26), emitida por el College of Policing, y 3) directrices operativas (publicadas por las propias fuerzas policiales). El National Police Chiefs Council (un organismo de coordinación de todas las autoridades policiales del Reino Unido) publica una guía operativa que todas las autoridades policiales han respaldado y que, por tanto, es de aplicación a escala nacional (27). El objetivo de esta guía es garantizar la coherencia entre las fuerzas policiales en cuanto a la forma en que se gestiona la información (28).

(17) El Código de práctica MoPI lo emitió el secretario de Estado en 2005, haciendo uso de los poderes previstos en la sección 39A de la Police Act de 1996 (29). Todo código de práctica emitido con arreglo a la Police Act debe tener la aprobación del secretario de Estado y está sujeto a consulta con la National Crime Agency antes de su presentación ante el Parlamento. La sección 39A, apartado 7, de la Police Act requiere que las autoridades policiales tengan debidamente en cuenta los códigos emitidos en virtud de la Ley, por lo que se espera que las autoridades policiales cumplan esta disposición (30). Además, las orientaciones no reglamentarias (como la Guía APP sobre la gestión de la información policial) siempre deben ser coherentes con el Código de práctica MoPI, que prevalece sobre ellas (31). En cualquier caso, si bien puede haber ciertas situaciones operativas en las que los agentes de policía deban desviarse de esta guía, aún deben cumplir con los requisitos de la parte 3 de la DPA de 2018 (32).

(18) La Oficina del Comisionado de Información del Reino Unido (ICO, por sus siglas en inglés) (33) proporciona una guía sobre la legislación de protección de datos del Reino Unido para el tratamiento en el ámbito penal (para más información sobre la ICO, véanse los considerandos 93 a 109). A pesar de no ser jurídicamente vinculante, en un asunto judicial, los tribunales estarían obligados a tener en consideración cualquier incumplimiento de la guía, ya que tiene un peso interpretativo y demuestra cómo interpreta y aplica la ICO la legislación de protección de datos en la práctica (34).

(19) Por último, como se indica en los considerandos 8 a 10, los organismos del Reino Unido encargados de garantizar el cumplimiento de la ley deben asegurar el cumplimiento del Convenio Europeo de Derechos Humanos y el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal.

(20) En su estructura y componentes principales, el marco jurídico que rige el tratamiento de datos por parte de las autoridades del Reino Unido encargadas de garantizar el cumplimiento del Derecho penal es, por tanto, muy similar al que se aplica en la UE. Esto incluye el hecho de que dicho marco no solo se basa en obligaciones establecidas en el Derecho interno, a las que el Derecho de la Unión ha dado forma, sino también en obligaciones consagradas en el Derecho internacional, en concreto a través de la adhesión del Reino Unido al Convenio Europeo de Derechos Humanos (CEDH) y al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, así como su acatamiento de la jurisdicción del Tribunal Europeo de Derechos Humanos. Estas obligaciones derivadas de los instrumentos internacionales jurídicamente vinculantes son, por tanto, en especial en relación con la protección de datos personales, un elemento especialmente importante del marco jurídico evaluado en la presente Decisión.

2.3. Ámbito de aplicación material y territorial

(21) El ámbito de aplicación material de la parte 3 de la DPA de 2018 coincide con el ámbito de la Directiva (UE) 2016/680, como se explica en el artículo 2, apartado 2, de la DPA. La parte 3 se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, por parte de una autoridad competente.

(22) Además, para entrar en el ámbito de aplicación de la parte 3, el responsable del tratamiento debe ser una «autoridad competente» y el tratamiento debe llevarse a cabo con un «fin de aplicación de la ley». Por lo tanto, el régimen de protección de datos que se analiza en la presente Decisión se aplica a todas las actividades de aplicación de estas autoridades competentes.

(23) En la sección 30 de la DPA de 2018 se define el concepto de «autoridad competente» como una persona incluida en el anexo 7 de la DPA, así como cualquier otra persona en la medida en que dicha persona tenga funciones estatutarias a efectos de la aplicación de la ley. Las autoridades competentes enumeradas en el anexo 7 no solo incluyen a las autoridades policiales, sino también a todos los departamentos gubernamentales ministeriales del Reino Unido, así como otras autoridades con funciones de investigación (por ejemplo, el Commissioner for Her Majesty’s Revenue and Customs, la Welsh Revenue Authority, la Competition and Markets Authority, Her Majesty’s Land Register o la National Crime Agency), agencias encargadas de perseguir la delincuencia, otras agencias de justicia penal y otros titulares u organizaciones que llevan a cabo actividades de aplicación de la ley (35). La parte 3 de la DPA de 2018 también se aplica a los tribunales cuando ejercen sus funciones jurisdiccionales, excepto por la parte relacionada con los derechos del interesado y la supervisión de la ICO (36). La lista de autoridades competentes que proporciona el anexo 7 no es definitiva y el secretario de Estado puede actualizarla mediante reglamentos que tengan en cuenta los cambios en la organización de los cargos públicos (37).

(24) El tratamiento en cuestión también debe tener un «fin de aplicación de la ley», en el sentido de la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluidas la protección y prevención frente a amenazas para la seguridad pública (38). El tratamiento por parte de una autoridad competente no se rige por la parte 3 de la DPA de 2018 cuando no se produce con fines de aplicación de la ley. Este sería el caso, por ejemplo, cuando la Competition and Markets Authority (Autoridad de Competencia y Mercados) investiga casos que no están tipificados como delito (por ejemplo, fusiones entre empresas). En este caso, se aplicaría el RGPD del Reino Unido, junto con la parte 2 de la DPA de 2018, ya que el tratamiento de datos personales por parte de las autoridades competentes se realiza con fines distintos a los de aplicación de la ley. Para determinar qué régimen de protección de datos aplica (parte 3 o parte 2, de la DPA de 2018) al tratamiento de datos personales en cuestión, la autoridad competente, esto es, el responsable del tratamiento, debe valorar si el «fin principal» de dicho tratamiento es uno de los fines de aplicación de la ley previstos en la DPA de 2018.

(25) En lo que respecta al ámbito de aplicación territorial de la parte 3 de la DPA de 2018, la sección 207, apartado 2, establece que la DPA se aplica al tratamiento de datos personales en el contexto de las actividades de una persona que tiene un establecimiento en todo el territorio del Reino Unido. Esto incluye a las autoridades públicas de los territorios de Inglaterra, Gales, Escocia e Irlanda del Norte que se encuentran dentro del ámbito de aplicación material de la parte 3 de la DPA de 2018 (39).

2.3.1. Definición de «datos personales» y de «tratamiento»

(26) En la sección 3 de la DPA de 2018 se definen los conceptos fundamentales de «datos personales» y de «tratamiento», que se aplican a lo largo de todo el texto de la Ley. Las definiciones siguen de cerca las definiciones correspondientes establecidas en el artículo 3 de la Directiva (UE) 2016/680. Con arreglo a la DPA de 2018, «datos personales» significa toda información sobre una persona física identificada o identificable (40). En virtud de la sección 3, apartado 3, de la DPA de 2018 un individuo es identificable cuando es posible identificarlo, directa o indirectamente, a partir de la información, en particular mediante un identificador, como por ejemplo un nombre o un número de identificación, o por referencia a uno o más factores propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. La noción de «tratamiento» se define como una operación o conjunto de operaciones realizadas sobre información, o sobre conjuntos de información, como a) recogida, registro, organización, estructuración o conservación; b) adaptación o modificación; c) extracción, consulta o utilización; d) comunicación por transmisión, difusión o cualquier otra forma de habilitación; e) cotejo o combinación; o f) limitación, supresión o destrucción. Además, la DPA de 2018 define el «tratamiento sensible» como «a) el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical; b) el tratamiento de datos genéticos o biométricos con el objetivo de identificar de manera unívoca a una persona; c) el tratamiento de datos relativos a la salud; d) el tratamiento de datos relativos a la vida sexual o la orientación sexual de una persona» (41). A este respecto, la sección 205 de la DPA de 2018 establece la definición de «datos biométricos» (42), «datos relativos a la salud» (43) y «datos genéticos» (44).

(27) La sección 32 de la DPA de 2018 aclara las definiciones de «responsable del tratamiento» y «encargado del tratamiento» en el contexto del tratamiento de datos personales con fines de aplicación de la ley siguiendo de cerca las definiciones equivalentes de la Directiva (UE) 2016/680. «Responsable del tratamiento» es la autoridad competente que determina los fines y medios del tratamiento de datos personales. Cuando la ley requiere el tratamiento, el responsable del tratamiento es la autoridad competente a la que la ley impone dicha obligación. El «encargado del tratamiento» es la persona que trata datos personales por cuenta del responsable del tratamiento (distinto a una persona que es un empleado del responsable).

2.4. Garantías, derechos y obligaciones

2.4.1. Licitud y lealtad del tratamiento

(28) A tenor de la sección 35 de la DPA de 2018, el tratamiento de datos personales debe ser lícito y leal, de una forma similar a lo que estipula el artículo 4, apartado 1, letra a), de la Directiva (UE) 2016/680. En virtud de la sección 35, apartado 2, de la DPA de 2018, el tratamiento de datos personales para cualquiera de los fines de aplicación de la ley es lícito solo si se basa en la ley y si el interesado ha dado su consentimiento para el tratamiento para dicho fin, o el tratamiento es necesario para la realización de una tarea que una autoridad competente lleva a cabo a tal efecto.

