REGLAMENTO DE EJECUCIÓN (UE) 2021/1772 DE LA COMISIÓN

de 28 de junio de 2021

con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por parte del Reino Unido

[notificada con el número C(2021) 4800]

(Texto pertinente a efectos del EEE)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (1), y en particular su artículo 45, apartado 3,

Considerando lo siguiente:

1. INTRODUCCIÓN

(1) El Reglamento (UE) 2016/679 establece las normas que regulan la transferencia de datos personales desde los responsables o encargados del tratamiento en la Unión Europea (UE) a terceros países y organizaciones internacionales, en la medida en que tales transferencias se encuentren comprendidas dentro de su ámbito de aplicación. Las normas relativas a las transferencias internacionales de datos se establecen en el capítulo V de dicho Reglamento, en concreto en sus artículos 44 a 50. Si bien el flujo de datos personales hacia y desde países no pertenecientes a la Unión es esencial para la expansión de la cooperación internacional y el comercio transfronterizo, el nivel de protección de los datos personales en la UE no debe verse menoscabado por transferencias a terceros países (2).

(2) A tenor del artículo 45, apartado 3, del Reglamento (UE) 2016/679, la Comisión puede decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país o una organización internacional garantizan un nivel de protección adecuado. En virtud de esta condición, las transferencias de datos personales a un tercer país pueden producirse sin que sea necesario obtener ninguna autorización adicional, tal como establecen el artículo 45, apartado 1, y el considerando 103, de dicho Reglamento.

(3) Según lo especificado en el artículo 45, apartado 2, del Reglamento (UE) 2016/679, la adopción de una decisión de adecuación ha de basarse en un análisis exhaustivo del ordenamiento jurídico del tercer país, que contemple tanto las normas aplicables a los importadores de datos como las limitaciones y garantías en lo que respecta al acceso a los datos personales por parte de las autoridades públicas. En su evaluación, la Comisión debe determinar si el tercer país en cuestión garantiza un nivel de protección «esencialmente equivalente» al ofrecido en la Unión Europea [considerando 104 del Reglamento (UE) 2016/679]. La norma con la que se evalúa el nivel de protección «equivalente en lo esencial» es la que establece la legislación de la Unión Europea, en concreto el Reglamento (UE) 2016/679, así como la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) (3). En este sentido, también son importantes las referencias sobre adecuación del Comité Europeo de Protección de Datos (CEPD) (4).

(4) Tal como ha precisado el Tribunal de Justicia de la Unión Europea, no se exige un nivel de protección idéntico (5). En particular, los medios de que se sirve el tercer país en cuestión para la protección de los datos personales pueden ser diferentes de los aplicados en la Unión Europea siempre que, en la práctica, sean eficaces para garantizar un nivel de protección adecuado (6). Por consiguiente, el nivel de adecuación no exige que se reproduzcan al pie de la letra las normas de la Unión. Se trata más bien de determinar si el sistema extranjero ofrece, en su conjunto y por la esencia de los derechos a la protección de los datos y su aplicación, fuerza ejecutiva y supervisión efectivas, el nivel de protección exigido (7).

(5) La Comisión ha analizado detenidamente el Derecho y la práctica del Reino Unido. A partir de las conclusiones desarrolladas en los considerandos 8 a 270, la Comisión concluye que el Reino Unido garantiza un nivel adecuado de protección para los datos personales transferidos dentro del ámbito de aplicación del Reglamento (UE) 2016/679 de la Unión Europea al Reino Unido.

(6) Esta conclusión no se refiere a los datos personales transferidos con fines de control de la inmigración en el Reino Unido o que se comprenden dentro del ámbito de aplicación de la exención de ciertos derechos de los interesados a efectos del mantenimiento de un control de la inmigración efectivo («exención de inmigración») de conformidad con el cuarto párrafo, del punto 1, del anexo 2 de la Data Protection Act del Reino Unido. La validez e interpretación de la exención de inmigración con arreglo al Derecho del Reino Unido no se ha resulto tras la decisión del Tribunal de Apelación de Inglaterra y Gales, de 26 de mayo de 2021. Si bien se reconoce que los derechos de los interesados pueden, en principio, restringirse con fines de control de la inmigración como «un aspecto importante del interés público», el Tribunal de Apelación ha concluido que la exención de inmigración es, en su forma actual, incompatible con el Derecho del Reino Unido, ya que la medida legislativa carece de disposiciones específicas que establezcan las garantías contempladas en el artículo 23, apartado 2, del Reglamento general de protección de datos del Reino Unido (RGPD del Reino Unido) (8). En estas condiciones, deben excluirse del ámbito de aplicación de la presente Decisión las transferencias de datos personales desde la Unión Europea al Reino Unido a las que se puede aplicar la exención de inmigración (9). Una vez que se resuelva la incompatibilidad con el Derecho del Reino Unido, se debe volver a evaluar la exención de inmigración, así como la necesidad de mantener la limitación del ámbito de aplicación de la presente Decisión.

(7) La presente Decisión no debe afectar a la aplicación directa del Reglamento (UE) 2016/679 a las organizaciones establecidas en el Reino Unido en las que se cumplan las condiciones relativas al ámbito territorial de dicho Reglamento, establecidas en su artículo 3.

2. NORMAS APLICABLES AL TRATAMIENTO DE DATOS PERSONALES

2.1. Marco constitucional

(8) El Reino Unido es una democracia parlamentaria que tiene un monarca constitucional como jefe de Estado. Tiene un Parlamento soberano, que es supremo frente a todas las demás instituciones gubernamentales, un poder ejecutivo que se deriva del Parlamento y rinde cuentas ante él y un poder judicial independiente. El poder ejecutivo adquiere su autoridad de su capacidad para obtener la confianza de la Cámara de los Comunes electa y rinde cuentas ante ambas cámaras del Parlamento, que son responsables de escrutar al Gobierno y debatir y aprobar las leyes.

(9) El Parlamento del Reino Unido ha delegado la responsabilidad al Parlamento de Escocia, el Parlamento de Gales (Senedd Cymru) y la Asamblea de Irlanda del Norte de legislar en Escocia, Gales e Irlanda del Norte sobre asuntos internos que el Parlamento del Reino Unido no se haya reservado para sí. Si bien la protección de datos es una cuestión reservada, es decir, que la misma legislación aplica en todo el país, se delegan otras áreas de política pertinentes para la presente Decisión. Por ejemplo, los sistemas de justicia penal, incluidas las autoridades policiales, de Escocia e Irlanda del Norte se delegan en el Parlamento de Escocia y la Asamblea de Irlanda del Norte, respectivamente. El Reino Unido no tiene una constitución codificada, en el sentido de un documento constitutivo afianzado. Los principios constitucionales del Reino Unido han surgido con el tiempo y proceden, en concreto, de la jurisprudencia y del consenso. Los tribunales han reconocido el valor constitucional de determinadas leyes parlamentarias, como la Carta Magna, la Bill of Rights (Declaración de Derechos) de 1689 y la Human Rights Act (Ley de Derechos Humanos) de 1998. A través del common law, las leyes parlamentarias mencionadas y determinados tratados internacionales, en especial el Convenio Europeo de Derechos Humanos, que el Reino Unido ratificó en 1951, se han desarrollado los derechos fundamentales de las personas como parte de la constitución. En 1987, el Reino Unido también ratificó el Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (10).

(10) La Human Rights Act de 1998 incorpora los derechos recogidos en el Convenio Europeo de Derechos Humanos en el Derecho del Reino Unido. La Human Rights Act concede a toda persona los derechos y libertades fundamentales recogidos en los artículos 2 a 12 y 14 del Convenio Europeo de Derechos Humanos, los artículos 1 a 3 de su Protocolo n.o 1 y el artículo 1 de su Protocolo n.o 13, interpretados según los artículos 16, 17 y 18 de dicho Convenio. Esto incluye el derecho al respeto a la vida privada y familiar (y el derecho a la protección de los datos como parte del anterior derecho), así como el derecho a un proceso equitativo (11). En concreto, en virtud del artículo 8 del Convenio, solo podrá haber injerencia de la autoridad pública en el ejercicio de este derecho en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

(11) En virtud de la Human Rights Act de 1998, cualquier acción de las autoridades públicas debe ser compatible con uno de los derechos del Convenio (12). Además, el Derecho primario y el subordinado deben interpretarse y aplicarse de manera compatible con los derechos del Convenio (13).

2.2. El marco de protección de datos del Reino Unido

(12) El Reino Unido se retiró de la Unión Europea el 31 de enero de 2020. En virtud del Acuerdo sobre la retirada del Reino Unido de Gran Bretaña e Irlanda del Norte de la Unión Europea y de la Comunidad Europea de la Energía Atómica (14), el Derecho de la Unión se aplicó en el Reino Unido durante el período transitorio hasta el 31 de diciembre de 2020. Antes de la retirada y durante el período transitorio, el marco legislativo sobre la protección de datos personales en el Reino Unido consistía en la legislación pertinente de la UE [en particular, el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (15)] y la legislación nacional, en particular, la Data Protection Act de 2018 (DPA de 2018) (16) que estableció normas nacionales, cuando lo permitía el Reglamento (UE) 2016/679, que especificaban y restringían la aplicación de las normas del Reglamento (UE) 2016/679 y la Directiva transpuesta (UE) 2016/680.

(13) A fin de preparar la retirada de la UE, el Gobierno del Reino Unido promulgó la European Union (Withdrawal) Act (Ley de Retirada de la Unión Europea) de 2018 (17), que incorpora la legislación de la Unión directamente aplicable al Derecho del Reino Unido (18). Este denominado «Derecho de la Unión conservado» incluye el Reglamento (UE) 2016/679 en su totalidad (incluidos sus considerandos) (19). De acuerdo con la European Union (Withdrawal) Act, los tribunales del Reino Unido debían interpretar el Derecho de la Unión conservado no modificado de conformidad con la jurisprudencia pertinente del Tribunal de Justicia de la Unión Europea y los principios generales del Derecho de la Unión, de modo que tuvieran efecto de manera inmediata antes del final del período transitorio (denominados «jurisprudencia de la Unión conservada» y «principios generales del Derecho de la Unión conservados» respectivamente) (20).

(14) En virtud de la European Union (Withdrawal) Act de 2018, los ministros del Reino Unido están facultados para introducir una legislación secundaria, por medio de instrumentos jurídicos, para realizar las modificaciones necesarias en el Derecho de la Unión conservado como consecuencia de la retirada del Reino Unido de la UE. Hicieron uso de esa habilitación al adoptar el Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 o DPPEC Regulations [Reglamentos en materia de Protección de Datos, Privacidad y Comunicaciones Electrónicas (modificaciones, etc.) (salida de la UE) de 2019] (21). Dicha normativa modifica el Reglamento (UE) 2016/679 incorporado a la legislación del Reino Unido a través de la European Union (Withdrawal) Act de 2018, la DPA de 2018 y otra legislación en materia de protección de datos a fin de adaptarlo al contexto nacional (22).

