BREXIT E GDPR: ECCO COSA CAMBIA

Tempo di lettura: 3 minuti

A maggio 2018 il Regolamento Generale sulla Protezione dei Dati (GDPR) è diventato pienamente applicabile aumentando la protezione dei dati imponendo inoltre nuovi obblighi alle organizzazioni che trattano dati personali.

A seguito dell’uscita del Regno Unito dall’UE sono cambiate diverse cose. Ora le vedremo insieme.

GDPR E BREXIT: E’ CAMBIATO QUALCOSA?

L’ICO (l’Autorità Garante Inglese per la protezione dei dati personali) ha dichiarato che durante questa fase di transizione il GDPR continuerà ad essere applicato regolarmente.

• Per quanto riguarda la protezione dei dati, il periodo di transizione è stato esteso di 4 mesi, con la possibilità (qualora né il Regno Unito né l’UE si oppongano) che vengano aggiunti altri 2 mesi. Il periodo è iniziato il 1° gennaio 2021.
• Durante il periodo di transizione il Regno Unito non sarà considerato un paese terzo all’UE per quanto concerne la protezione dei dati.
• L’ICO ha dichiarato che “questo è il miglior risultato possibile per le organizzazioni inglesi che trattano dati personali provenienti dall’UE” facendo riferimento all’accordo tra UE e Regno Unito.

COSA SUCCEDERA FINITO IL PERIODO DI TRANSIZIONE?

Ricordiamo che dato che il Regno Unito è stato tra i creatori del GDPR è probabile che lo includa nella propria legislazione. Al momento però vi è solo il Data Protection Act del 2018 (ispirato al GDPR) per tutelare i dati personali nel Regno Unito, a rimanere in vigore.

Nel caso in cui non dovesse essere raggiunto un accordo prima della fine dell’esteso periodo di transizione, i trasferimenti di dati personali dagli stati del SEE (Spazio Economico Europeo) verso il Regno Unito dovranno basarsi su Clausole Contrattuali Standard o su eccezioni.

Ricordiamo che il GDPR si applica quando:

• la base operativa dell’organizzazione si trova nell’Unione Europea;
• l’organizzazione offre beni o servizi (anche gratuitamente) a cittadini europei;
• l’organizzazione, seppure non avente sede nell’Unione Europea, monitora il comportamento delle persone che vi risiedono, a patto che tale comportamento abbia luogo all’interno del territorio UE.

Questo fa si che le aziende con sede nel Regno Unito dovranno comunque applicare il GDPR ai loro utenti con sede nell’UE. Inoltre, se un’azienda inglese ha sede operativa nell’UE, dovrà applicare gli standard di protezione previsti dal GDPR a tutti gli utenti, non solo a quelli europei. Le azienda che trasferiscono dati tra l’UE e il Regno Unito dovranno considerare sia le regole di trasferimento del Regno Unito che quelle dell’UE.

TRASFERIRE DATI IN UK DOPO LA BREXIT

Per il trasferimento di dati personali di residenti nell’UE verso il Regno Unito, lo scenario migliore sarebbe quello di adottare una decisione di adeguatezza in cui l’UE riconosca che gli standard di protezione del Regno Unito sono allineati col GDPR. D’altro canto, il trasferimento di dati personali dal Regno Unito all’UE è consentito dal Data Protection Act del 2018.

MISURE DA ADDOTTARE S ETRASFERISCI DATI PERSONALI TRA UK E UE

In mancanza di una decisione di adeguatezza, puoi adottare queste misure:

1. Adatta i tuoi registri del trattamento basandoti sui trasferimenti di dati personali.
2. Assicurati di disporre di ulteriori salvaguardie, come ad esempio le clausole contrattuali standard, se necessario.
3. Verifica se hai bisogno di un rappresentante nel Regno Unito o nell’Unione Europea. In caso affermativo aggiungi queste informazioni alla tua privacy policy.
4. Verifica se è necessario notificare il DPO alla tua autorità responsabile della protezione dei dati.
5. Includi il Data Protection Act del 2018 nella tua privacy se necessario.
6. Aggiorna le norme vincolanti d’impresa nel caso tu sia una multinazionale.
7. Se hai diverse filiali e prima della Brexit la tua sede principale era nel Regno Unito, verifica se una filiale in un paese dell’UE può soddisfare i criteri per diventare la nuova sede principale. Così facendo potrai continuare a beneficiare del cosiddetto sportello unico.

SE HAI SEDE FUORI DALL’UE E RACCOGLI DATI IN UK

Il governo britannico potrebbe prendere delle decisioni di adeguatezza. Quindi se provieni da un paese in cui non c’è una decisione di adeguatezza, assicurati di disporre di adeguate misure di salvaguardia.

SE HAI SEDE NEL REGNO UNITO E RACCOGLI DATI IN EUROPA

Il Regno Unito è attualmente oggetto di una valutazione di adeguatezza da parte della Commissione Europea. Fino a che non ci sia un verdetto vanno messe in atto adeguate misure di salvaguardia per il trasferimento dei dati dallo Spazio Economico Europeo al Regno Unito. L’ICO ha pubblicato uno strumento per aiutare le aziende nell’adozione di tali misure.

SE HAI SEDE NELLO SPAZIO ECONOMICO EUROPEO E RACCOGLI DATI IN UK

Il governo britannico ha confermato che i trasferimenti di dati personali verso lo Spazio Economico Europeo possono continuare come accadeva prima della Brexit. Puoi comunque prendere in considerazione la possibilità di aggiornare i tuoi documenti legali e la privacy policy per includere queste informazioni.