2.4.1.1. Tratamiento de acuerdo con la ley

(29) De manera similar a lo que establece el artículo 8 de la Directiva (UE) 2016/680, para garantizar la licitud de un tratamiento contemplado en la parte 3 de la DPA de 2018, dicho tratamiento debe estar «basado en la ley». Tratamiento «lícito» significa autorizado por la ley, por el common law o por prerrogativas reales (45).

(30) Los poderes de las autoridades competentes se rigen, en general, por estatutos, lo que significa que sus funciones y poderes se establecen claramente en las legislaciones aprobadas por el Parlamento (46). En determinados casos, las autoridades policiales, así como otras autoridades competentes enumeradas en el anexo 7 de la DPA de 2018, puede apoyarse en el common law para tratar los datos (47). El common law se ha construido a través de sentencias doctrinales establecidas mediante decisiones de los tribunales. El common law es pertinente en el contexto de los poderes de que disponen las autoridades policiales que derivan de esta fuente de derecho, y cuyo deber fundamental es proteger al público mediante la detección y prevención de la delincuencia (48). Sin embargo, las autoridades policiales tienen tanto poderes legislativos (49) como poderes del common law para ejercer ese deber. Siempre que las autoridades policiales tengan un deber estatutario, este sustituye cualquier poder del common law (50).

(31) Los tribunales han reconocido que la amplitud de los poderes y obligaciones de las autoridades de policía recogidos en el common law incluyen «todas las medidas que les parezcan necesarias para mantener la paz, prevenir la delincuencia o proteger la propiedad de daños criminales» (51). Los poderes del common law no son poderes incondicionales. Están sujetos a una serie de limitaciones, en particular límites que establecen los tribunales (52) y la legislación, en concreto la Human Rights Act (Ley de derechos humanos) de 1998 y la Equality Act (Ley de igualdad) de 2010 (53). Además, para las autoridades competentes que tratan datos en virtud de la parte 3 de la DPA de 2018, esto incluye el ejercicio de los poderes recogidos en el common law de una forma coherente con los requisitos establecidos en la DPA de 2018 (54). Por otro lado, la decisión de realizar cualquier tipo de tratamiento de datos debe tener en cuenta los requisitos de las directrices aplicables, como el Código de práctica MoPI, así como la orientación específica para uno de los territorios del Reino Unido (55). El gobierno y las autoridades de policía ejecutivas emiten una serie de documentos de orientación para garantizar que los agentes de policía ejercen sus poderes dentro de los límites establecidos por el common law o el estatuto pertinente (56).

(32) Las prerrogativas reales representan otro componente de la ley y se refieren a ciertos poderes conferidos por la Corona, y ejecutables por parte del poder ejecutivo, que no se basan en estatutos sino que se derivan de la soberanía del monarca (57). Existen muy pocos ejemplos de poderes de prerrogativa que sean pertinentes en el ámbito penal. Estos poderes incluyen, por ejemplo, el marco de asistencia judicial mutua que permite el intercambio de datos por parte de un secretario de Estado con terceros países con fines de aplicación de la ley; la facultad de compartir datos de esta manera no siempre está contemplada en la ley (58). Las prerrogativas reales están sujetas a los principios del common law (59) y subordinadas al estatuto, por lo que están sujetas a los límites que establecen la Human Rights Act de 1998 y la DPA de 2018 (60).

(33) De manera similar al artículo 8 de la Directiva (UE) 2016/680, el régimen del Reino Unido requiere que, para cumplir con el principio de licitud, las autoridades competentes se aseguren de que, cuando el tratamiento está basado en la ley, también sea «necesario» para llevar a cabo la tarea ejecutada en el ámbito penal. La ICO ofrece orientación en este sentido, aclarando que «debe ser una forma específica y proporcionada de lograr el fin. El fundamento jurídico no se aplicará si puede lograrse razonablemente el fin por otros medios menos intrusivos. No basta con declarar que el tratamiento es necesario porque ha escogido gestionar su negocio de una manera particular. La cuestión es si el tratamiento es necesario para el fin indicado» (61).

2.4.1.2. Tratamiento sobre la base del «consentimiento» del interesado

(34) Como se menciona en el considerando 28, la sección 35, apartado 2, de la DPA de 2018 prevé la posibilidad de tratar los datos personales sobre la base del «consentimiento» del interesado.

(35) Sin embargo, el consentimiento no parece ser un fundamento jurídico pertinente para las operaciones de tratamiento contempladas en el ámbito de aplicación de la presente Decisión. De hecho, las operaciones de tratamiento contempladas en la presente Decisión se referirán siempre a datos que ha transferido una autoridad competente de un Estado miembro a una autoridad competente del Reino Unido en virtud de la Directiva (UE) 2016/680. Por tanto, normalmente no implicarán el tipo de interacción directa (recogida) entre una autoridad pública y los interesados que puede basarse en el consentimiento con arreglo a la sección 35, apartado 2, letra a), de la DPA de 2018.

(36) Por tanto, si bien la confianza en el consentimiento no se considera pertinente para la evaluación realizada en virtud de esta Decisión, vale la pena señalar, en aras de la exhaustividad, que en un contexto de aplicación de la ley, el tratamiento nunca se basa únicamente en el consentimiento, dado que una autoridad competente debe estar siempre investida de un poder que le permita tratar los datos (62). En concreto, y de manera similar a lo permitido por la Directiva (UE) 2016/680 (63), esto significa que el consentimiento sirve como condición adicional para permitir ciertas operaciones limitadas y específicas de tratamiento que, de otro modo, no podrían llevarse a cabo como, por ejemplo, la recogida y el tratamiento de una muestra de ADN de un individuo que no es sospechoso. En este caso, el tratamiento no se llevaría a cabo si no se concede el consentimiento o si se retira (64).

(37) En casos que requieren el consentimiento del interesado, este debe ser inequívoco e implicar una clara acción afirmativa (65). Las fuerzas policiales deben disponer de una declaración de confidencialidad que incluya, entre otras cosas, la información necesaria relacionada con el uso válido del consentimiento. Además, algunas de ellas publican material adicional sobre cómo cumplen con la legislación de protección de datos, que incluye cómo y cuándo se utilizaría el consentimiento como fundamento jurídico (66).

2.4.1.3. Tratamiento sensible

(38) Deben preverse garantías específicas cuando se estén tratando «categorías especiales» de datos. En este sentido, de forma similar a lo que establece el artículo 10 de la Directiva (UE) 2016/680, la parte 3 de la DPA de 2018 dispone garantías más estrictas para el denominado «tratamiento sensible» (67).

(39) Según la sección 35, apartado 3, de la DPA de 1998, las autoridades competentes pueden tratar datos sensibles con fines de aplicación de la ley únicamente en dos casos: 1) el interesado ha dado su consentimiento para el tratamiento con fines de aplicación de la ley y, en el momento en que se lleva a cabo el tratamiento, el responsable del tratamiento dispone de un documento reglamentario apropiado (68); o 2) el tratamiento es estrictamente necesario para el fin de aplicación de la ley de que se trate y el tratamiento cumple, al menos, una de las condiciones establecidas en el anexo 8 de la DPA de 2018 y, en el momento en que se lleva a cabo el tratamiento, el responsable del tratamiento dispone de un documento reglamentario apropiado (69).

(40) Por lo que respecta al primer caso, y como se explica en el considerando 38, la confianza en el consentimiento no se considera pertinente en el tipo de situación de transferencia sujeta a la presente Decisión (70).

(41) Cuando el tratamiento de datos sensibles no se basa en el consentimiento, puede realizarse haciendo uso de una de las condiciones enumeradas en el anexo 8 de la DPA de 2018. Estas condiciones se refieren al tratamiento necesario para fines estatutarios; la administración de la justicia; la protección de los intereses vitales del interesado o de otra persona; la protección de los menores y de las personas en situación de riesgo; reclamaciones; actos judiciales; prevención del fraude; archivo; cuando el interesado ha hecho manifiestamente públicos los datos personales. Aparte del caso en el que los datos se hacen manifiestamente públicos, todas las condiciones previstas en el anexo 8 están sujetas a la evaluación de la «necesidad estricta». Como aclaró la ICO, «necesidad estricta en este contexto significa que el tratamiento tiene que relacionarse con una necesidad social apremiante, y no se puede lograr razonablemente a través de medios menos intrusivos» (71). Además, algunas de las condiciones están también sujetas a restricciones adicionales. Por ejemplo, para poder recurrir a la condición de «fines estatutarios» y a la «condición de salvaguardia» (párrafos primero y cuarto, del anexo 8, de la DPA de 2018) es necesario cumplir una evaluación adicional de interés público esencial. Además, en relación con las condiciones relativas a la protección de los menores (párrafo cuarto, del anexo 8), el interesado también debe tener una edad específica y ser considerado en riesgo. Por otro lado, el responsable del tratamiento solo puede aplicar la condición establecida en el párrafo cuarto, del anexo 8, de la DPA en determinadas circunstancias (72). Asimismo, existen restricciones para las condiciones de «actos judiciales» y «prevención del fraude» (párrafos séptimo y octavo del anexo 8, respectivamente). Ambas condiciones aplican exclusivamente a responsables del tratamiento específicos. En el caso de los actos judiciales, solo un tribunal u otra autoridad judicial puede emplear dicha condición, y en el caso de la prevención del fraude tan solo los responsables del tratamiento que son organizaciones de lucha contra el fraude pueden recurrir a esta condición.