(15) En consecuencia, el marco jurídico sobre la protección de datos personales en el Reino Unido una vez finalizado el período transitorio consiste en: — el RGPD del Reino Unido, incorporado al Derecho del Reino Unido en virtud de la European Union (Withdrawal) Act de 2018 y modificado por la normativa DPPEC Regulations (23), y — la DPA de 2018 (24), en su versión modificada por la normativa DPPEC Regulations.

(16) Dado que el RGPD del Reino Unido se basa en la legislación de la Unión, las normas en materia de protección de datos en el Reino Unido reflejan fielmente en muchos aspectos las normas correspondientes aplicables dentro de la UE.

(17) Además de los poderes que la European Union (Withdrawal) Act de 2018 otorga al secretario de Estado, varias disposiciones de la DPA de 2018 confieren poderes al secretario de Estado para adoptar una legislación secundaria a fin de modificar ciertas disposiciones de dicha normativa o proporcionar normas complementarias y adicionales (25). Hasta el momento, el secretario de Estado solo ha ejercido sus poderes en virtud del artículo 137 de la DPA de 2018 para adoptar la normativa Data Protection (Charges and Information) (Amendment) Regulations 2019 [Reglamentos en materia de Protección de Datos (tasas e información) (modificación) de 2019], que establece las circunstancias en las que los responsables del tratamiento deben pagar una tasa anual a la autoridad de protección de datos independiente del Reino Unido, la Oficina del Comisionado de Información del Reino Unido (ICO, por sus siglas en inglés).

(18) Por último, en los códigos de práctica y otras orientaciones aprobadas por la ICO se proporciona más orientación sobre la legislación en materia de protección de datos del Reino Unido. Esta orientación, aunque no es formalmente vinculante desde el punto de vista jurídico, tiene un peso interpretativo y demuestra cómo se aplica la legislación en materia de protección de datos y cómo la hace cumplir la ICO en la práctica. En concreto, las secciones 121 a 125 de la DPA de 2018 requieren que la ICO prepare códigos de práctica sobre intercambio de datos, comercialización directa, diseño adaptado a la edad y protección de datos y periodismo.

(19) En lo que respecta a su estructura y componentes principales, el marco jurídico del Reino Unido que se aplica a los datos transferidos en virtud de la presente Decisión es, por tanto, muy similar al que se aplica en la UE. Esto incluye el hecho de que dicho marco no solo se basa en obligaciones establecidas en el Derecho interno, a las que el Derecho de la Unión ha dado forma, sino también en obligaciones consagradas en el Derecho internacional, en concreto a través de la adhesión del Reino Unido al Convenio Europeo de Derechos Humanos (CEDH) y al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, así como su acatamiento de la jurisdicción del Tribunal Europeo de Derechos Humanos. Estas obligaciones derivadas de los instrumentos internacionales jurídicamente vinculantes son, por tanto, en especial en relación con la protección de datos personales, un elemento especialmente importante del marco jurídico evaluado en la presente Decisión.

2.3. Ámbito de aplicación material y territorial

(20) De manera similar al Reglamento (UE) 2016/679, el RGPD del Reino Unido se aplica al tratamiento de datos personales por medios automatizados total o parcialmente, o a otro tratamiento, si los datos personales forman parte de un fichero (26). Las definiciones de «datos personales», «interesado» y «tratamiento» del RGPD del Reino Unido son idénticas a las del Reglamento (UE) 2016/679 (27). Además, el RGPD del Reino Unido se aplica al tratamiento manual de datos personales no estructurados (28) en poder de ciertas autoridades públicas del Reino Unido (29), aunque los principios y derechos del RGPD del Reino Unido que no son pertinentes para tales datos personales no se aplican en las secciones 24 y 25 de la DPA de 2018. De manera similar a lo que establece el Reglamento (UE) 2016/679, el RGPD del Reino Unido no se aplica al tratamiento de datos personales por parte de un individuo en el curso de una actividad meramente personal o doméstica (30).

(21) El RGPD del Reino Unido extiende su alcance también al tratamiento en el curso de una actividad que, inmediatamente antes del final del período transitorio, quedaba fuera del ámbito de aplicación del Derecho de la Unión (por ejemplo, la seguridad nacional) (31), o entraba en el ámbito de aplicación del título V, capítulo 2, del Tratado de la Unión Europea (Disposiciones específicas sobre la Política Exterior y de Seguridad Común) (32). Al igual que en el sistema de la UE, el RGPD del Reino Unido no se aplica al tratamiento de datos personales por parte de una autoridad competente para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a las amenazas contra la seguridad pública y su prevención (los denominados «efectos de aplicación de la ley») [dicho tratamiento se rige, en cambio, por la parte 3 de la DPA de 2018, como es el caso de la Directiva (UE) 2016/680 en virtud del Derecho de la Unión], o el tratamiento de datos personales por parte de los servicios de inteligencia (el Servicio de Seguridad, el Servicio de Inteligencia Secreto y el Cuartel General de Comunicaciones del Gobierno), que recoge la parte 4 de la DPA de 2018 (33).

(22) El ámbito de aplicación territorial del RGPD del Reino Unido se describe en su artículo 3 (34) e incluye el tratamiento de datos personales (independientemente de dónde tenga lugar) en el contexto de las actividades de un establecimiento de un responsable o encargado del tratamiento en el Reino Unido, así como el tratamiento de datos personales de interesados que se encuentran en el Reino Unido, en que las actividades de tratamiento están relacionadas con la oferta de bienes o servicios a dichos interesados o el seguimiento de su comportamiento (35). Esto refleja el enfoque adoptado en el artículo 3 del Reglamento (UE) 2016/679.

2.4. Definiciones de datos personales y de los conceptos de «responsable» o «encargado»

(23) Las definiciones de «datos personales», «tratamiento», «responsable» y «encargado», así como la definición de «seudonimización», que establece el Reglamento (UE) 2016/679, se han conservado sin modificaciones sustanciales en el RGPD del Reino Unido (36). Además, en el artículo 9, apartado 1, del RGPD del Reino Unido se definen las categorías especiales de datos de la misma manera que en el Reglamento (UE) 2016/679 («datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física»). Por su parte, la sección 205 de la DPA de 2018 establece la definición de «datos biométricos» (37), «datos relativos a la salud» (38) y «datos genéticos» (39).

2.5. Garantías, derechos y obligaciones

2.5.1. Licitud y lealtad del tratamiento

(24) Los datos personales deben tratarse de manera lícita y leal.

(25) En el Derecho del Reino Unido, los principios de licitud, lealtad y transparencia y los fundamentos de la licitud del tratamiento se garantizan a través del artículo 5, apartado 1, letra a), y el artículo 6, apartado 1, del RGPD del Reino Unido, que son idénticos a las disposiciones correspondientes en el Reglamento (UE) 2016/679 (40). La sección 8 de la DPA de 2018 complementa el artículo 6, apartado 1, letra e), al establecer que el tratamiento de datos personales en virtud del artículo 6, apartado 1, letra e), del RGPD del Reino Unido (necesario para el desempeño de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento), incluye el tratamiento de datos personales que son necesarios para la administración de justicia, el ejercicio de una función de cualquiera de las cámaras del Parlamento británico, el ejercicio de una función conferida a una persona por una disposición o por el Estado de Derecho, el ejercicio de una función de la Corona, un cargo del Gobierno del Reino Unido o un departamento gubernamental, o una actividad que apoye o promueva el compromiso democrático.

(26) En relación con el consentimiento (uno de los fundamentos para el tratamiento lícito), el RGPD del Reino Unido también conserva las condiciones previstas en el artículo 7 del Reglamento (UE) 2016/679 sin modificaciones, es decir, que el responsable deberá ser capaz de demostrar que el interesado dio su consentimiento, que deberá presentarse una solicitud de consentimiento por escrito utilizando un lenguaje claro y sencillo, que el interesado tendrá derecho a retirar el consentimiento en cualquier momento y, al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta si la ejecución de un contrato se supedita al consentimiento para el tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato. Además, de conformidad con el artículo 8 del RGPD del Reino Unido, en el contexto de la prestación de servicios de la sociedad de la información, el consentimiento de un niño solo es lícito cuando tiene, al menos, trece años. Esto se enmarca dentro del intervalo de edad establecido en el artículo 8 del Reglamento (UE) 2016/679.

2.5.2. Tratamiento de categorías especiales de datos personales

(27) Deben preverse garantías específicas cuando se estén tratando «categorías especiales» de datos.

(28) El RGPD del Reino Unido y la DPA de 2018 contienen normas específicas relativas al tratamiento de categorías especiales de datos personales, que se definen en el artículo 9, apartado 1, del RGPD del Reino Unido de la misma forma que en el Reglamento (UE) 2016/679 (véase el considerando 23). De conformidad con el artículo 9 del RGPD del Reino Unido, el tratamiento de categorías especiales de datos personales está, en principio, prohibido salvo que se aplique una excepción específica.

(29) Dichas excepciones (que se enumeran en el artículo 9, apartados 2 y 3, del RGPD del Reino Unido) no presentan ningún cambio sustancial a las recogidas en el artículo 9, apartados 2 y 3, del Reglamento (UE) 2016/679. Salvo que el interesado diera su consentimiento explícito para el tratamiento de dichos datos personales, el tratamiento de categorías especiales de datos personales solo está permitido en circunstancias específicas y limitadas. En la mayoría de los casos, el tratamiento de datos sensibles debe ser necesario para un propósito específico definido en la disposición pertinente [véase el artículo 9, apartado 2, letras b), c), f), g), h), i) y j)].

(30) Además, cuando una excepción en virtud del artículo 9, apartado 2, del RGPD del Reino Unido requiera una autorización por ley o remita al interés público, la sección 10 de la DPA de 2018 junto con el anexo 1 de dicha Ley especifican con más detalle las condiciones que deben cumplirse para que pueda confiarse en las excepciones. Por ejemplo, en el caso del tratamiento de datos sensibles para proteger la «salud pública» [artículo 9, apartado 2, letra i), del RGPD del Reino Unido], la parte 1, párrafo tercero, letra b), del anexo 1 requiere que, además de la evaluación de la necesidad, dicho tratamiento se lleve a cabo «por parte de o bajo la responsabilidad de un profesional de la salud» o «por parte de otra persona que tiene el deber de confidencialidad en virtud de una disposición o del Estado de Derecho», especialmente en virtud del deber de confidencialidad bien establecido del common law.

(31) Cuando se traten datos sensibles por razones de un interés público esencial [artículo 9, apartado 2, letra g), del RGPD del Reino Unido], la parte 2, del anexo 1, de la DPA de 2018 proporciona una lista exhaustiva de fines que pueden considerarse de interés público esencial y, para cada uno de dichos fines, establece condiciones adicionales específicas. Por ejemplo, la promoción de la diversidad racial y étnica en los niveles superiores de las organizaciones se reconoce como un interés público esencial. El tratamiento de datos sensibles para este propósito específico está sujeto a requisitos bien definidos, incluido que el tratamiento se lleve a cabo como parte de un proceso de identificación de personas adecuadas para ocupar puestos de dirección, que sea necesario para promover la diversidad racial y étnica y que no sea probable que cause un daño o una angustia importantes al interesado.

