Brexit británico y consecuencias de la gestión de datos para las empresas estadounidenses en Europa

Repercusiones de la decisión del Reino Unido de retirarse de la Unión Europea

Podría tener consecuencias de gran alcance para las empresas internacionales, que tendrán que replantearse sus políticas de gestión de datos. Aunque el Reino Unido forma parte de la UE, tiene las mismas leyes de soberanía de datos que los demás países de la UE. Cuando el Reino Unido se separe, esas leyes cambiarán. Las empresas estadounidenses que operan en Europa pueden tener que gestionar un conjunto de leyes de privacidad de datos para el Reino Unido y otro para los países miembros de la UE. La cuestión afectará tanto a los proveedores de servicios gestionados y en la nube, que podrían tener que ofrecer opciones adicionales a los clientes para alojar datos en toda Europa, como a los usuarios finales de las empresas, que podrían tener que reconsiderar dónde se almacenan sus datos en Europa.

Con un número cada vez mayor de empresas en riesgo de violación de datos, el cumplimiento de la legislación sobre protección de datos es una cuestión cada vez más importante. Las empresas que operan en el Reino Unido deben asegurarse de que son conscientes de las posibles consecuencias para el cumplimiento, en particular con respecto al nuevo Reglamento General de Protección de Datos (RGPD) de la UE.Es poco probable que el Reino Unido aplique una legislación en consonancia con el RGPD. Por lo tanto, es poco probable que las empresas que operan únicamente en el Reino Unido con clientes británicos, y que almacenan datos únicamente en el Reino Unido, tengan que aplicar cambios significativos en sus procesos de protección de datos. Sin embargo, las empresas estadounidenses que también operan en la UE seguirían teniendo que garantizar el cumplimiento del RGPD para los datos de sus clientes de la UE, por lo que deberían considerar la adopción de las medidas que se indican a continuación.Al salir de la UE, el Reino Unido tendría varias opciones para garantizar el cumplimiento de la normativa de la UE:

• El Reino Unido podría solicitar el estatus de "jurisdicción adecuada" -que actualmente ostentan varios países, entre ellos Canadá, Israel, Suiza y Uruguay-, lo que implica que la legislación británica ofrece una "equivalencia esencial" en materia de protección de datos.
• Como alternativa, el Reino Unido podría solicitar la adhesión a la Asociación Europea de Libre Comercio (AELC) o al Espacio Económico Europeo (EEE), lo que implicaría que el Reino Unido tiene una legislación en consonancia con el RGPD, aplicará el RGPD o proporcionará garantías adicionales de equivalencia esencial.
• Lo más probable es que el Reino Unido busque un acuerdo para regular las transferencias de datos utilizando el modelo del Escudo de Privacidad UE-EE.UU.. Según este modelo, las empresas estarían obligadas a garantizar que los datos de los clientes de la UE se tratan de acuerdo con la normativa del RGPD.

Acuerdos provisionales Es probable que haya un período de tiempo en el que las empresas internacionales tengan que basarse en las cláusulas contractuales tipo (SCC) y las normas corporativas vinculantes (BCR), los mecanismos legales de la UE para las transferencias de datos. Al celebrar estos acuerdos, las empresas deberán tratar los datos de los ciudadanos de la UE de conformidad con el RGPD, siguiendo las condiciones descritas anteriormente, así como cumplir con cualquier obligación legal dentro de los límites de las CEC y las RCE. En tales casos, las empresas deben tener en cuenta lo siguiente:

\
• Se exigirá a las empresas que traten los datos de los ciudadanos de la UE de acuerdo con el RGPD. Esto significará tomar las mismas medidas que se exigirán si el Reino Unido permanece en la UE. Las empresas deben consultar las orientaciones anteriores sobre el cumplimiento del RGPD, que no se aplicarán a los datos de los ciudadanos del Reino Unido.
• Se exigirá a las empresas que dispongan de locales en la UE que sean responsables del tratamiento de los datos de la UE. Esto implicará designar una oficina dentro de la UE como oficina principal de la empresa. Esta oficina informará a la autoridad supervisora del país en el que tenga su sede en nombre de toda la empresa, como autoridad principal de esa empresa.
• Las empresas tendrán que disponer de alternativas legales al RGPD para evitar la interrupción de los servicios. La UE ya ha publicado dos conjuntos de modelos de CSC, que pueden utilizarse literalmente en caso necesario; sin embargo, cualquier cambio necesario debe ser aprobado por la autoridad de protección de datos del Estado miembro de la UE correspondiente. Las empresas deben trabajar con su departamento jurídico para asegurarse de que tanto los CSC como las BCR cumplen la legislación de la UE.

A menos que el Reino Unido armonice con las nuevas normas de la UE, las empresas estadounidenses pueden perder la capacidad de procesar datos de consumidores europeos en el Reino Unido, a menos que adopten políticas sugeridas por la UE o aprobadas por una autoridad de protección de datos de la UE. Esto podría afectar a las empresas que quieran utilizar centros de datos en el Reino Unido, incluso como copia de seguridad si sus centros de datos en otros países de la UE dejan de funcionar. Las empresas regionales de computación en nube son especialmente vulnerables a las complicaciones de una región reguladora dividida. Las empresas de computación en nube funcionan con más eficacia cuando pueden trasladar fácilmente las cargas de un centro de datos a otro. Restringir los tipos de datos que pueden almacenarse en ubicaciones específicas dificulta esa flexibilidad. Fuentes del contenido: Financial Times, Bloomberg, Control Risks, Network World, TechWeek Europe