(42) Por último, cuando el tratamiento se basa en una de las condiciones enumeradas en el anexo 8 de la DPA de 2018 y de conformidad, respectivamente, con la sección 42 de la DPA de 2018, debe existir un «documento reglamentario apropiado», que explique los procedimientos del responsable del tratamiento para garantizar el cumplimiento de los principios de protección de datos y las políticas del responsable del tratamiento en lo que respecta a la conservación y la supresión de datos personales, y se aplican las obligaciones de registro ampliadas.

2.4.2. Limitación de la finalidad

(43) Los datos personales deben tratarse con una finalidad específica y, posteriormente, solo deben utilizarse en la medida en que ello no sea incompatible con la finalidad del tratamiento. La sección 36 de la DPA de 2018 garantiza este principio de la protección de datos. Esta disposición, de manera similar al artículo 4, apartado 1, letra b), de la Directiva (UE) 2016/680, requiere que a) el fin de aplicación de la ley para el que se recogen los datos personales debe ser determinado, explícito y legítimo, y b) los datos personales así recogidos no deben tratarse de una forma incompatible con el fin para el que se recogieron.

(44) Cuando las autoridades competentes traten datos con fines de aplicación de la ley, esto puede incluir el archivo, la investigación científica o histórica y fines estadísticos (73). En estos casos, la DPA de 2018 también aclara que no está permitido el archivo (o el tratamiento con fines de investigación científica o histórica o fines estadísticos) cuando se lleva a cabo de acuerdo con las decisiones adoptadas en relación con un interesado en particular o si es probable que le cause daño o sufrimiento (74).

2.4.3. Exactitud y minimización de los datos

(45) Los datos deben ser exactos y, en caso necesario, se mantendrán actualizados. También deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados. De manera similar al artículo 4, apartado 1, letras c), d) y e), de la Directiva (UE) 2016/680, estos principios están garantizados en las secciones 37 y 38 de la DPA de 2018. Se habrán de adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilación (75) los datos personales que sean inexactos (76) con respecto a los fines de aplicación de la ley para los que son tratados (77), y para garantizar que los datos personales que sean inexactos, incompletos o que no estén actualizados no se transmitan ni se pongan a disposición de terceros para ninguno de los fines de aplicación de la ley (78).

(46) Asimismo, de manera similar al artículo 7 de la Directiva (UE) 2016/680, el régimen de protección de datos del Reino Unido especifica que los datos personales basados en hechos deben, en la medida de lo posible, distinguirse de los datos personales basados en apreciaciones personales (79). Cuando sea pertinente, y en la medida de lo posible, debe establecerse una clara distinción entre los datos personales relacionados con las diferentes categorías de interesados, como sospechosos, personas condenadas por una infracción penal, víctimas de una infracción penal y testigos (80).

2.4.4. Limitación de la conservación

(47) A tenor del artículo 5 de la Directiva (UE) 2016/680, los datos no deben, en principio, conservarse más tiempo del que sea necesario para los fines con los que se tratan. En virtud de la sección 39 de la DPA de 2018, y de manera similar al artículo 5 de la Directiva (UE) 2016/680, está prohibido mantener los datos personales tratados para cualquiera de los fines de aplicación de la ley durante más tiempo del necesario en relación con el fin con el que se tratan. El marco jurídico del Reino Unido requiere que se establezcan límites de tiempo apropiados para la revisión periódica de la necesidad de conservación continuada de datos personales para cualquiera de los fines de aplicación de la ley. En la legislación pertinente y en las orientaciones que rigen las competencias y el funcionamiento de las autoridades policiales se han establecido normas adicionales sobre prácticas relacionadas con la conservación de los datos personales y los plazos aplicables a dicha conservación. Por ejemplo, en Inglaterra y Gales el Código de práctica MoPI del College of Policing, junto con la Guía APP sobre la gestión de la información policial, proporciona un marco para garantizar un proceso consistente de conservación, revisión y eliminación basado en el riesgo para la gestión de la información policial operativa (81). Este marco establece expectativas claras en todo el servicio en cuanto a cómo debe crearse, compartirse, utilizarse y gestionarse la información dentro y entre cada una de las fuerzas policiales y con otros organismos (82). Se espera que las autoridades policiales respeten el código de práctica, cuyo cumplimiento verifica el Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

(48) El servicio de policía de Irlanda del Norte no está obligado por ley a seguir el Código de práctica MoPI. Sin embargo, el marco MoPI que se adaptó en 2011 se complementa con un manual del servicio de policía de Irlanda del Norte (84), que establece políticas y procedimientos sobre la forma en que el Código de práctica MoPI se aplica en Irlanda del Norte.

(49) En Escocia, las fuerzas policiales se apoyan en el Record Retention Standard Operating Procedure (procedimiento operativo estándar de retención de registros) (85), que respalda la política de gestión de los registros del servicio de policía de Escocia (86). Dicho procedimiento operativo establece normas específicas de conservación para los registros en poder de la policía de Escocia.

(50) Además del requisito general de revisar los registros que aplica en todo el Reino Unido, puede encontrarse información específica en normas localizadas. Algunos ejemplos de ello son, en relación con Inglaterra y Gales, la Police and Criminal Evidence Act, en su versión modificada por la Protection of Freedom Act (Ley de protección de la libertad) de 2012, que prevé la conservación de huellas dactilares y perfiles de ADN, así como un régimen específico para las personas no condenadas (87). La Protection of Freedom Act creó también el cargo de Commissioner for the Retention and Use of Biometric Material («Biometrics Commissioner») (88). Por su parte, en la revisión sobre imágenes protegidas de 2017 se establecen normas específicas sobre las imágenes protegidas (89). En lo que respecto a Escocia, la Criminal Procedure (Scotland) Act de 1995 establece las normas para la obtención y la conservación de huellas dactilares y muestras biológicas (90). Al igual que ocurre en Inglaterra y Gales, la legislación regula la conservación de datos biométricos en distintos casos (91).

2.4.5. Seguridad de los datos

(51) Los datos personales deben tratarse de modo que se garantice su seguridad, incluida la protección contra todo tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidentales. A tal fin, las autoridades públicas deben adoptar las medidas técnicas u organizativas apropiadas para proteger los datos personales frente a posibles amenazas. Estas medidas deben evaluarse teniendo en cuenta los últimos avances y los costes conexos.

(52) Estos principios se reflejan en la sección 40 de la DPA de 2018, en virtud de la cual, de manera similar al artículo 4, apartado 1, letra f), de la Directiva (UE) 2016/680, los datos personales tratados para cualquiera de los fines de aplicación de la ley deben tratarse de tal manera que se garantice una seguridad adecuada de los mismos mediante la aplicación de medidas técnicas u organizativas adecuadas. Esto incluye proteger los datos contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidentales (92). La sección 66 de la DPA de 2018 especifica, además, que todo responsable y todo encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado frente a los riesgos que derivan del tratamiento de los datos personales. De acuerdo con las notas explicativas, el responsable del tratamiento debe valorar los riesgos y aplicar medidas de seguridad adecuadas sobre la base de su evaluación; por ejemplo, cifrado o niveles específicos de habilitación de seguridad para el personal que trata los datos (93). La evaluación también debe tener en cuenta, por ejemplo, la naturaleza de los datos tratados y otros factores o circunstancias pertinentes que puedan afectar a la seguridad del tratamiento.

(53) El régimen que rige el cumplimiento de los principios de seguridad de los datos es muy similar al que establecen los artículos 29 a 31 de la Directiva (UE) 2016/680. En particular, en caso de violación de la seguridad los datos personales en relación con los datos personales que son competencia del responsable del tratamiento, de acuerdo con la sección 67, apartado 1, de la DPA de 2018, el responsable debe, sin dilación indebida y siempre que sea posible, en el plazo de las setenta y dos horas posteriores al conocimiento de la violación, notificar la violación de la seguridad de los datos personales a la ICO (94). La obligación de notificación no se aplica cuando no es probable que la violación de la seguridad de los datos personales dé lugar a un riesgo para los derechos y libertades de las personas (95). El responsable del tratamiento debe documentar los hechos relacionados con cualquier violación de la seguridad de los datos personales, sus efectos y las medidas correctivas emprendidas de manera que permita a la ICO verificar el cumplimiento de la DPA (96). Si un encargado del tratamiento tiene conocimiento de una violación de la seguridad de los datos personales, debe notificarlo al responsable del tratamiento sin dilación indebida (97).

(54) En virtud de la sección 68, apartado 1, de la DPA de 2018, si es probable que una violación de la seguridad de los datos personales represente un riesgo alto para los derechos y libertades de las personas, entonces el responsable del tratamiento debe informar al interesado de la violación de la seguridad sin dilación indebida (98). La notificación debe incluir la misma información que la notificación destinada a la ICO descrita en el considerando 53. Esta obligación no aplica si el responsable del tratamiento ha aplicado las medidas de protección técnicas y organizativas adecuadas que se aplicaron a los datos personales afectados por la violación de la seguridad. Tampoco aplica si el responsable del tratamiento ha adoptado medidas ulteriores que garanticen que ya no existe la probabilidad de que se confirme el alto riesgo para los derechos y libertades del interesado. Por último, el responsable del tratamiento no está obligado a notificar al interesado si hacerlo implica un esfuerzo desproporcionado (99). En este caso, debe ponerse la información a disposición del interesado de otra forma igualmente efectiva, por ejemplo, por medio de una comunicación pública (100). Si el responsable del tratamiento no ha informado al interesado de la violación de la seguridad, la ICO, tras haber recibido la notificación pertinente con arreglo a la sección 67 de la DPA, y tras valorar la probabilidad de que la violación de la seguridad resulte en un riesgo alto, puede solicitar que el responsable del tratamiento informe al interesado acerca de la violación de la seguridad (101).