(32) La sección 11, apartado 1, de la DPA de 2018 establece las condiciones para que los datos personales se traten en las circunstancias descritas en el artículo 9, apartado 3, del RGPD del Reino Unido vinculadas a la obligación de secreto. Esto incluye circunstancias en las que el tratamiento lo realiza un profesional de la salud o un profesional del ámbito social, o bajo su responsabilidad, o bien lo realiza otra persona que, en las circunstancias, tiene el deber de confidencialidad en virtud de una disposición o del Estado de Derecho.

(33) Además, varias de las excepciones recogidas en el artículo 9, apartado 2, RGPD del Reino Unido requieren garantías adecuadas y específicas para su uso. Las condiciones para el tratamiento previstas en el anexo 1 de la DPA de 2018 establecen distintas garantías en función de la naturaleza del tratamiento y del nivel de riesgo para los derechos y las libertades de los interesados. El anexo 1 establece las condiciones para cada una de las situaciones del tratamiento.

(34) En algunos casos, la DPA de 2018 regula y limita el tipo de datos sensibles que pueden tratarse para el cumplimiento de una base jurídica determinada. Por ejemplo, el párrafo octavo del anexo 1 autoriza el tratamiento de datos sensibles con el fin de promover la igualdad de oportunidades o de trato. Esta condición de tratamiento solo puede utilizarse si los datos revelan un origen racial o étnico, convicciones religiosas o filosóficas, orientación sexual o si se trata de datos relativos a la salud.

(35) En otros casos, la DPA de 2018 limita el tipo de responsable del tratamiento que puede hacer uso de la condición de tratamiento. Por ejemplo, el párrafo vigesimotercero del anexo 1 prevé el tratamiento de datos sensibles en relación con las respuestas de los representantes electos al público. Esta condición de tratamiento solo puede utilizarse cuando el responsable del tratamiento es el representante electo o cuando actúa bajo su autoridad.

(36) En otros casos, la DPA de 2018 establece límites en las categorías de interesados para la condición de tratamiento que pueden utilizarse. Por ejemplo, el párrafo vigesimoprimero del anexo 1 regula el tratamiento de datos sensibles para los sistemas de previsión para la jubilación. Esta condición solo puede utilizarse si el interesado en cuestión es un hermano, progenitor, abuelo/a o bisabuelo/a del afiliado al sistema de previsión para la jubilación.

(37) Además, el responsable del tratamiento, cuando se base en las excepciones recogidas en el artículo 9, apartado 2, del RGPD del Reino Unido que se especifican con más detalle en la sección 10 de la DPA de 2018 junto con el anexo 1 de la DPA, debe redactar en la mayoría de los casos un «documento reglamentario adecuado». Este documento debe describir los procedimientos del responsable para garantizar el cumplimiento de los principios del artículo 5 del RGPD del Reino Unido. Asimismo, debe establecer políticas para la conservación y la supresión de datos, con una indicación del período de conservación probable. Los responsables deben revisar y actualizar este documento según corresponda. El responsable debe conservar el documento reglamentario por un plazo de seis meses después de que finalice el tratamiento y debe ponerlo a disposición de la ICO, previa solicitud (41).

(38) De conformidad con el apartado 41, del anexo 1, de la DPA de 2018, el documento reglamentario debe ir siempre acompañado de un registro de las actividades de tratamiento a mayor escala. Este registro debe realizar un seguimiento de los compromisos incluidos en el documento reglamentario, es decir, de si los datos se conservan o se suprimen de acuerdo con las políticas. Si no se están respetando las políticas, entonces el registro debe dar cuenta de los motivos. Asimismo, el registro debe describir cómo el tratamiento cumple con el artículo 6 del RGPD del Reino Unido (licitud del tratamiento) y la condición específica recogida en el anexo 1 de la DPA de 2018, en la que se basa.

(39) Por último, al igual que el Reglamento (UE) 2016/679, el RGPD del Reino Unido también ofrece unas garantías generales para ciertas operaciones de tratamiento de categorías especiales de datos. El artículo 35 del RGPD del Reino Unido requiere una evaluación de impacto relativa a la protección de datos cuando se tratan categorías especiales de datos a gran escala. De conformidad con el artículo 37 del RGPD del Reino Unido, un responsable o encargado del tratamiento debe nombrar un delegado de protección de datos cuyas actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos.

(40) Con respecto a los datos personales que están relacionados con condenas e infracciones penales, el artículo 10 del RGPD del Reino Unido es idéntico al artículo 10 del Reglamento (UE) 2016/679. Permite el tratamiento de datos personales relacionados con condenas e infracciones penales solo bajo la supervisión de las autoridades públicas o cuando el tratamiento lo autorice el Derecho interno que establezca garantías adecuadas para los derechos y libertades de los interesados.

(41) Cuando el tratamiento de datos relacionados con condenas e infracciones penales no se realice bajo la supervisión de las autoridades públicas, la sección 10, apartado 5, de la DPA de 2018 establece que dicho tratamiento solo puede realizarse para las finalidades específicas/en las situaciones específicas establecidas en las partes 1, 2 y 3, del anexo 1, de la DPA de 2018 y su subordinación a los requisitos específicos que se establecen para cada una de estas finalidades/situaciones. Por ejemplo, el tratamiento de datos relacionados con condenas penales pueden realizarlo entidades sin ánimo de lucro, siempre que dicho tratamiento se realice a) en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, y b) siempre que: i) el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y ii) los datos personales no se comuniquen al exterior sin el consentimiento de los interesados.

(42) Además, la parte 3, del anexo 1, de la DPA de 2018 establece circunstancias adicionales en las que pueden emplearse datos relacionados con condenas penales, que corresponden a los fundamentos jurídicos del tratamiento de datos sensibles recogidos en el artículo 9, apartado 2, del Reglamento (UE) 2016/679 y el RGPD del Reino Unido (por ejemplo, consentimiento del interesado; intereses vitales de un individuo en caso de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; si el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos; si el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones; etc.).

2.5.3. Limitación de la finalidad, exactitud, minimización de los datos, limitación del plazo de conservación y seguridad de los datos

(43) Los datos personales deben tratarse con una finalidad específica y, posteriormente, solo deben utilizarse en la medida en que ello no sea incompatible con la finalidad del tratamiento.

(44) Este principio se recoge en el artículo 5, apartado 1, letra b), del Reglamento (UE) 2016/679 y se ha mantenido sin cambios en el artículo 5, apartado 1, letra b), del RGPD del Reino Unido. Las condiciones sobre un tratamiento compatible adicional de conformidad con el artículo 6, apartado 4, del Reglamento (UE) 2016/679 también se han mantenido sin modificaciones sustanciales en el artículo 6, apartado 4, letras a) a e), del RGPD del Reino Unido.

(45) Por otro lado, los datos deberán ser exactos y, en caso necesario, se mantendrán actualizados. También deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados y, en principio, no deben conservarse más tiempo del necesario en relación con los fines para los que se tratan los datos personales.

(46) En el artículo 5, apartado 1, letras c) a e), del Reglamento (UE) 2016/679 se establecen los principios de minimización de los datos, exactitud y limitación del plazo de conservación, y se mantienen sin modificaciones en el artículo 5, apartado 1, letras c) a e), del RGPD del Reino Unido.

(47) Los datos personales deben también ser tratados de modo que se garantice su seguridad, incluida la protección contra todo tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. A tal fin, los operadores económicos deben adoptar las medidas técnicas u organizativas apropiadas para proteger los datos personales frente a posibles amenazas. Estas medidas deben evaluarse teniendo en cuenta el estado de la técnica y los costes relacionados.

(48) La seguridad de los datos está consagrada en el Derecho del Reino Unido a través del principio de integridad y confidencialidad en el artículo 5, apartado 1, letra f), del RGPD del Reino Unido y en el artículo 32 del mismo Reglamento, relativo a la seguridad del tratamiento. Estas disposiciones son idénticas a las disposiciones correspondientes del Reglamento (UE) 2016/679. Además, el RGPD del Reino Unido requiere, en virtud de las mismas condiciones que las establecidas en los artículos 33 y 34 del Reglamento (UE) 2016/679, la notificación de una violación de la seguridad de los datos personales a la autoridad de control (artículo 33 del RGPD del Reino Unido) y la comunicación de una violación de la seguridad de los datos personales al interesado (artículo 34 del RGPD del Reino Unido).

2.5.4. Transparencia

(49) Los interesados deben ser informados de las principales características del tratamiento de sus datos personales.

(50) Esta condición se garantiza en los artículos 13 y 14 del RGPD del Reino Unido que, además de un principio general de transparencia, establece normas relativas a la información que debe proporcionarse al interesado (42). El RGPD del Reino Unido no introduce ninguna modificación sustancial a estas normas en comparación con los artículos correspondientes del Reglamento (UE) 2016/679. Sin embargo, al igual que en el Reglamento (UE) 2016/679, los requisitos de transparencia de dichos artículos están sujetos a varias excepciones que se establecen en la DPA de 2018 (véanse los considerandos 55 a 72).

2.5.5. Derechos individuales

(51) Los interesados deben tener ciertos derechos que puedan hacer valer ante el responsable o el encargado del tratamiento, en concreto el derecho de acceso a los datos, el derecho a oponerse al tratamiento y el derecho de rectificación o supresión de datos. Al mismo tiempo, estos derechos pueden estar sujetos a limitaciones, en la medida en que dichas limitaciones sean necesarias y proporcionadas para salvaguardar la seguridad pública u otros objetivos importantes de interés público general.

2.5.5.1. Derechos sustantivos

(52) El RGPD del Reino Unido otorga a las personas los mismos derechos exigibles que el Reglamento (UE) 2016/679. Las disposiciones que garantizan los derechos de las personas se han mantenido sin cambios sustanciales en el RGPD del Reino Unido.

(53) Estos derechos incluyen el derecho de acceso del interesado (artículo 15 del RGPD del Reino Unido), el derecho de rectificación (artículo 16 del RGPD del Reino Unido), el derecho de supresión (artículo 17 del RGPD del Reino Unido), el derecho a la limitación del tratamiento (artículo 18 del RGPD del Reino Unido), la obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento (artículo 19 del RGPD del Reino Unido), el derecho a la portabilidad de los datos (artículo 20 del RGPD del Reino Unido) y el derecho de oposición (artículo 21 del RGPD del Reino Unido) (43). Este último incluye también el derecho del interesado de oponerse al tratamiento de sus datos personales con fines de mercadotecnia directa, que se recoge en el artículo 21, apartados 2 y 3, del Reglamento (UE) 2016/679. Además, de conformidad con la sección 122 de la DPA de 2018, la ICO debe preparar un código de prácticas en relación con el ejercicio de la mercadotecnia directa, de acuerdo con los requisitos de la legislación en materia de protección de datos [y el Reglamento sobre la privacidad y las comunicaciones electrónicas (Directiva CE) de 2003] y otras orientaciones para promover las buenas prácticas en relación con la mercadotecnia directa que la ICO considere apropiadas. La ICO está desarrollando en estos momentos el código sobre mercadotecnia directa (44).

