Els recents canvis en el marc de les transferències internacionals de dades estan generant dubtes a nombroses organitzacions sobre les clàusules contractuals tipus (les “Clàusules”) que han d’utilitzar quan pretenen realitzar transferències internacionals de dades personals des del Regne Unit a tercers països.
La situació és encara una mica complicada, ja que l’Autoritat de Protecció de Dades al Regne Unit, l’ICO, encara no ha publicat unes Clàusules específiques per al Regne Unit. En aquest moment cal diferenciar dos possibles escenaris:
- Per a les transferències des del Regne Unit a tercers, les empreses han de continuar utilitzant ara com ara la versió britànica de les antigues Clàusules. Aquestes seran substituïdes per un nou Acord de Transferència Internacional de Dades del Regne Unit (previst per a finals d’enguany).
- Per a les transferències des de la Unió Europea (“UE”) a tercers països, han d’utilitzar-se les noves Clàusules de la UE. I els contractes existents han d’actualitzar-se per a reflectir les noves Clàusules de la UE abans de desembre de 2022.
Encara que l’ús de les noves Clàusules de la UE no seria vàlid al Regne Unit actualment, fa uns mesos la Autoritat de Protecció de Dades al Regne Unit, l’ICO, va publicar, subjecte a consulta, un apèndix que s’utilitzarà amb les noves Clàusules de la UE perquè puguin ser utilitzades al Regne Unit, així com a la UE (el “Addendum”). Quant als acords de transferència de dades de les empreses, aquestes podrien utilitzar el Addendum per a afegir el Regne Unit les noves Clàusules de la UE una vegada que siguin vàlides.
Donada la situació, algunes organitzacions estan intentant avançar part d’aquest treball utilitzant les noves Clàusules de la UE i incorporant la versió preliminar del Addendum del Regne Unit, juntament amb una disposició perquè les parts es comprometin a substituir el projecte de Addendum pel nou quan es publiqui la versió final. Encara que aquest enfocament no garantiria un absolut compliment (ja que es basa en una versió esborrador del Addendum), podria ser una opció acceptable de manera temporal per a aquelles organitzacions que no valorin adjuntar dos conjunts diferents de Clàusules als contractes per les complicacions que això comporta.
Finalment, quant a les obligacions addicionals de les noves Clàusules de la UE que les empreses britàniques han de conèixer, les noves Clàusules són molt similars a les antigues. La principal diferència a nivell operatiu és que requereixen informació/detalls addicionals sobre la transferència en els apèndixs i les organitzacions poden haver de verificar això amb els seus registres d’activitats del tractament. El format de les noves Clàusules de la UE és bastant diferent, ja que es divideixen en quatre mòduls en funció de la relació d’intercanvi de dades: de responsable a responsable, de responsable a encarregat, d’encarregat a encarregat i d’encarregat a subencargado (mentre que les antigues solament contemplaven transferències de responsable a responsable i de responsable a encarregat).