2.4.6. Transparencia

(55) Debe informarse a los interesados de las principales características del tratamiento de sus datos personales. Este principio de protección de datos se refleja en la sección 44 de la DPA de 2018 que, de manera similar al artículo 13 de la Directiva (UE) 2016/680, dispone que el responsable del tratamiento tiene la obligación general de poner a disposición del interesado información sobre el tratamiento de sus datos personales (ya sea poniendo la información a disposición del público de forma general o de cualquier otra forma) (102). La información que debe ponerse a disposición incluye a) la identidad y los datos de contacto del responsable del tratamiento; b) cuando corresponda, los datos de contacto del delegado de protección de datos; c) los fines para los cuales el responsable del tratamiento trata los datos personales; d) la existencia de los derechos del interesado para solicitar del responsable del tratamiento el acceso a sus datos personales, así como su rectificación o supresión de los mismos y la limitación de su tratamiento; y e) la existencia del derecho a presentar una reclamación ante la ICO y los detalles de contacto de la oficina (103).

(56) El responsable del tratamiento debe también, en casos específicos a efectos de permitir el ejercicio de los derechos del interesado con arreglo a la DPA de 2018 (por ejemplo, cuando los datos personales que se están tratando se recogieron sin el conocimiento del interesado), proporcionar al interesado información sobre a) el fundamento jurídico para el tratamiento; b) el plazo durante el cual se conservarán los datos personales o, cuando esto no sea posible, sobre los criterios utilizados para determinar ese plazo; c) cuando corresponda, las categorías de destinatarios de los datos personales, en particular en terceros países u organizaciones internacionales; d) la información que sea necesaria para permitir el ejercicio de los derechos del interesado con arreglo a la parte 3 de la DPA de 2018 (104).

2.4.7. Derechos individuales

(57) Deben otorgarse al interesado una serie de derechos protegidos jurídicamente. La parte 3, capítulo 3, de la DPA de 2018 concede a las personas los derechos de acceso, rectificación, supresión y restricción (105), que son equiparables a los previstos en el capítulo 3 de la Directiva (UE) 2016/680.

(58) En la sección 45 de la DPA de 2018 se establece el derecho de acceso. En primer lugar, una persona tiene derecho a obtener una confirmación por parte del responsable del tratamiento de si sus datos personales están siendo tratados o no (106). En segundo lugar, en caso de que los datos personales estén siendo tratados, el interesado tiene derecho a acceder a los mismos y a recibir la siguiente información sobre el tratamiento: a) los fines y las bases jurídicas del tratamiento; b) las categorías de datos de que se trate; c) el destinatario al que se han comunicado los datos; d) el plazo durante el cual se van a conservar los datos personales; e) la existencia del derecho del interesado a la rectificación y la supresión de los datos personales; f) el derecho a presentar una reclamación; y g) toda información sobre el origen de los datos personales de que se trate (107).

(59) De conformidad con la sección 46 de la DPA de 2018, el interesado tiene derecho a solicitar al responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. El responsable del tratamiento debe rectificar (o, cuando los datos sean inexactos porque resulten incompletos, completar) los datos sin dilación indebida. Si los datos personales deben conservarse a efectos probatorios, el responsable del tratamiento debe (en lugar de rectificarlos) limitar su tratamiento (108).

(60) La sección 47 de la DPA de 2018 otorga a las personas el derecho a la supresión y restricción del tratamiento. El responsable del tratamiento debe (109) suprimir los datos personales sin dilación indebida cuando el tratamiento de los mismos infrinja cualquiera de los principios de protección de datos, los fundamentos jurídicos del tratamiento o las garantías relacionadas con el archivo y el tratamiento sensible. Asimismo, el responsable del tratamiento debe suprimir los datos si tiene la obligación jurídica de hacerlo. No obstante, si los datos personales deben mantenerse a efectos probatorios, el responsable del tratamiento debe (en lugar de eliminarlos) limitar su tratamiento (110). El responsable del tratamiento debe restringir el tratamiento de los datos personales si el interesado cuestiona la exactitud de los mismos, pero no es posible determinar si son exactos o no (111).

(61) Cuando un interesado solicite la rectificación o supresión de datos personales o la restricción de su tratamiento, el responsable del tratamiento debe informar al interesado por escrito de si se ha cursado la solicitud y, en caso de haberse denegado, debe informar al interesado de los motivos de la denegación, así como de las vías de reparación disponibles (el derecho del interesado a presentar una solicitud ante la ICO para investigar si la restricción se ha aplicado de forma lícita, el derecho a presentar una reclamación ante la ICO y el derecho a solicitar una orden de cumplimiento ante un tribunal) (112).

(62) Cuando el responsable del tratamiento rectifique los datos personales recibidos de otra autoridad competente, debe notificarlo a dicha autoridad (113). Cuando el responsable del tratamiento rectifique, suprima o restrinja el tratamiento de datos personales que haya comunicado, debe notificarlo a los destinatarios y estos, de igual manera, deben rectificar, suprimir o restringir el tratamiento de los datos personales (en la medida en que tengan la responsabilidad de hacerlo) (114).

(63) Además, el interesado tiene derecho a que el responsable del tratamiento le informe sin dilación indebida sobre una violación de la seguridad de los datos, cuando haya probabilidades de que entrañe un riesgo alto para los derechos y las libertades de las personas (115).

(64) En relación con los citados derechos del interesado, y de manera similar a lo que dispone el artículo 12 de la Directiva (UE) 2016/680, el responsable del tratamiento tiene la obligación de garantizar que toda información proporcionada al interesado se entregue de una forma concisa, inteligible y de fácil acceso (116) y, en la medida de lo posible, debe proporcionarse en el mismo formato que la solicitud (117). El responsable del tratamiento debe cumplir con la solicitud del interesado sin dilación indebida o, en cualquier caso, antes, en principio, del final del plazo de un mes a partir del momento de la solicitud (118). Cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de una persona, puede solicitar información adicional y retrasar la tramitación de la solicitud hasta que se determine la identidad de la persona en cuestión. El responsable del tratamiento puede solicitar una tasa razonable o negarse a actuar cuando considere que la solicitud es manifiestamente infundada (119). La ICO ha proporcionado orientación sobre cuándo se considera que una solicitud es manifiestamente infundada o excesiva y cuándo se puede solicitar una tarifa (120).

(65) Además, con arreglo a la sección 53, apartado 4, de la DPA de 2018, el secretario de Estado puede especificar, mediante regulaciones, la cuantía máxima de una tasa.

2.4.7.1. Restricciones de los derechos del interesado y obligaciones de transparencia

(66) Una autoridad competente puede, en determinadas circunstancias, restringir ciertos derechos del interesado: el derecho de acceso (121), el derecho a ser informado (122), a ser notificado acerca de una violación de la seguridad de los datos personales (123) y a ser informado del motivo de la denegación de una solicitud de rectificación o supresión (124). De forma similar a lo que estipula el capítulo III de la Directiva (UE) 2016/680, la autoridad competente solo puede aplicar la restricción cuando sea, teniendo en cuenta los derechos fundamentales y los intereses legítimos del interesado, necesaria y proporcionada para: a) evitar la obstrucción de indagaciones, investigaciones o procedimientos oficiales o judiciales; b) no comprometer la prevención, detección, investigación o enjuiciamiento de infracciones penales o la ejecución de sanciones penales; c) proteger la seguridad pública; d) proteger la seguridad nacional; e) proteger los derechos y libertades de otras personas.

(67) La ICO ha proporcionado orientación sobre la aplicación de esas restricciones. De acuerdo con esta orientación, los responsables del tratamiento deben realizar un análisis caso por caso para compensar los derechos del individuo con el daño que la comunicación causaría. En concreto, deben justificar cualquier restricción que se haya aplicado como necesaria y proporcionada, y solo pueden limitar lo que se proporciona si esto pudiera perjudicar los fines antes mencionados (125).

(68) Hay también otra serie de orientaciones emitidas por las autoridades competentes que brindan información detallada sobre todos los aspectos de la legislación de protección de datos, incluida la aplicación de las restricciones de los derechos de los interesados (126). Por ejemplo, por lo que respecta a la sección 45, apartado 4, el manual de protección de datos del National Police Chiefs Council (Consejo de Jefes de Policía Nacional) afirma: «Es importante señalar que las restricciones solo pueden señalarse en la medida en que sea necesario y tan solo durante el tiempo necesario. En consecuencia, no está permitida una aplicación general de la restricción a todos los datos personales de un solicitante o la aplicación permanente de la restricción. En relación con este último punto, a menudo se da el caso de que, en un primer momento, es necesario proteger de su comunicación los datos personales recogidos sin el conocimiento de un interesado que es sospechoso en una investigación, a fin de evitar perjudicar la investigación mientras está en curso, pero, posteriormente, la comunicación no encerraría ningún daño si los datos personales se hubieran comunicado a la persona durante una entrevista. Las fuerzas policiales pueden adoptar procesos que garanticen que la aplicación de estas restricciones sea solo en la medida requerida y solo durante el tiempo necesario» (127). Esta guía ofrece también ejemplos de cuándo es probable que se aplique cada una de las restricciones (128).