(54) Según lo dispuesto en el artículo 22 del Reglamento (UE) 2016/679, el derecho del interesado a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos en él o le afecte significativamente de modo similar, también se ha mantenido en el RGPD del Reino Unido sin cambios sustanciales. Sin embargo, se ha añadido un nuevo párrafo 3A para indicar que la sección 14 de la DPA de 2018 establece garantías para los derechos, libertades e intereses legítimos de los interesados cuando el tratamiento se realiza de conformidad con el artículo 22, apartado 2, letra b), del RGPD del Reino Unido. Esto solo aplica cuando la base de dicha decisión es una autorización o requisito en virtud del Derecho del Reino Unido, y no aplica cuando la decisión es necesaria en virtud de un contrato o se toma con el consentimiento explícito del interesado. En los casos en los que se aplica la sección 14 de la DPA de 2018, el responsable debe, tan pronto como sea razonablemente posible, notificar por escrito al interesado de que se ha tomado una decisión basada únicamente en el tratamiento automatizado. El interesado tiene derecho a solicitar, en el plazo de un mes a partir de la recepción de la notificación, que el responsable reconsidere la decisión o tome una nueva decisión que no se base únicamente en el tratamiento automatizado. El secretario de Estado está facultado para adoptar garantías adicionales en lo que respecta a las decisiones automatizadas. Esta facultad no se ha ejercido todavía.

2.5.5.2. Limitaciones a los derechos individuales

(55) La DPA de 2018 establece varias limitaciones a los derechos individuales dentro del marco del artículo 23 del RGPD del Reino Unido. En dicho marco no se introducen limitaciones en relación con el derecho de oponerse a la mercadotecnia directa según lo dispuesto en el artículo 21, apartados 2 y 3, del RGPD del Reino Unido, o al derecho a no ser objeto de decisiones automatizadas según lo dispuesto en el artículo 22 del RGPD del Reino Unido.

(56) En los anexos 2 a 4 de la DPA de 2018 se definen las limitaciones en detalle. Las autoridades del Reino Unido explicaron que se rigen por dos principios: el principio de especificidad (adoptando un enfoque muy específico y dividiendo las limitaciones más generales en varias disposiciones más específicas) y el principio de condicionalidad (cada disposición se complementa con garantías en forma de limitaciones o condiciones para evitar abusos) (45).

(57) Las limitaciones que se describen en el artículo 23, apartado 1, del RGPD del Reino Unido están pensadas para garantizar que solo se apliquen en circunstancias específicas cuando sea necesario en una sociedad democrática y para que sean proporcionadas al fin legítimo que persiguen. Además, de acuerdo con la jurisprudencia establecida sobre la interpretación de las limitaciones, solo puede aplicarse una exención del régimen de protección de datos en casos particulares y cuando resulte necesario y proporcionado para ello (46). Por otro lado, se exige que la evaluación de la necesidad sea «estricta y que requiera que cualquier injerencia en los derechos del sujeto sea proporcional a la gravedad de la amenaza al interés público. Por tanto, el ejercicio implica un análisis de proporcionalidad clásico» (47).

(58) Los fines que persiguen estas limitaciones corresponden a los enumerados en el artículo 23 del Reglamento (UE) 2016/679, salvo las limitaciones de seguridad nacional y defensa que, en cambio, regula el artículo 26 de la DPA de 2018, pero que están sujetas a los mismos principios de proporcionalidad y necesidad (véanse los considerandos 63 a 66).

(59) Algunas de las limitaciones, por ejemplo, las que se relacionan con la prevención o detección de la delincuencia, la detención o el enjuiciamiento de los delincuentes, y con la evaluación o recaudación de derechos e impuestos (48), autorizan limitaciones a todos los derechos individuales y obligaciones de transparencia (salvo los derechos que se recogen en el artículo 21, apartado 2, y el artículo 22). El alcance de otras limitaciones atañe únicamente a las obligaciones de transparencia y los derechos de acceso, como las limitaciones relacionadas con la prerrogativa de confidencialidad (49), el derecho a la libertad ante el requisito de proporcionar información que conduciría a la autoincriminación (50), y la financiación corporativa, en particular la prevención de las operaciones con información privilegiada (51). Pocas de las limitaciones permiten una restricción a la obligación del responsable del tratamiento de comunicar una violación de la seguridad de los datos al interesado y a los principios de limitación de la finalidad y licitud, lealtad y transparencia del tratamiento (52).

(60) Algunas de las limitaciones se aplican automáticamente «en su totalidad» a un cierto tipo de tratamiento de datos personales (por ejemplo, la aplicación de las obligaciones de transparencia y derechos individuales se excluye cuando los datos personales se tratan con el fin de evaluar la idoneidad de una persona para una función jurisdiccional o cuando los datos personales los trata un tribunal o individuo que actúa en el ejercicio de su función judicial).

(61) Sin embargo, en la mayoría de los casos, el apartado pertinente del anexo 2 de la DPA de 2018 especifica que la limitación se aplica solo cuando (y en la medida en que) la aplicación de las disposiciones «podría perjudicar» el objetivo legítimo perseguido por dicha limitación: por ejemplo, las disposiciones enumeradas en el RGPD del Reino Unido no se aplican a los datos personales tratados para la prevención o detección de la delincuencia, la detención o el enjuiciamiento de los delincuentes, o la evaluación o recaudación de derechos e impuestos «en la medida en que la aplicación de esas disposiciones podría perjudicar» cualquiera de estas cuestiones (53).

(62) Los tribunales del Reino Unido han interpretado reiteradamente que la apreciación «podría perjudicar» representa «una posibilidad muy significativa y relevante de perjuicio para los intereses públicos identificados» (54). Por consiguiente, una restricción sujeta al criterio del perjuicio real y concreto solo puede invocarse si, y en la medida en que exista, una posibilidad muy significativa y relevante de que la concesión de un determinado derecho perjudique el interés público en juego. Corresponde al responsable del tratamiento evaluar caso por caso si se cumplen estas condiciones (55).

(63) Además de las restricciones que recoge el anexo 2 de la DPA de 2018, la sección 26 de la DPA ofrece una exención que puede aplicarse a determinadas disposiciones del RGPD del Reino Unido y de la propia DPA cuando esa exención es necesaria a fin de salvaguardar la seguridad nacional o con fines de defensa. Esta exención se aplica a los principios de protección de datos (salvo el principio de licitud), las obligaciones de transparencia, los derechos del interesado, la obligación de notificar una violación de la seguridad de los datos, las normas sobre transferencias internacionales, algunos de los deberes y poderes de la ICO y las reglas sobre recursos, responsabilidades y sanciones, salvo la disposición sobre las condiciones generales para imponer multas administrativas establecidas en el artículo 83 del RGPD del Reino Unido y la disposición sobre sanciones en el artículo 84 del RGPD. Además, la sección 28 de la DPA de 2018 modifica la aplicación del artículo 9, apartado 1 para permitir el tratamiento de categorías especiales de datos recogidas en el artículo 9, apartado 1, del RGPD del Reino Unido en la medida en que el tratamiento se realice para salvaguardar la seguridad nacional o para fines de defensa, y con las garantías adecuadas para los derechos y libertades de los interesados (56).

(64) La exención solo puede aplicarse en la medida en que sea necesaria para salvaguardar la seguridad nacional o la defensa. Como también ocurre con las demás exenciones previstas por la DPA de 2018, el responsable del tratamiento debe considerarla y acogerse a ella caso por caso. Además, cualquier aplicación de la exención debe cumplir con las normas sobre derechos humanos (amparadas por la Human Rights Act de 1998), según las cuales cualquier injerencia en los derechos a la privacidad debe ser necesaria y proporcionada en una sociedad democrática (57).

(65) Esta interpretación de la exención es confirmada por la ICO que ha emitido una guía detallada sobre la aplicación de la exención de seguridad nacional y defensa, dejando claro que debe ser considerada y aplicada por el controlador caso por caso (58). En particular, la guía hace hincapié en que «no es una exención general» y que, para invocarla, «no es suficiente que los datos se traten con fines de seguridad nacional». Por el contrario, el responsable del tratamiento que se acoja a ella debe «demostrar que existe una posibilidad real de que haya un efecto adverso en la seguridad nacional» y, cuando proceda se espera que «aporte [a la ICO] pruebas de por qué utilizó esta exención». La guía contiene una lista de comprobación y una serie de ejemplos para aclarar las condiciones en las que se puede invocar dicha exención.

(66) Por lo tanto, el hecho de que los datos se traten con fines de seguridad nacional o defensa no es suficiente por sí solo para la aplicación de la exención. En la práctica, un responsable del tratamiento debe considerar las consecuencias reales para la seguridad nacional si tuviera que cumplir con la disposición específica de protección de datos. La exención solo puede aplicarse a aquellas disposiciones concretas para las que se haya determinado que, en efecto, plantean el riesgo y debe aplicarse de la manera más restrictiva posible (59).

(67) El Tribunal de Información confirmó este planteamiento (60). En el asunto Baker v Secretary of State for the Home Department («Baker v Secretary of State»), se determinó que era ilícito aplicar la exención de seguridad nacional como exención general a las solicitudes de acceso recibidas por parte de los servicios de inteligencia. En su lugar, la exención debía aplicarse caso por caso, valorando cada solicitud sobre la base de su fundamento y teniendo en cuenta el derecho de las personas al respeto de su vida privada (61).

2.5.6. Limitaciones para los datos personales tratados con fines periodísticos, artísticos, académicos y literarios, así como con fines de archivo e investigación

(68) El artículo 85, apartado 2, del RGPD del Reino Unido permite que los datos personales tratados con fines periodísticos, artísticos, académicos y literarios estén exentos de varias disposiciones del propio RGPD. La parte 5, del anexo 2, de la DPA de 2018 establece las exenciones del tratamiento para estos fines. Establece exenciones de los principios de protección de datos (excepto el principio de integridad y confidencialidad), los fundamentos jurídicos para el tratamiento (incluidas categorías especiales de datos y datos relacionados con condenas penales, etc.), las condiciones para el consentimiento, las obligaciones de transparencia, los derechos de los interesados, la obligación de notificación de violaciones de la seguridad de los datos, y el requisito de consultar a la ICO antes del tratamiento de alto riesgo, y las normas sobre transferencias internacionales (62). En este sentido, el RGPD del Reino Unido no difiere de forma importante del Reglamento (UE) 2016/679, que en su artículo 85 también prevé la posibilidad de eximir el tratamiento realizado con fines periodísticos y fines de expresión académica, artística o literaria de una serie de requisitos del propio Reglamento. Las disposiciones de la DPA de 2018, en especial la parte 5, del anexo 2, son compatibles con el RGPD del Reino Unido.

