C 15/220
ES
Diario Oficial de la Unión Europea
12.1.2022
Viernes 21 de mayo de 2021
C. Considerando que el Reino Unido ha sido tradicionalmente un importante socio comercial de muchos Estados miembros de la Unión, así como un estrecho aliado en el ámbito de la seguridad; que la Unión Europea y el Reino Unido deben mantener esta estrecha cooperación a pesar de la retirada del Reino Unido de la Unión, ya que será beneficiosa para ambas partes; D. Considerando que las empresas europeas necesitan claridad y seguridad jurídicas, ya que la capacidad de transferir datos personales a través de las fronteras es cada vez más importante para todos los tipos de empresas que suministran bienes y servicios a escala internacional; que una decisión de adecuación relativa al Reino Unido en virtud del RGPD reviste una suma importancia, ya que muchas empresas europeas realizan intercambios comerciales a través del canal de la Mancha, en particular teniendo en cuenta que el Brexit sigue siendo muy reciente y que los flujos de datos dentro de la Unión no han estado sujetos a restricciones; que un fracaso en la adopción de un marco de adecuación sólido podría afectar a las transferencias comerciales transfronterizas de datos personales entre la Unión y el Reino Unido, así como generar unos elevados costes de conformidad; E. Considerando que el Acuerdo de Comercio y Cooperación incluye una serie de salvaguardias y condiciones para el intercambio de datos personales pertinentes en el contexto de la exigencia del cumplimiento de la ley; que las negociaciones sobre los flujos de datos personales se llevaron a cabo en paralelo a las negociaciones sobre el Acuerdo de Comercio y Cooperación, pero no habían concluido al final del período de transición, el 31 de diciembre de 2020; que en el Acuerdo de Comercio y Cooperación se incluyó una «cláusula pasarela» como solución provisional, supeditada al compromiso del Reino Unido de no modificar su actual régimen de protección de datos, a fin de garantizar la continuidad de los flujos de datos personales entre el Reino Unido y la Unión hasta la adopción de una decisión de adecuación; que el período inicial de cuatro meses se ha prorrogado y expirará a finales de junio de 2021; F. Considerando que la evaluación llevada a cabo por la Comisión antes de presentar su proyecto de decisión de ejecución es incompleta y no está en consonancia con los requisitos del TJUE para las evaluaciones de adecuación, como puso de relieve el CEPD en sus dictámenes sobre la adecuación, en los que recomienda a la Comisión que evalúe ulteriormente aspectos específicos de la legislación y la práctica del Reino Unido relativas a la recopilación masiva, la divulgación en el extranjero y los acuerdos internacionales en el ámbito del intercambio de información de inteligencia, el uso adicional de la información recopilada con fines de exigencia de cumplimiento de la ley y la independencia de los comisionados judiciales; G. Considerando que la Comisión no ha tenido en cuenta determinados aspectos de la legislación o la práctica del Reino Unido, lo que ha dado lugar a proyectos de decisiones de ejecución que no son coherentes con el Derecho de la Unión; que el artículo 45 del RGPD establece que, al evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta, en particular «[…] la legislación pertinente, tanto general como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, así como la aplicación de dicha legislación, las normas de protección de datos, las normas profesionales y las medidas de seguridad, incluidas las normas sobre transferencias ulteriores de datos personales a otro tercer país u organización internacional observadas en ese país u organización internacional, la jurisprudencia, […]» y «[…] los compromisos internacionales asumidos por el tercer país u organización internacional de que se trate, u otras obligaciones derivadas de acuerdos o instrumentos jurídicamente vinculantes, así como de su participación en sistemas multilaterales o regionales, en particular en relación con la protección de los datos personales», lo que incluye los acuerdos internacionales en otros ámbitos que conlleven el acceso a datos o el intercambio de información y, por tanto, requiere una evaluación de esos acuerdos internacionales; H. Considerando que el TJUE estableció con claridad en su sentencia Schrems I que «[…] al valorar el nivel de protección ofrecido por un tercer país la Comisión está obligada a apreciar el contenido de las reglas aplicables en ese país, derivadas de la legislación interna o de los compromisos internacionales de este, así como la práctica seguida para asegurar el cumplimiento de esas reglas, debiendo atender esa institución a todas las circunstancias relacionadas con una transferencia de datos personales a un tercer país, conforme al artículo 25, apartado 2, de la Directiva 95/46/CE» (apartado 75); I. Considerando que las actividades de los servicios de inteligencia y el intercambio con terceros países están excluidos del ámbito de aplicación del Derecho de la Unión con arreglo a los Tratados en lo que respecta a los Estados miembros, pues se incluyen en el ámbito de la necesaria evaluación de la adecuación del nivel de datos personales ofrecido por terceros países, como confirmó el TJUE en las sentencias Schrems I y II; J. Considerando que las normas de protección de datos no solo se basan en la legislación vigente, sino también en su aplicación práctica, y que la Comisión solo evaluó la legislación, pero no su aplicación efectiva en la práctica, al preparar su decisión;