(69) Además, en relación con la posibilidad de restringir cualquiera de los derechos mencionados más arriba en aras de la protección de la «seguridad nacional», un responsable del tratamiento puede solicitar un certificado firmado por un ministro del Gabinete o por el fiscal general (o el abogado general de Escocia ) que certifique que una restricción de tales derechos constituye una medida necesaria y proporcionada para la protección de la seguridad nacional (129). El Gobierno del Reino Unido ha emitido una guía sobre los certificados de seguridad nacional, con arreglo a la DPA de 2018, que señala en especial que cualquier limitación de los derechos de los interesados para salvaguardar la seguridad nacional debe ser proporcionada y necesaria (130) (para más información sobre los certificados de seguridad nacional, consulte los considerandos 131 a 134).

(70) Además, cuando se aplique una restricción a los derechos de un interesado, la autoridad competente debe informar al interesado sin dilación indebida de que sus derechos se han restringido, de los motivos de la restricción y de las vías de reparación disponibles, salvo que proporcionar dicha información socave el motivo de la aplicación de la restricción (131). Como garantía adicional contra el uso indebido de las restricciones, el responsable del tratamiento debe registrar los motivos de la restricción de la información y poner el registro a disposición de la ICO, si lo solicita (132).

(71) Si el responsable del tratamiento se niega a proporcionar información adicional en aras de la transparencia, o el acceso a la misma, o rechaza una solicitud de rectificación, supresión o limitación del tratamiento, el individuo en cuestión puede solicitar a la ICO que investigue si el responsable del tratamiento ha empleado la restricción de manera lícita (133). El individuo en cuestión puede también presentar una reclamación ante la ICO o solicitar a un tribunal que ordene al responsable del tratamiento que atienda la solicitud (134).

2.4.7.2. Decisiones automatizadas

(72) Las secciones 49 y 50 de la DPA de 2018 cubren, respectivamente, los derechos relacionados con las decisiones automatizadas y las garantías que deben aplicarse (135). De manera similar al artículo 11 de la Directiva (UE) 2016/680, el responsable del tratamiento solo puede tomar una decisión significativa basada únicamente en el tratamiento automatizado de datos personales si así lo requiere o autoriza la ley (136). Una decisión se considera significativa si es probable que tenga un efecto jurídico adverso sobre el interesado o afecte significativamente al interesado (137).

(73) Cuando el responsable del tratamiento esté obligado o autorizado por ley a tomar una decisión significativa, la sección 50 de la DPA de 2018 establece las garantías que se aplicarán a dicha decisión (que se define como «decisión significativa admisible»). Tan pronto como sea posible, el responsable del tratamiento debe informar al interesado de la toma de la decisión. El interesado tiene derecho entonces a solicitar, en el plazo de un mes, que el responsable del tratamiento reconsidere la decisión o tome una nueva decisión que no se esté basada únicamente en el tratamiento automatizado. El responsable del tratamiento deberá valorar la solicitud e informar al interesado del resultado de su valoración. La DPA de 2018 otorga al secretario de Estado el poder de adoptar regulaciones para garantías adicionales (138). Hasta la fecha no se ha adoptado ninguna regulación de este tipo.

2.4.8. Transferencias ulteriores

(74) El nivel de protección de los datos personales transferidos desde una autoridad encargada de garantizar el cumplimiento de la ley de un Estado miembro a una autoridad encargada de garantizar el cumplimiento de la ley del Reino Unido no debe verse comprometido por la transferencia ulterior de dichos datos a destinatarios que se encuentran en un tercer país. Estas «transferencias ulteriores» que constituyen, desde el punto de vista de la autoridad encargada de garantizar el cumplimiento de la ley del Reino Unido, transferencias internacionales desde el Reino Unido, solo deberían estar permitidas cuando el destinatario ulterior fuera del Reino Unido esté, por su parte, sujeto a normas que aseguren un nivel de protección similar al garantizado en el ordenamiento jurídico del Reino Unido.

(75) La parte 3, capítulo 5, de la DPA de 2018 (139) regula el régimen del Reino Unido relativo a las transferencias internacionales y refleja el enfoque adoptado en el capítulo V de la Directiva (UE) 2016/680. En particular, para que una autoridad competente pueda transferir datos personales a un tercer país debe cumplir tres condiciones: a) la transferencia debe ser necesaria para un fin de aplicación de la ley; b) la transferencia debe basarse en: i) una norma en materia de adecuación en relación con un tercer país, ii) si no se basa en una norma en materia de adecuación, debe hacerlo entonces en la existencia de garantías adecuadas, o iii) si no se basa en una norma en materia de adecuación ni en garantías adecuadas, debe basarse en circunstancias especiales; y c) el destinatario de la transferencia debe ser: i) una autoridad pertinente (es decir, el equivalente a una autoridad competente) en un tercer país; ii) una «organización internacional pertinente», por ejemplo un organismo internacional que lleve a cabo funciones correspondientes a cualquiera de los fines de aplicación de la ley; o iii) una persona que no sea una autoridad pertinente, pero solo en el caso de que la transferencia sea estrictamente necesaria para la consecución de uno de los fines de aplicación de la ley; no hay derechos y libertades fundamentales del interesado en cuestión que primen sobre el interés público que exige la transferencia; una transferencia de datos personales a una autoridad pertinente de un tercer país sería ineficaz o inapropiada; el destinatario está informado de los fines para los que pueden tratarse los datos (140).

(76) Las normas en materia de adecuación con respecto a un tercer país, un territorio o un sector dentro de un tercer país, una organización internacional, o una descripción (141) de dicho país, territorio, sector u organización las adopta el secretario de Estado. En cuanto al estándar que debe cumplirse, el secretario de Estado debe evaluar si dicho territorio/sector/organización garantiza un nivel adecuado de protección de los datos personales. La sección 74A, apartado 4, de la DPA de 2018 especifica que, para ello, el secretario de Estado debe tener en consideración una serie de elementos que reflejen los enumerados en el artículo 36 de la Directiva (UE) 2016/680 (142). En este sentido, la parte 3 de la DPA de 2018 constituye, desde el final del período transitorio, «legislación nacional derivada de la UE» que, como se explicó, debían interpretar los tribunales del Reino Unido de acuerdo con la jurisprudencia pertinente del Tribunal de Justicia de la Unión Europea que data de antes de la salida del Reino Unido de la Unión y los principios generales del Derecho de la Unión, de modo que tuviera efecto de manera inmediata antes del final del período transitorio. Esto incluye la norma del nivel de protección «esencialmente equivalente» que, por lo tanto, se aplicará a las evaluaciones de adecuación realizadas por las autoridades del Reino Unido.

(77) Por lo que respecta al procedimiento, las normas están sujetas a los requisitos de procedimiento «generales» previstos en la sección 182 de la DPA de 2018. En virtud de este procedimiento, el secretario de Estado debe consultar a la ICO al proponer la elaboración de futuras normas en materia de adecuación del Reino Unido (143). Una vez que el secretario de Estado ha adoptado las normas, estas se presentan ante el Parlamento y están sujetas al procedimiento de «resolución negativa», en virtud del cual ambas cámaras del Parlamento pueden examinarlas y tienen la capacidad de aprobar una moción que anule las normas en un plazo de cuarenta días (144).

(78) De conformidad con la sección 74B, apartado 1, de la DPA de 2018, las normas en materia de adecuación deben revisarse a intervalos de no más de cuatro años y el secretario de Estado debe, de manera continua, supervisar las novedades en terceros países y organizaciones internacionales que podrían afectar las decisiones para adoptar normas en materia de adecuación, o para modificar o derogar tales normas. Cuando el secretario de Estado tenga conocimiento de que un país u organización ya no garantiza un nivel adecuado de protección de los datos personales debe, en la medida necesaria, modificar o derogar las normas y celebrar consultas con el tercer país u organización internacional en cuestión para remediar la falta de un nivel de protección adecuado.

(79) De forma similar a lo que establece el artículo 37 de la Directiva (UE) 2016/680, en ausencia de una norma de adecuación, es posible realizar una transferencia de datos personales en el contexto de la aplicación de la ley cuando se han establecido las garantías adecuadas. Dichas garantías se aseguran mediante a) un instrumento jurídicamente vinculante que contenga las garantías adecuadas para la protección de los datos personales; o b) una evaluación por parte del responsable del tratamiento que, una vez valoradas todas las circunstancias que concurren en la transferencia, concluya que existen garantías apropiadas con respecto a la protección de los datos (145). Además, cuando las transferencias se basan en garantías adecuadas, la DPA de 2018 establece que, además de la función normal de supervisión de la ICO, las autoridades competentes deben ofrecer información específica acerca de las transferencias a la ICO (146).

(80) Si una transferencia no se basa en una norma en materia de adecuación o en garantías adecuadas, entonces solo puede realizarse en determinas circunstancias específicas, denominadas «circunstancias especiales» (147). Este es el caso cuando la transferencia es necesaria: a) para proteger los intereses vitales del interesado o de otra persona; b) para salvaguardar intereses legítimos del interesado; c) para prevenir una amenaza inminente y grave para la seguridad pública de un tercer país; d) en un caso concreto a efectos de aplicación de la ley; o e) en un caso concreto con fines jurídicos (como en relación con procedimientos legales o para obtener asesoramiento jurídico) (148). Cabe señalar que los puntos d) y e) no se aplican si los derechos y libertades del interesado prevalecen sobre el interés público en la transferencia (149). Este conjunto de circunstancias corresponde a las situaciones y condiciones específicas que se califican como «excepciones» con arreglo al artículo 38 de la Directiva (UE) 2016/680.

(81) En estas circunstancias, debe documentarse la fecha, la hora y la justificación de la transferencia, así como el nombre y cualquier otro tipo de información pertinente sobre el destinatario y una descripción de los datos personales transferidos, y esta documentación se pondrá a disposición, previa solicitud, de la ICO (150).