(69) La ponderación básica que debe realizarse en virtud del artículo 85 del RGPD del Reino Unido se refiere a si una exención a las normas de protección de datos mencionadas en el considerando 68 es «necesaria para conciliar el derecho a la protección de los datos personales con la libertad de expresión e información» (63). De conformidad con la parte 5, párrafo vigesimosexto, puntos 2 y 3, del anexo 2, de la DPA de 2018, el Reino Unido aplica una evaluación de «creencia razonable» para lograr el equilibrio necesario. Para que pueda justificarse una exención, el responsable del tratamiento debe creer razonablemente que i) la publicación es de interés público; y ii) que la aplicación de la disposición pertinente del Reglamento (UE) 2016/679 sería incompatible con fines periodísticos, artísticos, académicos o literarios. Tal como confirma la jurisprudencia (64), la evaluación de la «creencia razonable» tiene un componente tanto subjetivo como objetivo: no basta con que el responsable del tratamiento demuestre que él/ella mismo/a creía que el cumplimiento era incompatible. Su creencia debe ser razonable, es decir, debe compartirla una persona de carácter razonable que conozca los hechos pertinentes. Por tanto, el responsable debe actuar con la debida diligencia al formarse su creencia para poder demostrar el carácter razonable de la misma. De acuerdo con las aclaraciones facilitadas por las autoridades del Reino Unido, la evaluación de «creencia razonable» debe realizarse caso por caso (exención por exención) (65). Si se cumplen las condiciones, entonces la exención se considera necesaria y proporcionada con arreglo al Derecho del Reino Unido.

(70) En virtud de la sección 124 de la DPA de 2018, la ICO preparará un código de práctica en materia de protección de datos y periodismo. La preparación del código está en curso en estos momentos. En el marco de la Data Protection Act de 1998 se ha emitido una orientación acerca de esta cuestión que destaca principalmente que, para acogerse a esta exención, no basta con declarar que el cumplimiento supondría un inconveniente para las actividades periodísticas, sino que debe haber un argumento claro de que la disposición en cuestión presenta un obstáculo para el ejercicio del periodismo responsable (66). El regulador de telecomunicaciones del Reino Unido, OFCOM, y la BBC también han publicado en sus directrices editoriales (67) una serie de orientaciones sobre la aplicación del criterio de interés público y la ponderación del interés público con el interés de una persona en la privacidad. Las directrices ofrecen principalmente ejemplos de información que puede considerarse de interés público, y explican la necesidad de poder demostrar que el interés público rebasa los derechos de privacidad en las circunstancias concretas del caso.

(71) De manera similar a lo que establece el artículo 89 del Reglamento (UE) 2016/679, los datos personales tratados con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos también pueden estar exentos de una serie de disposiciones enumeradas en el propio RGPD (68). Por lo que respecta a los fines de investigación y estadísticos, puede haber exenciones a las disposiciones del RGPD del Reino Unido relacionadas con la confirmación del tratamiento y el acceso a los datos y las garantías para las transferencias a terceros países; el derecho de rectificación; la limitación y la retirada del tratamiento. Por lo que respecta al archivo en interés público, también puede haber exenciones a la obligación de notificación en relación con la rectificación o supresión de datos personales o la restricción del tratamiento y al derecho a la portabilidad de los datos.

(72) En virtud de la parte 6, párrafos vigesimoséptimo, punto 1, y vigesimoctavo, punto 1, del anexo 2, de la DPA de 2018, las exenciones a las disposiciones enumeradas del RGPD del Reino Unido son posibles cuando la aplicación de las disposiciones «impediría o perjudicaría gravemente la consecución» de los fines en cuestión (69).

(73) Dada su relevancia para el ejercicio efectivo de los derechos individuales, cualquier novedad pertinente en relación con la interpretación y aplicación en la práctica de las exenciones antes señaladas (además de la relativa al mantenimiento de un control efectivo de la inmigración, como se explica en el considerando 6), en particular, cualquier evolución de la jurisprudencia y de las orientaciones y medidas de ejecución de la OIC, se tendrá debidamente en cuenta en el contexto de la supervisión continua de la presente Decisión (70).

2.5.7. Limitaciones a las transferencias ulteriores

(74) El nivel de protección de los datos personales que se transfieren desde la Unión Europea a responsables o encargados del tratamiento en el Reino Unido no debe verse comprometido por la transferencia ulterior de dichos datos a destinatarios que se encuentran en un tercer país. Estas «transferencias ulteriores» que constituyen, desde el punto de vista del responsable o encargado del tratamiento del Reino Unido, transferencias internacionales desde el Reino Unido, solo deberían estar permitidas cuando el destinatario ulterior fuera del Reino Unido esté, por su parte, sujeto a normas que aseguren un nivel de protección similar al garantizado en el ordenamiento jurídico del Reino Unido. Por este motivo, la aplicación de las normas del RGPD del Reino Unido y de la DPA de 2018 sobre transferencias internacionales de datos personales es un factor importante para garantizar la continuidad de la protección en el caso de datos personales que se transfieren de la UE al Reino Unido en virtud de la presente Decisión.

(75) En los artículos 44 a 49 del RGPD del Reino Unido se establece el régimen sobre transferencias internacionales de datos personales desde el Reino Unido, complementado por la DPA de 2018; dicho régimen es en esencia idéntico a las normas establecidas en el capítulo V del Reglamento (UE) 2016/679 (71). Las transferencias de datos personales a un tercer país u organización internacional solo pueden realizarse sobre la base de normas en materia de adecuación [el equivalente en el Reino Unido a una decisión de adecuación en virtud del Reglamento (UE) 2016/679], o en ausencia de dichas normas, cuando el responsable o encargado del tratamiento haya proporcionado las garantías adecuadas de conformidad con el artículo 46 del RGPD del Reino Unido. En ausencia de normas en materia de adecuación o garantías apropiadas, una transferencia solo puede realizarse sobre la base de las derogaciones establecidas en el artículo 49 del RGPD del Reino Unido.

(76) Las normas en materia de adecuación dictadas por el secretario de Estado pueden estipular que un tercer país (o un territorio o un sector dentro de un tercer país), una organización internacional, o una descripción (72) de dicho país, territorio, sector u organización asegura un nivel adecuado de protección de datos personales. Al evaluar la idoneidad del nivel de protección, el secretario de Estado debe tener en cuenta exactamente los mismos elementos que la Comisión debe evaluar con arreglo al artículo 45, apartado 2, letras a) a c), del Reglamento (UE) 2016/679, interpretado junto con el considerando 104 del mismo Reglamento y la jurisprudencia de la Unión conservada. Esto significa que, al evaluar el nivel adecuado de protección de un tercer país, el criterio pertinente será si ese tercer país en cuestión garantiza un nivel de protección «esencialmente equivalente» al garantizado en el Reino Unido.

(77) Por lo que respecta al procedimiento, las normas en materia de adecuación están sujetas a los requisitos de procedimiento «generales» previstos en la sección 182 de la DPA de 2018. En virtud de este procedimiento, el secretario de Estado debe consultar a la ICO al proponer la adopción de normas en materia de adecuación en el Reino Unido (73). Una vez que el secretario de Estado ha adoptado las normas, estas se presentan ante el Parlamento y están sujetas al procedimiento de «resolución negativa», en virtud del cual ambas cámaras del Parlamento pueden examinarlas y tienen la capacidad de aprobar una moción que anule las normas en un plazo de cuarenta días (74).

(78) De conformidad con la sección 17B, apartado 1, de la DPA de 2018, las normas en materia de adecuación deben revisarse a intervalos de no más de cuatro años y el secretario de Estado debe, de manera continua, supervisar las novedades en terceros países y organizaciones internacionales que podrían afectar las decisiones para adoptar normas en materia de adecuación, o para modificar o derogar tales normas. Cuando el secretario de Estado tenga conocimiento de que un país u organización concretos ya no garantiza un nivel adecuado de protección de los datos personales debe, en la medida necesaria, modificar o derogar las normas y celebrar consultas con el tercer país u organización internacional en cuestión para remediar la falta de un nivel de protección adecuado. Estos aspectos procedimentales reflejan también los requisitos correspondientes del Reglamento (UE) 2016/679.

(79) En ausencia de normas en materia de adecuación, pueden realizarse transferencias internacionales cuando el responsable o encargado del tratamiento haya proporcionado las garantías adecuadas de acuerdo con el artículo 46 del RGPD del Reino Unido. Estas garantías son similares a las que establece el artículo 46 del Reglamento (UE) 2016/679. Incluyen instrumentos jurídicamente vinculantes y exigibles entre autoridades u organismos públicos, normas corporativas vinculantes (75), cláusulas tipo de protección de datos, códigos de conducta aprobados, mecanismos de certificación aprobados y, con la autorización de la ICO, cláusulas contractuales entre responsables (o encargados del tratamiento) o acuerdos administrativos entre las autoridades públicas. Sin embargo, desde un punto de vista procedimental, las normas se han modificado para actuar dentro del marco del Reino Unido; en particular, y de conformidad con la DPA de 2018, las cláusulas tipo de protección de datos pueden ser adoptadas por el secretario de Estado (sección 17C) o la ICO (sección 119A).

(80) En ausencia de una decisión de adecuación o de garantías adecuadas, una transferencia únicamente puede realizarse sobre la base de las excepciones establecidas en el artículo 49 del RGPD del Reino Unido (76). El RGPD del Reino Unido no introduce ningún cambio sustancial a estas excepciones en comparación con las normas correspondientes del Reglamento (UE) 2016/679. De conformidad con el RGPD del Reino Unido, así como con arreglo al Reglamento (UE) 2016/679, solo se puede apelar a determinadas excepciones si la transferencia es ocasional (77). Además, en sus directrices sobre transferencias internacionales, la ICO aclara que: «Solo debe utilizarlas como verdaderas "excepciones" de la norma general de que no debe realizarse una transferencia restringida a menos que esté cubierta por una decisión de adecuación o existan las garantías adecuadas» (78). En relación con las transferencias que son necesarias por razones importantes de interés público [artículo 49, apartado 1, letra d) del Reglamento (UE) 2016/679], el secretario de Estado puede adoptar regulaciones para especificar circunstancias en las que una transferencia de datos personales a un tercer país u organización internacional es o no es necesaria por razones importantes de interés público. Además, el secretario de Estado puede limitar mediante regulación la transferencia de una categoría de datos personales a un tercer país u organización internacional donde la transferencia no puede realizarse sobre la base de normas en materia de adecuación, y cuando el secretario de Estado considere que la limitación es necesaria por razones importantes de interés público. Hasta la fecha no se ha adoptado ninguna regulación de este tipo.

(81) Este marco para las transferencias internacionales entró en vigor al final del período transitorio (79). Sin embargo, el párrafo cuarto, del anexo 21, de la DPA de 2018 (introducido por la normativa DPPEC Regulations) establece que, a partir del final del período transitorio, ciertas transferencias de datos personales deben tratarse como si estuvieran basadas en normas en materia de adecuación. Dichas transferencias incluyen transferencias a un Estado del EEE, el territorio de Gibraltar, una institución, organismo, oficina o agencia de la UE establecidos por el Tratado de la Unión Europea o sobre la base del mismo, y a terceros países que fueron objeto de una decisión de adecuación de la UE al final del período transitorio. En consecuencia, las transferencias a estos países pueden seguir realizándose como antes de la retirada del Reino Unido de la UE. Al final del período transitorio, el secretario de Estado tuvo que iniciar una revisión de estas decisiones de adecuación para un período de cuatro años, es decir, hasta finales de diciembre de 2024. Según la aclaración proporcionada por las autoridades del Reino Unido, a pesar de que el secretario de Estado debe llevar a cabo esta revisión para finales de diciembre de 2024, las disposiciones transitorias no incluyen una disposición de caducidad y las disposiciones transitorias pertinentes no perderán su vigencia automáticamente en caso de que no se complete la revisión para finales de diciembre de 2024.

(82) Por último, en lo que respecta a la evolución futura del régimen de transferencias internacionales del Reino Unido, a través de la adopción de nuevas normas de adecuación, la celebración de acuerdos internacionales o el desarrollo de otros mecanismos de transferencia, la Comisión seguirá de cerca la situación, evaluará si los diferentes mecanismos de transferencia se utilizan de forma que se garantice la continuidad de la protección y adoptará, en su caso, las medidas adecuadas para abordar los posibles efectos adversos para dicha continuidad (véanse los considerandos 278 a 287). Dado que la UE y el Reino Unido comparten normas similares sobre transferencias internacionales, se espera que las divergencias problemáticas también puedan evitarse mediante la cooperación y el intercambio de información y experiencias, incluso entre la ICO y el CEPD.

2.5.8. Responsabilidad proactiva

(83) De conformidad con el principio de responsabilidad proactiva, las entidades que traten datos están obligadas a adoptar las medidas técnicas y organizativas apropiadas para cumplir de manera efectiva con sus obligaciones en materia de protección de datos y deben demostrar el respeto de estas obligaciones, en particular ante la autoridad de control competente.

(84) El principio de responsabilidad proactiva previsto en el Reglamento (UE) 2016/679 se ha mantenido en el artículo 5, apartado 2, del RGPD del Reino Unido sin cambios sustanciales, y lo mismo aplica al artículo 24 sobre la responsabilidad del responsable del tratamiento, al artículo 25 sobre la protección de datos desde el diseño y por defecto, y al artículo 30 sobre el registro de las actividades de tratamiento. También se han mantenido sin cambios los artículos 35 y 36 concernientes a la evaluación de impacto relativa a la protección de datos y la consulta previa de la autoridad de control. Asimismo, los artículos 37 a 39 del Reglamento (UE) 2016/679 relativos a la designación y las tareas de los delegados de protección de datos se han mantenido sin cambios importantes en el RGPD del Reino Unido. Por otro lado, en el RGPD del Reino Unido también se han mantenido las disposiciones recogidas en los artículos 40 y 42 del Reglamento (UE) 2016/679 sobre los códigos de conducta y certificación (80).

2.6. Supervisión y cumplimiento de las normas

2.6.1. Supervisión independiente

(85) Con el fin de garantizar un nivel adecuado de protección de los datos en la práctica, debe existir una autoridad de control independiente encargada de supervisar las normas en materia de protección de datos y hacerlas cumplir. Esta autoridad debe actuar con total independencia e imparcialidad en el desempeño de sus funciones y en el ejercicio de sus competencias.

(86) En el Reino Unido, la autoridad encargada de la supervisión y el cumplimiento de las normas del RGPD del Reino Unido y de la DPA de 2018 es el/la Information Commissioner. El/la Information Commissioner es una persona jurídica unipersonal: una entidad jurídica independiente constituida por una sola persona física. El/la Information Commissioner cuenta con el apoyo de una oficina en su trabajo (la ICO). El 31 de marzo de 2020, la ICO contaba con 768 empleados fijos (81). El departamento que ampara a la ICO es el Departamento de Cultura, Medios de Comunicación y Deporte del Reino Unido (82).

(87) La independencia del cargo de Information Commissioner se determina explícitamente en el artículo 52 del RGPD del Reino Unido, que no presenta cambios importantes en relación con el artículo 52, apartados 1 a 3, del Reglamento (UE) 2016/679. El/la Information Commissioner debe actuar con total independencia en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el RGPD del Reino Unido, ser ajeno/a a toda influencia externa, ya sea directa o indirecta, en relación con dichos poderes y funciones, y no solicitará ni admitirá ninguna instrucción. Asimismo, se abstendrá de cualquier acción que sea incompatible con sus funciones y no participará, mientras dure su mandato, en ninguna actividad profesional que sea incompatible, remunerada o no.

(88) En el anexo 12 de la DPA de 2018 se establecen las condiciones para el nombramiento y la destitución del/de la Information Commissioner. El nombramiento para el cargo de Information Commissioner lo realiza Su Majestad por recomendación del Gobierno, en virtud de una competencia justa y abierta. El/la candidato/a debe contar con las cualificaciones, capacidades y competencias necesarias. De conformidad con lo dispuesto en el Governance Code on Public Appointments (83), un grupo consultivo de evaluación elabora una lista de posibles candidatos. Antes de que el secretario de Estado del Departamento de Cultura, Medios de Comunicación y Deporte tome su decisión, el Select Committee of Parliament (comité selecto del Parlamento) correspondiente debe realizar un escrutinio previo al nombramiento. La posición del comité se hace pública (84).

(89) El/la Information Commissioner ocupa el cargo por un período de hasta siete años y no es posible nombrar a una persona Information Commissioner más de una vez. El/la Information Commissioner puede ser destituido/a de su cargo por decisión de Su Majestad en respuesta a un discurso de ambas cámaras del Parlamento (85). No es posible presentar una solicitud de destitución del/de la Information Commissioner ante ninguna de las cámaras del Parlamento salvo que un secretario de Estado haya presentado un informe que indique su convencimiento de que el/la Information Commissioner es culpable de una falta grave o de que ya no cumple las condiciones requeridas para el desempeño de las funciones del cargo (86).

(90) La financiación de la ICO procede de tres fuentes: i) tasas por protección de datos que los responsables del tratamiento pagan, y que establecen las regulaciones del secretario de Estado (87) [Data Protection (Charges and Information) Regulations de 2018], y ascienden al 85-90 % del presupuesto anual de la oficina (88); ii) subvención del Gobierno a la ICO, que se emplea principalmente para financiar los costes operativos de la ICO en lo que respecta a las funciones no relacionadas con la protección de datos (89); y iii) tasas por servicios ofrecidos (90). Actualmente no se cobra ninguna de estas tasas.

(91) Las funciones generales de la ICO en relación con el tratamiento de datos personales al que aplica el RGPD del Reino Unido se establecen en el artículo 57 de dicho Reglamento, que reflejan estrechamente las normas correspondientes del Reglamento (UE) 2016/679. Entre sus funciones se encuentra el control de la aplicación del RGPD del Reino Unido, la promoción de la sensibilización del público, la gestión de las reclamaciones presentadas por los interesados, la realización de investigaciones, etc. Además, la sección 115 de la DPA de 2018 establece otras funciones generales de la ICO, que incluyen el deber de asesorar al Parlamento, el Gobierno y otras instituciones y organismos sobre las medidas legislativas y administrativas relacionadas con la protección de los derechos y libertades de las personas en relación con el tratamiento de los datos personales, y la facultad de emitir, por iniciativa propia o previa solicitud, dictámenes al Parlamento, al Gobierno u otras instituciones y organismos, así como al público, sobre cualquier cuestión relacionada con la protección de los datos personales. A fin de mantener la independencia del poder judicial, la ICO no está autorizada para ejercer sus funciones en relación con el tratamiento de datos personales por parte de una persona en el ejercicio de su función judicial o de un tribunal que actúe en el ejercicio de su función judicial. Sin embargo, la supervisión del poder judicial está a cargo de organismos especializados (véanse los considerandos 99 a 103).

2.6.2. Ejecución, incluidas sanciones

(92) Los poderes de la ICO se establecen en el artículo 58 del RGPD del Reino Unido, que no introduce cambios sustanciales en relación con el artículo correspondiente del Reglamento (UE) 2016/679. La DPA de 2018 establece normas adicionales sobre la forma de ejecución de estos poderes. En concreto, la ICO dispone de poderes para: a) ordenar al responsable y al encargado del tratamiento (y, en determinadas circunstancias, a cualquier otra persona), que faciliten información necesaria mediante un aviso de información («aviso de información») (91); b) llevar a cabo investigaciones y auditorías dando un aviso de evaluación, que puede requerir que el responsable o encargado del tratamiento permita a la ICO entrar en instalaciones específicas, inspeccionar o examinar documentos o equipos, entrevistar a las personas que tratan los datos personales en nombre del responsable, etc. («aviso de evaluación») (92); c) obtener el acceso a documentos, etc. de los responsables y encargados del tratamiento y acceder a sus instalaciones de acuerdo con la sección 154 de la DPA de 2018 («poderes de entrada e inspección»); d) ejercer poderes correctivos mediante advertencias y sanciones o dar órdenes mediante un aviso de ejecución, que requiera que los responsables/encargados del tratamiento adopten o se abstengan de adoptar medidas específicas, incluida la orden al responsable o encargado de llevar a cabo alguna de las acciones especificadas en el artículo 58, apartado 2, letras c) a g) y letra j), del RGPD del Reino Unido («aviso de ejecución») (93); e) emitir multas administrativas en forma de aviso de sanción («aviso de sanción») (94). Este último también puede emitirse en caso de que una autoridad pública no haya cumplido con las disposiciones del RGPD del Reino Unido (95).

(93) La política de acción reguladora de la ICO establece las circunstancias en virtud de las cuales emitirá un aviso de información, de evaluación, de ejecución o de sanción (96). Un aviso de ejecución que se emite en respuesta a una infracción por parte de un responsable o encargado del tratamiento solo puede imponer los requisitos que la ICO considere adecuados con el fin de remediar dicha infracción. Pueden emitirse avisos de ejecución y sanción a un responsable o encargado del tratamiento en relación con violaciones del capítulo II del RGPD del Reino Unido (principios relativos al tratamiento), los artículos 12 a 22 (derechos del interesado), los artículos 25 a 39 (obligaciones por parte del responsable y el encargado del tratamiento) y los artículos 44 a 49 (transferencias internacionales) del RGPD del Reino Unido. También puede darse un aviso de ejecución a un responsable del tratamiento que ha incumplido el requisito de pagar una tasa en las regulaciones establecidas con arreglo a la sección 137 de la DPA de 2018. Además, un organismo de supervisión, en virtud del artículo 41, o un proveedor de servicios de certificación pueden recibir un aviso de ejecución si no cumplen con sus obligaciones con arreglo al RGPD del Reino Unido. Asimismo, puede darse un aviso de sanción a una persona que no haya cumplido con un aviso de información, de evaluación o de ejecución.

(94) El aviso de sanción requiere que la persona pague a la ICO la cuantía especificada en el aviso. Para determinar si debe emitirse un aviso de sanción a una persona, así como para determinar la cuantía de dicha sanción, la ICO debe tener en cuenta las cuestiones enumeradas en el artículo 83, apartados 1 y 2, del RGPD del Reino Unido, que son idénticas a las correspondientes del Reglamento (UE) 2016/679 (97). Con arreglo al artículo 83, apartados 4 y 5, del RGPD del Reino Unido la cuantía máxima de las multas administrativas en caso de incumplimiento de las obligaciones indicadas en dichas disposiciones es de 8,7 millones o 17,5 millones de libras esterlinas, respectivamente. Si se trata de una empresa, la ICO puede también imponer multas como porcentaje del volumen de negocio total anual global, cuando este sea superior. Al igual que en las disposiciones equivalentes del Reglamento (UE) 2016/679, estas cuantías se establecen en el 2 y el 4 % en el artículo 83, apartados 4 y 5, respectivamente. En caso de incumplimiento de un aviso de información, de evaluación o de ejecución, la cuantía máxima de la sanción que puede imponerse mediante un aviso de sanción es la cuantía mayor de 17,5 millones de libras esterlinas o, en el caso de una empresa, el 4 % del volumen de negocio total anual global.