(82) La sección 78 de la DPA de 2018 regula el escenario de las «transferencias ulteriores», es decir, cuando los datos personales que se han transferido del Reino Unido a un tercer país se transfieren posteriormente a otro tercer país o una organización internacional. De conformidad con la sección 78 apartado 1, el responsable del tratamiento del Reino Unido que realiza la transferencia debe establecer como condición de la misma que los datos no se transfieran a un tercer país sin la autorización del responsable del tratamiento que transfiere los datos. Además, de acuerdo con el artículo 78, apartado 3, y de forma similar a lo dispuesto en el artículo 35, apartado 1, letra e), de la Directiva (UE) 2016/680, en caso de que se requiera dicha autorización, se aplican una serie de requisitos sustantivos. En concreto, a la hora de decidir si autoriza o no una transferencia, una autoridad competente debe asegurarse de que la transferencia ulterior sea necesaria a efectos de aplicación de la ley y debe considerar, entre otros factores, a) la gravedad de las circunstancias que dieron lugar a la solicitud de autorización, b) el fin para el que se transfirieron originalmente los datos personales, y c) las normas para la protección de datos personales que se aplican en el tercer país u organización internacional al que se transferirían los datos personales.

(83) Además, cuando los datos objeto de una transferencia ulteriormente desde el Reino Unido se transfirieron originalmente desde la Unión Europea, se aplican garantías adicionales.

(84) En primer lugar, la sección 73, apartado 1, letra b), de la DPA de 2018 establece, de manera similar a lo previsto en el artículo 35, apartado 1, letra c), de la Directiva (UE) 2016/680, que en el caso de que los datos personales hayan sido transmitidos originalmente o puestos a disposición del responsable del tratamiento u otra autoridad competente por parte de un Estado miembro, se entiende que dicho Estado miembro, o cualquier persona con sede en el mismo que sea una autoridad competente a efectos de la Directiva (UE) 2016/680, ha autorizado la transferencia de acuerdo con la ley del Estado miembro.

(85) Sin embargo, de manera similar a lo que establece el artículo 35, apartado 2, de la Directiva (UE) 2016/680, dicha autorización no es necesaria cuando a) la transferencia es necesaria para prevenir una amenaza inminente y grave para la seguridad pública de un Estado miembro o un tercer país o para los intereses fundamentales de un Estado miembro, y b) la autorización previa no puede conseguirse a su debido tiempo. En este caso, debe informarse sin dilación a la autoridad del Estado miembro en cuestión que habría sido responsable de decidir si se autoriza la transferencia (151).

(86) En segundo lugar, en el caso de que datos transferidos originalmente desde la Unión Europea al Reino Unido, sean transferidos por parte del Reino Unido a un tercer país que posteriormente los transferirá a otro tercer país, se aplica el mismo planteamiento. En este caso, de conformidad con la sección 78, apartado 4, de la DPA de 2018, la autoridad competente del Reino Unido no puede autorizar la última transferencia en virtud de la sección 78, apartado 1, de dicha Ley salvo que el «Estado miembro [que haya transferido originalmente los datos en cuestión], o cualquier persona con sede en el mismo que sea una autoridad competente a efectos de la Directiva sobre protección de datos en el ámbito penal haya autorizado la transferencia de conformidad con la legislación de dicho Estado miembro». Estas garantías son importantes ya que permiten a las autoridades de los Estados miembros asegurar la continuidad de la protección, de conformidad con la legislación de la UE en materia de protección de datos, a lo largo de toda la «cadena de transferencia».

(87) Este nuevo marco para las transferencias internacionales entró en vigor al final del período transitorio (152). Sin embargo, los párrafos décimo a decimosegundo, del anexo 21, de la DPA de 2018 (introducidos por la normativa DPPEC Regulations) establecen que, a partir del final del período transitorio, ciertas transferencias de datos personales deben tratarse como si estuvieran basadas en normas en materia de adecuación. Estas transferencias incluyen transferencias a un Estado miembro, los países de la AELC y terceros países que fueron objeto de una decisión de adecuación de la UE al final del período transitorio, así como al territorio de Gibraltar. En consecuencia, las transferencias a estos países pueden seguir realizándose como antes de la retirada del Reino Unido de la Unión. Al final del período transitorio, el secretario de Estado tuvo que iniciar una revisión de estas decisiones de adecuación para un período de cuatro años, es decir, hasta finales de diciembre de 2024. Según la aclaración proporcionada por las autoridades del Reino Unido, a pesar de que el secretario de Estado debe llevar a cabo esta revisión para finales de diciembre de 2024, las disposiciones transitorias no incluyen una disposición de caducidad y las disposiciones transitorias pertinentes no perderán su vigencia automáticamente en caso de que no se complete la revisión para finales de diciembre de 2024.

2.4.9. Rendición de cuentas

(88) De conformidad con el principio de responsabilidad, las autoridades públicas que tratan datos están obligadas a adoptar las medidas técnicas y organizativas apropiadas para cumplir efectivamente con sus obligaciones en materia de protección de datos y deben poder demostrar el respeto de estas obligaciones, en particular ante la autoridad de control competente.

(89) Este principio se refleja en la sección 56 de la DPA de 2018, que introduce una obligación general de rendición de cuentas para el responsable del tratamiento, es decir, la obligación de aplicar medidas técnicas y organizativas adecuadas para garantizar, y poder demostrar, que el tratamiento de datos personales cumple con los requisitos de la parte 3 de la DPA de 2018. Las medidas aplicadas deben revisarse y actualizarse cuando sea necesario y, cuando sean proporcionadas en relación con el tratamiento, deben incluir políticas de protección de datos adecuadas.

(90) De conformidad con el capítulo V de la Directiva (UE) 2016/680, las secciones 55 a 71 de la DPA de 2018 prevén distintos mecanismos para garantizar la rendición de cuentas y permitir que los responsables y encargados del tratamiento demuestren su cumplimiento. En concreto, los responsables del tratamiento deben aplicar medidas de protección de datos desde el diseño y por defecto, esto es, para garantizar que la aplicación de los principios de protección de datos se realiza de manera efectiva, y deben mantener registros de todas las categorías de actividades de tratamiento que son competencia del responsable del tratamiento (incluida información sobre la identidad del responsable, los datos de contacto del delegado de protección de datos, los fines del tratamiento, las categorías de destinatarios de las comunicaciones y una descripción de las categorías de interesados y datos personales) y mantener estos registros a disposición de la ICO cuando los solicite. El responsable y el encargado del tratamiento también deben mantener registros de ciertas operaciones de tratamiento y ponerlas a disposición de la ICO (153). Los responsables del tratamiento, en concreto, también están obligados a colaborar con la ICO en el desempeño de sus tareas.

(91) La DPA de 2018 establece también requisitos adicionales para el tratamiento que suponga un alto riesgo para los derechos y libertades de las personas. Estos incluyen la obligación de realizar evaluaciones de impacto relativas a la protección de datos y de consultar a la ICO antes del tratamiento si la evaluación indica que dicho tratamiento podría suponer un alto riesgo para los derechos y libertades de las personas (en ausencia de medidas para mitigar el riesgo).

(92) Además, los responsables del tratamiento deben designar un delegado de protección de datos, salvo que el responsable del tratamiento sea un tribunal u otra autoridad judicial que actúe en el ejercicio de su función judicial (154). El responsable del tratamiento debe garantizar que el delegado de protección de datos está involucrado en todos los asuntos relacionados con la protección de los datos personales, que dispone de los recursos necesarios y del acceso a los datos personales y a las operaciones de tratamiento, y puede realizar sus tareas de forma independiente. En la sección 71 de la DPA de 2018 se establecen las funciones del delegado de protección de datos, en particular la provisión de información y asesoramiento, supervisar el cumplimiento, así como colaborar y actuar como punto de contacto para la ICO. Al llevar a cabo sus tareas, el delegado de protección de datos debe prestar la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento.

2.5. Supervisión y cumplimiento de las normas

2.5.1. Supervisión independiente

(93) Con el fin de garantizar un nivel adecuado de protección de los datos también en la práctica, debe existir una autoridad de control independiente encargada de supervisar las normas en materia de protección de datos y de hacerlas cumplir. Esta autoridad debe actuar con total independencia e imparcialidad en el desempeño de sus funciones y en el ejercicio de sus competencias.

(94) En el Reino Unido, la autoridad encargada de la supervisión y el cumplimiento de las normas del RGPD del Reino Unido y de la DPA de 2018 es el/la Information Commissioner (155). El/la Information Commissioner supervisa también el tratamiento de datos personales por parte de las autoridades competentes cuando entra dentro del ámbito de la parte 3 de la DPA de 2018 (156). El/la Information Commissioner es una persona jurídica unipersonal: una entidad jurídica independiente constituida por una sola persona física. El/la Information Commissioner cuenta con el apoyo de una oficina en su trabajo (la ICO). El 31 de marzo de 2020, la ICO contaba con 768 empleados fijos (157). El departamento que ampara al/a la Information Commissioner es el Departamento de Cultura, Medios de Comunicación y Deporte (158) del Reino Unido.

(95) La independencia del/de la Information Commissioner se establece explícitamente en el artículo 52 del RGPD del Reino Unido, que refleja los requisitos establecidos en el artículo 52, apartados 1 a 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (159). El/la Information Commissioner debe actuar con total independencia en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el RGPD del Reino Unido, ser ajeno/a a toda influencia externa, ya sea directa o indirecta, en relación con dichos poderes y funciones, y no solicitará ni admitirá ninguna instrucción. Asimismo, se abstendrá de cualquier acción que sea incompatible con sus funciones y no participará, mientras dure su mandato, en ninguna actividad profesional que sea incompatible, remunerada o no.