(95) El RGPD del Reino Unido, junto con la DPA de 2018, también ha reforzado otros poderes de la ICO. Por ejemplo, la ICO ahora puede realizar auditorías obligatorias en relación con todos los responsables y encargados del tratamiento mediante el recurso a los avisos de evaluación, mientras que con arreglo a la legislación anterior, la Data Protection Act de 1998, la ICO solo tenía esta facultad en relación con el Gobierno central y las organizaciones de la salud, mientras que los demás organismos debían aceptar la auditoría previamente.

(96) Desde la introducción del Reglamento (UE) 2016/679, la ICO atiende en torno a 40 000 reclamaciones de interesados al año (98) y, además, lleva a cabo unas 2 000 investigaciones ex officio (99). La mayoría de las reclamaciones están relacionadas con los derechos de acceso y comunicación de los datos. Tras sus investigaciones, la ICO está tomando medidas de ejecución en una amplia gama de sectores. En concreto, según el último informe anual de la ICO (2019-2020) (100), se emitieron 54 avisos de información, 8 avisos de evaluación, 7 avisos de ejecución, 4 amonestaciones, 8 enjuiciamientos y 15 multas durante el período de notificación (101).

(97) Esto incluye varias sanciones monetarias importantes impuestas en virtud del Reglamento (UE) 2016/679 y la DPA de 2018. En concreto, la ICO multó en octubre de 2020 a una compañía aérea británica con 20 millones de libras esterlinas por una violación de la seguridad de los datos que afectó a más de 400 000 clientes. A finales de octubre de 2020, una cadena hotelera internacional recibió una multa de 18,4 millones de libras esterlinas por no mantener seguros los datos personales de millones de clientes y, en noviembre de 2020, un proveedor de servicios británico que vendía entradas para eventos en línea recibió una multa de 1,25 millones de libras esterlinas por no proteger la información de pago de los clientes (102).

(98) Además de los poderes de ejecución de la ICO descritos en el considerando 92, ciertas violaciones de la legislación en materia de protección de datos constituyen infracciones y, por tanto, pueden estar sujetas a sanciones penales (sección 196 de la DPA de 2018). Esto aplica, por ejemplo, a la obtención o comunicación de datos personales intencionalmente o a causa de una imprudencia sin el consentimiento del responsable del tratamiento, la comunicación de datos personales a otra persona sin el consentimiento del responsable del tratamiento (103), la desanonimización de información basada en datos personales anonimizados sin el consentimiento del responsable del tratamiento encargado de anonimizar los datos personales (104), obstaculizar de manera intencionada a la ICO para ejercer sus poderes en relación con la inspección de datos personales con arreglo a las obligaciones internacionales (105), realizar declaraciones falsas en respuesta a un aviso de información o destruir información en relación con avisos de información y evaluación (106).

2.6.3. Supervisión del poder judicial

(99) La supervisión del tratamiento de datos personales por parte de los tribunales y el poder judicial es doble. Cuando el titular de un cargo judicial o un tribunal no actúa en el ejercicio de su función judicial, la ICO se encarga de la supervisión. Cuando el responsable del tratamiento actúa en el ejercicio de su función judicial, la ICO no puede ejercer sus funciones de supervisión (107) y, en consecuencia, organismos especiales realizan la supervisión. Esto refleja el enfoque adoptado en Reglamento (UE) 2016/679 (artículo 55, apartado 3).

(100) En el segundo escenario, para los tribunales de Inglaterra y Gales y los Tribunales de Primera Instancia y Tribunales Superiores de Inglaterra y Gales, dicha supervisión la proporciona, en particular, el Judicial Data Protection Panel (Sala Jurisdiccional de Protección de Datos) (108). Además, el Lord Chief Justice y el Senior President of Tribunals emitieron un aviso de privacidad (109) que establece cómo los tribunales de Inglaterra y Gales tratan los datos personales para las funciones jurisdiccionales. Los poderes judiciales de Irlanda del Norte (110) y Escocia (111) emitieron una notificación similar.

(101) Además, en Irlanda del Norte, el Lord Chief Justice de Irlanda del Norte nombró a un juez del Tribunal Superior como Data Supervisory Judge (juez supervisor de datos) (112). Asimismo, se han emitido unas directrices para el poder judicial de Irlanda del Norte sobre qué hacer en caso de pérdida o posible pérdida de datos y el proceso para abordar cualquier problema que surja a raíz de ello (113).

(102) En Escocia, el Lord President designó un juez supervisor de datos (Data Supervisory Judge) para investigar cualquier queja por motivos de protección de datos. Esta medida se establece en las normas sobre reclamaciones judiciales, que reflejan las establecidas para Inglaterra y Gales (114).

(103) Por último, en el Tribunal Supremo del Reino Unido se designa a uno de los magistrados para supervisar la protección de datos.

2.6.4. Acciones administrativas y judiciales

(104) A fin de garantizar una protección adecuada y, en particular, el respeto de los derechos individuales, deben reconocerse al interesado acciones administrativas y judiciales efectivas, incluida la indemnización por daños y perjuicios.

(105) En primer lugar, todo interesado tiene derecho a presentar una reclamación ante la ICO si considera que, en relación con los datos personales que le conciernen, existe una infracción del RGPD del Reino Unido (115). El RGPD del Reino Unido mantiene sin cambios las normas que establece el artículo 77 del Reglamento (UE) 2016/679 en relación con ese mismo derecho. Lo mismo aplica al artículo 57, apartado 1, letra f), y al apartado 2, del RGPD del Reino Unido, que establece las funciones de la ICO en relación con la tramitación de las reclamaciones. Tal como se describe en los considerandos 92 a 98, la ICO tiene el poder de evaluar la conformidad del responsable y el encargado del tratamiento con el RGPD del Reino Unido y la DPA de 2018, y de exigirles que adopten o se abstengan de adoptar las medidas necesarias en caso de incumplimiento e imponer multas.

(106) En segundo lugar, el RGPD del Reino Unido y la DPA de 2018 otorgan el derecho a la tutela judicial contra la ICO. Con arreglo al artículo 78, apartado 1, del RGPD del Reino Unido, un individuo tiene derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de la ICO que le concierna. En el contexto del control jurisdiccional, el juez examina la decisión impugnada en la reclamación y valora si la ICO ha actuado de manera lícita. Además, en virtud del artículo 78, apartado 2, del RGPD del Reino Unido, si la ICO no da curso a una reclamación presentada por el interesado (116), el reclamante tiene acceso a la tutela judicial. Este puede solicitar a un Tribunal de Primera Instancia que ordene a la ICO tomar las medidas adecuadas para responder a la reclamación, o para informar al reclamante sobre el progreso de la misma (117). Por otro lado, toda persona a la que la ICO haya hecho entrega de uno de los avisos mencionados anteriormente (de información, evaluación, ejecución o sanción) puede apelar ante un Tribunal de Primera Instancia (118). Si el tribunal considera que la decisión de la ICO no cumple con la ley o que la ICO debería haber ejercido su facultad de apreciación de manera diferente, entonces el tribunal debe permitir la apelación o sustituir cualquier otro aviso o decisión que la ICO pudiera haber dado o adoptado.

(107) En tercer lugar, todo individuo tiene derecho a emprender acciones judiciales contra los responsables y encargados del tratamiento directamente ante los tribunales, de conformidad con el artículo 79 del RGPD del Reino Unido y la sección 167 de la DPA de 2018. Si, en una solicitud por parte de un interesado, un tribunal está convencido de que ha habido una infracción de los derechos del interesado en virtud de la legislación en materia de protección de datos, el tribunal puede ordenar al responsable, en relación con el tratamiento (o un encargado que actúe en nombre de ese responsable del tratamiento), que tome las medidas especificadas en la resolución o que se abstenga de tomar las medidas especificadas en la misma.

(108) Además, con arreglo al artículo 82 del RGPD del Reino Unido y la sección 168 de la DPA de 2018, toda persona que haya sufrido daños y perjuicios materiales o inmateriales como resultado de una infracción del RGPD del Reino Unido tiene derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos. Las normas relativas a la indemnización y la responsabilidad recogidas en el artículo 82, apartados 1 a 5, del RGPD del Reino Unido son idénticas a las normas correspondientes del Reglamento (UE) 2016/679. Con arreglo a la sección 168 de la DPA de 2018, los daños y perjuicios inmateriales incluyen también la ansiedad. En virtud del artículo 80 del RGPD del Reino Unido, el interesado tiene también derecho a dar mandato a un organismo u organización representante para presentar en su nombre la reclamación ante la ICO (con arreglo al artículo 77 del RGPD del Reino Unido) y a ejercer los derechos mencionados en los artículos 78 (derecho a la tutela judicial efectiva contra la ICO), 79 (derecho a la tutela judicial efectiva contra el responsable o encargado del tratamiento) y 82 (derecho a indemnización y responsabilidad) del RGPD del Reino Unido en su nombre.

(109) En cuarto lugar, y además de las vías de reparación descritas previamente, toda persona que considere que las autoridades públicas han violado sus derechos, incluidos los derechos a la privacidad y la protección de datos, puede obtener una reparación ante los tribunales del Reino Unido en virtud de la Human Rights Act de 1998 (119). Una persona física que alegue que una autoridad pública ha actuado (o se propone actuar) de una manera que es incompatible con un derecho del Convenio Europeo de Derechos Humanos y, por lo tanto, ilícita en virtud del artículo 6, apartado 1, de la Human Rights Act de 1998, puede iniciar un procedimiento contra dicha autoridad en el tribunal correspondiente, o apelar a los derechos de que se trate en cualquier procedimiento judicial cuando sea (o vaya a ser) víctima del acto ilícito.

(110) Si el tribunal determina que un acto de una autoridad pública es ilícito, puede conceder dicha compensación o reparación o dictar sentencia, dentro de sus facultades, según lo considere justo y adecuado (120). El tribunal también puede declarar que una disposición de la legislación primaria es incompatible con uno de los derechos del Convenio.

(111) Por último, una vez agotados los recursos nacionales, una persona puede obtener una reparación ante el Tribunal Europeo de Derechos Humanos por violaciones de los derechos garantizados por el Convenio Europeo de Derechos Humanos.

3. ACCESO Y USO POR LAS AUTORIDADES PÚBLICAS DEL REINO UNIDO DE DATOS PERSONALES TRANSFERIDOS DESDE LA UNIÓN EUROPEA

(112) La Comisión evaluó también el marco jurídico del Reino Unido para la recogida y el uso posterior de los datos personales que las autoridades públicas del Reino Unido transfieren a operadores comerciales del Reino Unido en interés público, en particular a efectos de control de la aplicación del Derecho penal y de seguridad nacional (en lo sucesivo, denominado «acceso gubernamental»). A la hora de evaluar si, con arreglo a la presente Decisión, las condiciones en las que el acceso del Gobierno a los datos transferidos al Reino Unido cumpliría la prueba de «equivalencia esencial» de conformidad con el artículo 45, apartado 1, del Reglamento (UE) 2016/679, según la interpretación del Tribunal de Justicia de la Unión Europea a la luz de la Carta de los Derechos Fundamentales, la Comisión tuvo en cuenta, en particular, los siguientes criterios.