(96) En el anexo 12 de la DPA de 2018 se establecen las condiciones para el nombramiento y la destitución del/de la Information Commissioner. El nombramiento para el cargo de Information Commissioner lo realiza Su Majestad por recomendación del Gobierno, en virtud de una competencia justa y abierta. El/la candidato/a debe contar con las cualificaciones, capacidades y competencias necesarias. De conformidad con lo dispuesto en el Governance Code on Public Appointments (160), un grupo consultivo de evaluación elabora una lista de posibles candidatos. Antes de que el secretario de Estado del Departamento de Cultura, Medios de Comunicación y Deporte tome su decisión, el Select Committee of Parliament (comité selecto del Parlamento) correspondiente debe realizar un escrutinio previo al nombramiento. La posición del comité se hace pública (161).

(97) El/la Information Commissioner ocupa el cargo por un período de hasta siete años El/la Information Commissioner puede ser destituido/a de su cargo por decisión de Su Majestad en respuesta a un discurso de ambas cámaras del Parlamento (162). No es posible presentar una solicitud de destitución del/de la Information Commissioner ante ninguna de las cámaras del Parlamento, salvo que un secretario de Estado haya presentado un informe ante la Cámara de que se trate en el que se indique su convencimiento de que el/la Information Commissioner es culpable de una falta grave o de que ya no cumple las condiciones requeridas para el desempeño de las funciones del cargo (163).

(98) La financiación de la ICO procede de tres fuentes: i) tasas por protección de datos que los responsables del tratamiento pagan, y que establecen las regulaciones del secretario de Estado (164) [Data Protection (Charges and Information) Regulations] y ascienden al 85-90 % del presupuesto anual de la oficina (165); ii) subvención que puede conceder el Gobierno a la ICO y que se emplea principalmente para financiar los costes operativos de la oficina en lo que respecta a las funciones no relacionadas con la protección de datos (166); iii) tasas por servicios ofrecidos (167). Actualmente no se cobra ninguna de estas tasas.

(99) En el anexo 13 de la DPA de 2018 se establecen las funciones generales de la ICO en relación con el tratamiento de datos personales que entran en el ámbito de aplicación de la parte 3 de dicha Ley. Estas funciones incluyen el control de la aplicación de la parte 3 de la DPA de 2018; la promoción de la sensibilización del público; asesorar al Parlamento, al Gobierno y otras instituciones sobre medidas legislativas y administrativas; la promoción del conocimiento por parte de los responsables y encargados del tratamiento de sus obligaciones; proporcionar información a un interesado en relación con el ejercicio de sus derechos como interesado; y llevar a cabo investigaciones. A fin de mantener la independencia del poder judicial, la ICO no está autorizada para ejercer sus funciones en relación con el tratamiento de datos personales por parte de una persona en el ejercicio de su función judicial o de un tribunal que actúe en el ejercicio de su función judicial. Sin embargo, la supervisión del poder judicial está a cargo de organismos especializados, que se examinan a continuación.

2.5.1.1 Ejecución, incluidas sanciones

(100) La ICO tiene competencias generales de investigación, corrección, autorización y asesoramiento en relación con el tratamiento de datos personales que entra en el ámbito de aplicación de la parte 3 de la DPA de 2018. La ICO tiene poderes para notificar al responsable o al encargado del tratamiento de una supuesta infracción de la parte 3, para emitir avisos a un responsable o encargado del tratamiento de la probabilidad de que las operaciones de tratamiento previstas infrinjan las disposiciones de la parte 3 y para emitir sanciones a un responsable o encargado del tratamiento cuando las operaciones de tratamiento hayan infringido las disposiciones de la parte 3. Además, la ICO puede emitir, por iniciativa propia o previa solicitud, dictámenes destinados al Parlamento del Reino Unido, al Gobierno o a otras instituciones y organismos, así como al público, sobre cualquier cuestión relacionada con la protección de los datos personales (168).

(101) Asimismo, la ICO dispone de poderes para: — ordenar al responsable y al encargado del tratamiento (y, en determinadas circunstancias, a cualquier otra persona), que faciliten información necesaria mediante un aviso de información («aviso de información») (169); — llevar a cabo investigaciones y auditorías dando un aviso de evaluación, que puede requerir que el responsable o encargado del tratamiento permita a la ICO entrar en instalaciones específicas, inspeccionar o examinar documentos o equipos, entrevistar a las personas que tratan los datos personales en nombre del responsable, («aviso de evaluación») (170); — obtener el acceso a documentos de los responsables y encargados del tratamiento y acceder a sus instalaciones de acuerdo con la sección 154 de la DPA de 2018 («poderes de entrada e inspección»); — ejercer poderes correctivos, en especial mediante avisos y sanciones o emitiendo órdenes mediante avisos de ejecución, que requieren que los responsables/encargados del tratamiento adopten o se abstengan de adoptar medidas específicas («aviso de ejecución») (171); y — emitir multas administrativas en forma de aviso de sanción («aviso de sanción») (172).

(102) La política de acción reguladora de la ICO establece las circunstancias en virtud de las cuales emitirá un aviso de información, de evaluación, de ejecución o de sanción (173). Un aviso de ejecución puede imponer requisitos que la ICO considere apropiados con el fin de remediar la infracción. Un aviso de sanción requiere que la persona pague a la ICO la cuantía especificada en el aviso. Puede emitirse un aviso de sanción cuando se ha producido un incumplimiento de ciertas disposiciones de la DPA de 2018 (174) o puede darse a un responsable o encargado del tratamiento que no ha cumplido con un aviso de información, un aviso de evaluación o un aviso de ejecución.

(103) En específico, para determinar si debe entregarse un aviso de sanción a un responsable o encargado del tratamiento y determinar la cuantía de la sanción, la ICO debe tener en cuenta las cuestiones enumeradas en la sección 155, apartado 3, de la DPA de 2018, incluida la naturaleza y gravedad de la infracción, la intencionalidad o negligencia de la infracción, cualquier medida adoptado por el responsable o encargado del tratamiento para mitigar el daño sufrido por los interesados, el grado de responsabilidad del responsable o encargado del tratamiento (teniendo en cuenta las medidas técnicas y organizativas aplicadas por este último), cualquier violación previa pertinente por parte del responsable o encargado del tratamiento; y, por otro lado, las categorías de datos personales afectadas por la infracción y si la sanción sería efectiva, proporcionada y disuasoria.

(104) La cuantía máxima de la sanción que puede imponerse mediante un aviso de sanción es a) 17,5 millones de libras esterlinas cuando se trata de un incumplimiento de los principios de protección de datos (secciones 35 a 37, sección 38, apartado 1, sección 39, apartado 1, y sección 40 de la DPA de 2018), obligaciones de transparencia y derechos individuales (secciones 44, 45, 46, 47, 48, 49, 52 y 53 de la DPA de 2018), y principios para las transferencias internacionales de datos personales (secciones 73, 75, 76, 77 o 78 de la DPA de 2018); y b) 8,7 millones de libras esterlinas en los demás casos (175). En caso de incumplimiento de un aviso de información, de evaluación o de ejecución, la cuantía máxima de la sanción que puede imponerse mediante un aviso de sanción es la cuantía mayor de 17,5 millones de libras esterlinas.

(105) Según los últimos informes anuales (2018-2019 (176) y 2019-2020 (177)), la ICO ha llevado a cabo una serie de investigaciones relacionadas con el tratamiento de datos personales por parte de las autoridades de control de la aplicación del Derecho penal. Por ejemplo, la ICO realizó una investigación y publicó un dictamen en octubre de 2019 sobre el uso de la tecnología de reconocimiento facial en lugares públicos con fines de aplicación de la ley. La investigación se centró en especial en el uso de capacidades de reconocimiento facial en vivo por parte de la policía de Gales del Sur y la Policía Metropolitana de Londres. Además, la ICO investigó la «Gangs Matrix» (178) de la Policía Metropolitana de Londres y encontró una serie de infracciones graves de la ley de protección de datos que probablemente debilitarían la confianza del público en la matriz y en el uso de los datos.

(106) En noviembre de 2018, la ICO emitió un aviso de ejecución y, posteriormente, la Policía Metropolitana de Londres tomó las medidas necesarias para aumentar la seguridad y la responsabilidad, y para garantizar el uso de los datos de manera proporcional.

(107) Otro ejemplo de una acción de ejecución reciente es la multa de 325 000 libras esterlinas emitida por la ICO en mayo de 2018 contra el Crown Prosecution Service por la pérdida de múltiples DVD sin cifrar que contenían grabaciones de entrevistas policiales. Además, la ICO llevó a cabo investigaciones sobre temas más amplios; por ejemplo, en el primer semestre de 2020 sobre el uso de la extracción de teléfonos móviles con fines policiales y sobre el tratamiento de los datos de las víctimas por parte de la policía.