(113) En primer lugar, cualquier limitación al derecho a la protección de datos personales debe estar prevista por la ley y la base jurídica que permite la injerencia en este derecho debe definir por sí misma el alcance de la limitación al ejercicio del derecho en cuestión (121).

(114) En segundo lugar, a fin de satisfacer el requisito de proporcionalidad, según el cual las excepciones y limitaciones a la protección de datos personales deben aplicarse únicamente en la medida en que sea estrictamente necesario en una sociedad democrática para lograr objetivos específicos de interés general equivalentes a los reconocidos por la Unión, la legislación del tercer país en cuestión que permite la interferencia debe establecer normas claras y precisas que regulen el alcance y la aplicación de dichas medidas e imponer salvaguardias mínimas para que las personas cuyos datos se hayan transferido dispongan de garantías suficientes para proteger de manera efectiva sus datos personales contra un posible riesgo de abuso (122). En particular, la legislación debe indicar en qué circunstancias y en qué condiciones puede adoptarse una medida que prevea el tratamiento de dichos datos (123), así como someter el cumplimiento de tales requisitos a una supervisión independiente (124).

(115) En tercer lugar, esta legislación debe ser jurídicamente vinculante en virtud del Derecho interno y estos requisitos jurídicos no solo deben ser vinculantes para las autoridades, sino también exigibles ante los tribunales contra las autoridades del tercer país en cuestión (125). En concreto, los interesados deben tener la posibilidad de emprender acciones legales ante un tribunal independiente e imparcial para acceder a los datos personales que les conciernen o para obtener su rectificación o supresión (126).

3.1. Marco jurídico general

(116) Como ejercicio de poder por parte de una autoridad pública, el acceso del Gobierno en el Reino Unido debe llevarse a cabo con pleno respeto de la ley. El Reino Unido ha ratificado el Convenio Europeo de Derechos Humanos (véase el considerando 9) y todas las autoridades públicas del Reino Unido deben actuar de conformidad con el Convenio (127). El artículo 8 del Convenio establece que cualquier injerencia en la vida privada debe estar prevista por la ley, en interés de uno de los objetivos establecidos en el artículo 8, apartado 2, y proporcionada a la luz de ese objetivo. Asimismo, el artículo 8 exige que la injerencia sea «previsible», es decir, que tenga una base jurídica clara y accesible, y que la ley contenga las garantías adecuadas para evitar abusos.

(117) Además, en su jurisprudencia, el Tribunal Europeo de Derechos Humanos especifica que cualquier injerencia en el derecho a la privacidad y la protección de datos debe estar sujeta a un sistema de supervisión eficaz, independiente e imparcial que debe brindar un juez u otro organismo independiente (128) (por ejemplo, una autoridad administrativa o una instancia parlamentaria).

(118) Por otro lado, las personas deben disponer de una tutela judicial efectiva, y el Tribunal Europeo de Derechos Humanos ha aclarado que el recurso debe ofrecerlo un organismo independiente e imparcial que haya adoptado su propio reglamento interno, integrado por miembros que deben ostentar o haber ostentando un alto cargo judicial o ser abogados con experiencia, y que no debe haber una carga probatoria que deba superarse para presentar una demanda ante él. Al realizar el examen de las reclamaciones de las personas físicas, el organismo independiente e imparcial debe tener acceso a toda la información pertinente, incluidos los materiales restringidos. Por último, debe contar con los poderes para subsanar el incumplimiento (129).

(119) El Reino Unido ratificó también el Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal y firmó el Protocolo que modifica dicho Convenio en 2018 (130). El artículo 9 del Convenio establece que las excepciones a los principios generales de protección de datos (artículo 5, calidad de los datos), las normas que rigen las categorías especiales de datos (artículo 6, categorías particulares de datos) y los derechos del interesado (artículo 8, garantías complementarías para la persona concernida) solo son admisibles cuando dicha excepción está prevista por la ley de la Parte y constituye una medida necesaria en una sociedad democrática en interés de proteger la seguridad del Estado, la seguridad pública, los intereses monetarios del Estado o la represión de infracciones penales, o para proteger al interesado o los derechos y libertades de otras personas (131).

(120) Por lo tanto, a través de la pertenencia al Consejo de Europa, la adhesión al Convenio Europeo de Derechos Humanos y el acatamiento de la jurisdicción del Tribunal Europeo de Derechos Humanos, el Reino Unido está sujeto a una serie de obligaciones, consagradas en el Derecho internacional, que enmarcan su sistema de acceso gubernamental sobre la base de principios, garantías y derechos individuales similares a los que garantiza el Derecho de la Unión y que son de aplicación en los Estados miembros. Tal como se destaca en el considerando 19, la adhesión continuada a dichos instrumentos es, por tanto, un elemento de especial importancia para la evaluación en la que se basa la presente Decisión.

(121) Además, la DPA de 2018 garantiza derechos y garantías específicos de protección de datos cuando los datos los tratan las autoridades públicas, incluidas las autoridades encargadas de garantizar el cumplimiento de la ley y los cuerpos nacionales de seguridad.

(122) En particular, el régimen para el tratamiento de datos personales en el ámbito penal se establece en la parte 3 de la DPA de 2018, que se promulgó a fin de adoptar la Directiva (UE) 2016/680. La parte 3 de la DPA de 2018 se aplica al tratamiento de datos personales con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención (132).

(123) En la sección 30 de la DPA de 2018 se define el concepto de «autoridad competente» como una persona incluida en el anexo 7 de la DPA, así como cualquier otra persona en la medida en que dicha persona tenga funciones estatutarias a efectos de la aplicación de la ley (133). Tal como se explica más adelante (véase el considerando 139), algunas autoridades competentes (por ejemplo, la National Crime Agency) pueden, en determinadas condiciones, ejercer los poderes previstos en la Investigatory Powers Act de 2016 (Ley de poderes de investigación, «IPA de 2016»). En este caso, además de las garantías establecidas en la parte 3 de la DPA de 2018, se aplicarán las garantías que establece la IPA de 2016. Los servicios de inteligencia (el Servicio de Inteligencia Secreto, el Servicio de Seguridad y el Cuartel General de Comunicaciones del Gobierno) no son «autoridades competentes» (134) con arreglo a la parte 3 de la DPA de 2018 y, por tanto, las normas previstas en ella no tienen aplicación en ninguna de sus actividades. Una parte específica de la DPA de 2018 (parte 4) trata sobre el tratamiento de datos personales por parte de los servicios de inteligencia (para más información, véase el considerando 125).

(124) De manera similar a la Directiva (UE) 2016/680, la parte 3 de la DPA 2018 establece los principios de licitud y lealtad (135), limitación de la finalidad (136), minimización de los datos (137), exactitud (138), limitación del plazo de conservación (139) y seguridad (140). La legislación impone obligaciones específicas de transparencia (141) y otorga a las personas el derecho de acceso (142), rectificación y supresión (143) y el derecho a no estar sujeto a decisiones automatizadas (144). También se solicita a las autoridades competentes que apliquen la protección de datos desde el diseño y por defecto, que mantengan los registros de las actividades de tratamiento y, para determinadas operaciones de tratamiento, que lleven a cabo evaluaciones de impacto relativas a la protección de datos, previa consulta a la ICO (145). Con arreglo a la sección 56 de la DPA de 2018, también deben demostrar el cumplimiento de estas obligaciones. Además, están obligadas a aplicar medidas adecuadas para garantizar la seguridad del tratamiento (146) y están sujetas a obligaciones específicas en caso de una violación de la seguridad de los datos, incluida la notificación de dichas violaciones de la seguridad a la ICO y a los interesados (147). Al igual que en la Directiva (UE) 2016/680, también existe el requisito de que el responsable del tratamiento (salvo que sea un tribunal u otra autoridad judicial que actúe en el ejercicio de su función judicial) designe un delegado de protección de datos (148) que ayude al responsable del tratamiento en el cumplimiento de sus obligaciones y en el seguimiento de dicho cumplimiento (149). Por otro lado, la legislación impone requisitos específicos para las transferencias internacionales de datos personales con fines de aplicación de la ley a terceros países u organizaciones internacionales para garantizar la continuidad de la protección (150). En la misma fecha que la presente Decisión, la Comisión ha adoptado una decisión de adecuación sobre la base del artículo 36, apartado 3, de la Directiva (UE) 2016/680, al concluir que el régimen de protección de datos aplicable al tratamiento por parte de las autoridades encargadas de garantizar el cumplimiento del Derecho penal del Reino Unido garantiza un nivel de protección esencialmente equivalente al que garantiza la Directiva (UE) 2016/680.

(125) La parte 4 de la DPA de 2018 se aplica a todo tratamiento de datos personales por parte de los servicios de inteligencia o realizado en su nombre. En concreto, establece los principios fundamentales de la protección de datos (licitud, lealtad y transparencia (151); limitación de la finalidad (152); minimización de los datos (153); exactitud (154); limitación del plazo de conservación (155) y seguridad (156)), impone condiciones sobre el tratamiento de categorías especiales de datos (157), establece los derechos de los interesados (158), requiere la protección de datos desde el diseño (159) y regula las transferencias internacionales de datos personales (160). Recientemente, la ICO ha publicado orientaciones detalladas sobre el tratamiento por parte de los servicios de inteligencia, en la parte 4 de la DPA de 2018 (161).

(126) Al mismo tiempo, la sección 110 de la DPA de 2018 prevé una exención de las disposiciones especificadas en la parte 4 de esta Ley (162) cuando dicha exención sea necesaria para salvaguardar la seguridad nacional. Es posible acogerse a esta exención sobre la base de un análisis caso por caso (163). Tal como aclararon las autoridades del Reino Unido y como confirma la jurisprudencia, el «responsable del tratamiento debe tener en cuenta las consecuencias reales para la seguridad nacional o la defensa en caso de tener que cumplir con la disposición de protección de datos en cuestión, así como si podría cumplir razonablemente con la norma habitual sin perjudicar a la seguridad nacional o la defensa» (164). La ICO es la encargada de supervisar si la exención se ha utilizado adecuadamente o no (165).

(127) Además, en relación con la posibilidad de restringir la aplicación de las disposiciones específicas antes mencionadas, con arreglo a la sección 111 de la DPA de 2018, con el fin de proteger la «seguridad nacional», un responsable del tratamiento puede solicitar un certificado firmado por un ministro del Gabinete o por el fiscal general que certifique que una restricción de tales derechos constituye una medida necesaria y proporcionada para la protección de la seguridad nacional (166).

(128) El Gobierno del Reino Unido ha publicado una guía para ayudar a los responsables del tratamiento cuando deban considerar si deben solicitar un certificado de seguridad nacional con arreglo a la DPA de 2018, que destaca en particular que cualquier limitación a los derechos de los interesados para salvaguardar la seguridad nacional debe ser proporcion