(108) Además de los poderes de ejecución de la ICO mencionados más arriba, ciertas violaciones de la legislación en materia de protección de datos constituyen infracciones y, por tanto, pueden estar sujetas a sanciones penales (sección 196 de la DPA de 2018). Esto aplica, por ejemplo, a la obtención o comunicación de los de datos personales sin el consentimiento del responsable del tratamiento y a facilitar la comunicación de datos personales a otra persona sin el consentimiento del responsable del tratamiento (179); a la desanonimización de información basada en datos personales anonimizados sin el consentimiento del responsable del tratamiento encargado de la anonimización de los datos personales (180); y a obstaculizar de forma intencionada a la ICO para ejercer sus poderes en relación con la inspección de datos personales con arreglo a las obligaciones internacionales (181), realizar declaraciones falsas en respuesta a un aviso de información o destruir información en relación con avisos de información y evaluación (182).

(109) La ICO tiene también el deber, con arreglo a la sección 139 de la DPA de 2018, de presentar ante cada cámara del Parlamento un informe general sobre el ejercicio de sus funciones en virtud de la DPA de 2018 (183).

2.5.2. Supervisión del poder judicial

(110) La supervisión del tratamiento de datos personales por parte de los tribunales y el poder judicial es doble. Cuando el titular de un cargo judicial o un tribunal no actúa en el ejercicio de su función judicial, la ICO se encarga de realiza la supervisión. Cuando el responsable del tratamiento actúa en el ejercicio de su función judicial, la ICO no puede ejercer sus funciones de supervisión (184) y, en consecuencia, organismos especiales realizan la supervisión. Esto refleja el enfoque adoptado en el artículo 32 de la Directiva (UE) 2016/680.

(111) En el segundo escenario, para los tribunales de Inglaterra y Gales y los Tribunales de Primera Instancia y Tribunales Superiores de Inglaterra y Gales, dicha supervisión la proporciona, en particular, el Judicial Data Protection Panel (Sala Jurisdiccional de Protección de Datos) (185). Además, el Lord Chief Justice y el Senior President of Tribunals emitieron un aviso de privacidad (186) que establece cómo los tribunales de Inglaterra y Gales tratan los datos personales para las funciones jurisdiccionales. Los poderes judiciales de Irlanda del Norte (187) y Escocia (188) emitieron una notificación similar.

(112) Además, en Irlanda del Norte, el Lord Chief Justice de Irlanda del Norte nombró a un juez del Tribunal Superior como Data Supervisory Judge (juez supervisor de datos) (189). Asimismo, se han emitido unas directrices para el poder judicial de Irlanda del Norte sobre qué hacer en caso de pérdida o posible pérdida de datos y el proceso para abordar cualquier problema que surja a raíz de ello (190).

(113) En Escocia, el Lord President designó un juez supervisor de datos (Data Supervisory Judge) para investigar cualquier queja por motivos de protección de datos. Esta medida se establece en las normas sobre reclamaciones judiciales, que reflejan las establecidas para Inglaterra y Gales (191).

(114) Por último, en el Tribunal Supremo del Reino Unido se designa a uno de los magistrados para supervisar la protección de datos.

2.5.3. Acciones administrativas y judiciales

(115) A fin de garantizar una protección adecuada y, en particular, el respeto de los derechos individuales, deben reconocerse al interesado acciones administrativas y judiciales efectivas, incluida la indemnización por daños y perjuicios.

(116) En primer lugar, todo interesado tiene derecho a presentar una reclamación ante la ICO si considera que, en relación con los datos personales que le conciernen, existe una infracción pertinente de la parte 3 de la DPA de 2018 (192). Tal como se describe en los considerandos 100 a 109, la ICO tiene el poder de evaluar la conformidad del responsable y el encargado del tratamiento con la DPA de 2018, de exigirles que adopten o se abstengan de adoptar las medidas necesarias en caso de incumplimiento, así como de imponer multas.

(117) En segundo lugar, la DPA de 2018 otorga el derecho a la tutela judicial contra la ICO. Si la ICO no «procesa» (193) una reclamación presentada por el interesado, el reclamante tiene acceso a la tutela judicial, ya que puede apelar ante un Tribunal de Primera Instancia (194) para que ordene a la ICO que adopte las medidas adecuadas para responder a la reclamación o para informar al reclamante acerca del progreso de la misma (195). Por otro lado, toda persona a la que la ICO entregue cualquiera de los avisos mencionados con anterioridad (aviso de información, de evaluación, de ejecución o de sanción) puede apelar ante un Tribunal de Primera Instancia. Si el tribunal considera que la decisión de la ICO no cumple con la ley o que la ICO debería haber ejercido su facultad de apreciación de manera diferente, entonces el tribunal debe permitir la apelación o sustituir cualquier otro aviso o decisión que la ICO pudiera haber dado o adoptado (196).

(118) En tercer lugar, todo individuo tiene derecho a emprender acciones judiciales contra los responsables y encargados del tratamiento directamente ante los tribunales, de conformidad con sección la 167 de la DPA de 2018. Si, en una solicitud por parte de un interesado, un tribunal está convencido de que ha habido una infracción de los derechos del interesado en virtud de la legislación en materia de protección de datos, el tribunal puede ordenar al responsable, en relación con el tratamiento (o un encargado que actúe en nombre de ese responsable del tratamiento), que tome las medidas especificadas en la resolución o que se abstenga de tomar las medidas especificadas en la misma. Además, con arreglo a la sección 169 de la DPA de 2018, toda persona que sufra un daño debido a una violación de un requisito de la legislación en materia de protección de datos (incluida la parte 3 de la DPA de 2018), que no sea el RGPD del Reino Unido, tiene derecho a una compensación por dicho daño por parte del responsable o el encargado del tratamiento, salvo que el responsable o el encargado del tratamiento demuestre que el responsable o el encargado del tratamiento no son de ninguna manera responsables del hecho que dio lugar al daño. El daño incluye tanto las pérdidas económicas como los daños que no implican pérdidas económicas, por ejemplo la ansiedad.

(119) En cuarto lugar, en la medida en que una persona considere que las autoridades públicas han violado sus derechos, incluidos los derechos a la privacidad y la protección de datos, puede obtener una reparación ante los tribunales del Reino Unido en virtud de la Human Rights Act de 1998. En virtud de la parte 3 de la DPA de 2018, los responsables del tratamiento, es decir, las autoridades competentes, son siempre autoridades públicas en el sentido de la Human Rights Act de 1998. Una persona física que alegue que una autoridad pública ha actuado (o se propone actuar) de una manera que es incompatible con un derecho del Convenio Europeo de Derechos Humanos y, por lo tanto, ilícita en virtud del artículo 6, apartado 1, de la Human Rights Act de 1998 puede iniciar un procedimiento contra dicha autoridad en el tribunal correspondiente, o apelar a los derechos de que se trate en cualquier procedimiento judicial cuando sea (o vaya a ser) víctima del acto ilícito (197).

(120) Si el tribunal determina que un acto de una autoridad pública es ilícito, puede conceder dicha compensación o reparación o dictar sentencia, dentro de sus facultades, según lo considere justo y adecuado (198). El tribunal también puede declarar que una disposición de la legislación primaria es incompatible con uno derecho garantizado en virtud del Convenio Europeo de Derechos Humanos.

(121) Por último, una vez agotados los recursos nacionales, una persona puede obtener una reparación ante el Tribunal Europeo de Derechos Humanos por violaciones de los derechos garantizados por el Convenio Europeo de Derechos Humanos.

2.6. Intercambio posterior

(122) El Derecho del Reino Unido autoriza el intercambio de datos por parte de una autoridad encargada de garantizar el cumplimiento de la ley con una autoridad diferente para fines distintos de aquellos para los que se recogieron originalmente (el llamado «intercambio posterior»), sujeto a ciertas condiciones.

(123) De manera similar a lo que se establece en el artículo 4, apartado 2, de la Directiva (UE) 2016/680, la sección 36, apartado 3, de la DPA de 2018 permite que los datos personales recogidos por una autoridad competente con fines de aplicación de la ley puedan tratarse posteriormente (ya sea por parte del responsable original del tratamiento o por parte de otro responsable) para cualquier otro fin de aplicación de la ley, siempre que el responsable del tratamiento esté autorizado por ley para tratar datos para dicho fin y el tratamiento sea necesario y proporcionado (199). En este caso, todas las garantías que establece la parte 3 de la DPA de 2018, y que se analizan más arriba, se aplican al tratamiento que realiza la autoridad receptora.

(124) En el ordenamiento jurídico del Reino Unido, distintas leyes permiten explícitamente intercambio posterior. En particular, i) la Digital Economy Act (Ley de economía digital) de 2017 permite el intercambio entre autoridades públicas para varios fines, por ejemplo, en caso de cualquier tipo de fraude contra el sector público que implique una pérdida o un riesgo de pérdida para una autoridad pública (200), o en caso de una deuda debitada a una autoridad pública o a la Corona (201); ii) la Crime and Courts Act de 2013 permite el intercambio de información con la National Crime Agency (NCA) (202) para combatir, investigar y perseguir la delincuencia organizada y grave; iii) la Serious Crime Act (Ley de delitos graves) de 2007 permite a las autoridades públicas comunicar información a organizaciones de lucha contra el fraude con fines de prevención del fraude (203).

(125) Estas leyes establecen explícitamente que el intercambio de información debe respetar las normas establecidos en la DPA de 2018. Además, el College of Policing ha emitido una práctica profesional autorizada sobre intercambio de información (204) para ayudar a la policía a cumplir con sus obligaciones de protección de datos en virtud del RGPD del Reino Unido, la DPA y la Human Rights Act de 1998. El cumplimiento del intercambio con el marco jurídico de protección de datos aplicable está, por supuesto, sujeto a control jurisdiccional (205).

(126) Además, de manera similar a lo que dispone el artículo 9 de la Directiva (UE) 2016/680, la DPA de 2018 esta