Decisión de Ejecución (UE) 2021/1773 de la Comisión, de 28 de junio de 2021, con arreglo a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por parte del Reino Unido [notificada con el número C(2021) 4801]

• Section: Serie L
• Issuing Organization: Comisión de las Comunidades Europeas

11.10.2021 ES Diario Oficial de la Unión Europea L 360/69

(1) La Directiva (UE) 2016/680 establece las normas para la transferencia de datos personales por parte de las autoridades competentes de la Unión Europea (UE) a terceros países y organizaciones internacionales en la medida en que tales transferencias entren dentro de su ámbito de aplicación. Las normas relativas a las transferencias internacionales de datos por parte de las autoridades competentes se establecen en el capítulo V de la Directiva (UE) 2016/680, en concreto en sus artículos 35 a 40. Si bien el flujo de datos personales hacia y desde países no pertenecientes a la UE es esencial para una cooperación eficaz en materia policial, debe garantizarse que el nivel de protección concedido a los datos personales en la Unión no se ve menoscabado por dichas transferencias (2).

(2) A tenor del artículo 36, apartado 3, de la Directiva (UE) 2016/680, la Comisión puede decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado. En virtud de esta condición, pueden realizarse transferencias de datos personales a un tercer país sin necesidad de obtener ninguna autorización adicional (salvo cuando otro Estado miembro del que se obtuvieron los datos tenga que dar su consentimiento para la transferencia), como se establece en el artículo 35, apartado 1, y en el considerando 66, de la Directiva (UE) 2016/680.

(3) Como se precisa en el artículo 36, apartado 2, de la Directiva (UE) 2016/680, la adopción de una decisión de adecuación debe basarse en un análisis exhaustivo del ordenamiento jurídico del tercer país. En su evaluación, la Comisión debe determinar si el tercer país en cuestión garantiza un nivel de protección «esencialmente equivalente» al ofrecido en la Unión Europea [considerando 67 de la Directiva (UE) 2016/680]. La norma con la que se evalúa el nivel de protección «esencialmente equivalente» es la que establece la legislación de la Unión Europea, en concreto la Directiva (UE) 2016/680, así como la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) (3). En este sentido, también son importantes las referencias sobre adecuación del Comité Europeo de Protección de Datos (4).

(4) Tal como ha precisado el Tribunal de Justicia de la Unión Europea, no se exige un nivel de protección idéntico (5). En particular, los medios de que se sirve el tercer país en cuestión para la protección de los datos personales pueden ser diferentes de los aplicados en la Unión Europea siempre que, en la práctica, sean eficaces para garantizar un nivel de protección adecuado (6). Por consiguiente, el nivel de adecuación no exige que se reproduzcan al pie de la letra las normas de la Unión. Se trata más bien de determinar si el sistema extranjero ofrece, en su conjunto, el nivel de protección exigido a través del contenido de los derechos de privacidad y de su ejecución, supervisión y cumplimiento efectivos (7).

(5) La Comisión ha analizado detenidamente la legislación y la práctica pertinentes del Reino Unido. A tenor de sus conclusiones, que se exponen a continuación, la Comisión concluye que el Reino Unido garantiza un nivel adecuado de protección de los datos personales transferidos por parte de las autoridades competentes de la Unión, que entran en el ámbito de aplicación de la Directiva (UE) 2016/680, a las autoridades competentes en el Reino Unido dentro del ámbito de aplicación de la parte 3 de la Data Protection Act (Ley de protección de datos) de 2018 (DPA de 2018) (8).

(6) La presente Decisión tiene como efecto que dichas transferencias puedan realizarse sin necesidad de obtener otro tipo de autorización por un período de cuatro años, sujeto a una posible renovación, y sin perjuicio de las condiciones establecidas en el artículo 35 de la Directiva (UE) 2016/680.

(7) El Reino Unido es una democracia parlamentaria. Tiene un Parlamento soberano, que es supremo frente a todas las demás instituciones gubernamentales, un poder ejecutivo que se deriva del Parlamento y rinde cuentas ante él y un poder judicial independiente. El poder ejecutivo adquiere su autoridad de su capacidad para obtener la confianza de la Cámara de los Comunes electa y rinde cuentas ante ambas cámaras del Parlamento (Cámara de los Comunes y Cámara de los Lores), que son responsables de escrutar al Gobierno y debatir y aprobar las leyes. El Parlamento del Reino Unido ha delegado la responsabilidad al Parlamento de Escocia, el Parlamento de Gales (Senedd Cymru) y la Asamblea de Irlanda del Norte de legislar en Escocia, Gales e Irlanda del Norte sobre determinados asuntos internos. Si bien la protección de datos es un asunto reservado al Parlamento británico, es decir, que la misma legislación aplica en todo el país, se delegan otras áreas de política pertinentes para la presente Decisión. Por ejemplo, los sistemas de justicia penal, incluidas las funciones policiales (actividades que realizan las autoridades policiales) de Escocia e Irlanda del Norte, se delegan en el Parlamento de Escocia y la Asamblea de Irlanda del Norte respectivamente (9).

(8) Si bien el Reino Unido no tiene una constitución codificada, en el sentido de un documento constitutivo afianzado, sus principios constitucionales han surgido con el tiempo y proceden, en particular, de la jurisprudencia y del consenso. Se ha reconocido el valor constitucional de determinadas leyes parlamentarias, como la Carta Magna, la Bill of Rights (Declaración de Derechos) de 1689 y la Human Rights Act (Ley de Derechos Humanos) de 1998. A través del common law, las leyes parlamentarias y determinados tratados internacionales, en especial el Convenio Europeo de Derechos Humanos, que el Reino Unido ratificó en 1951, se han desarrollado los derechos fundamentales de las personas como parte de la constitución. En 1987, el Reino Unido también ratificó el Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (10).

(9) La Human Rights Act de 1998 incorpora los derechos recogidos en el Convenio Europeo de Derechos Humanos al Derecho del Reino Unido. La Human Rights Act concede a toda persona los derechos y libertades fundamentales recogidos en los artículos 2 a 12 y 14 del Convenio Europeo de Derechos Humanos, los artículos 1 a 3 de su Protocolo n.o 1 y el artículo 1 de su Protocolo n.o 13, interpretados según los artículos 16 a 18 del Convenio. Esto incluye el derecho al respeto a la vida privada y familiar que, a su vez, incluye el derecho a la protección de los datos, así como el derecho a un proceso equitativo (11). En concreto, de acuerdo con el artículo 8 del Convenio Europeo de Derechos Humanos, no podrá haber injerencia de la autoridad pública en el ejercicio de este derecho sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención de las infracciones penales, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

(10) En virtud de la Human Rights Act de 1998, cualquier acción de las autoridades públicas debe ser compatible con uno de los derechos garantizados por el Convenio (12). Además, el Derecho primario y el subordinado deben interpretarse y aplicarse de manera compatible con tales derechos (13). Cualquier persona, en la medida en que considere que las autoridades públicas han violado sus derechos, incluidos los derechos a la privacidad y la protección de los datos, puede obtener una reparación ante los tribunales del Reino Unido en virtud de la Human Rights Act de 1998 y, después de agotar los recursos nacionales, puede obtener una reparación ante el Tribunal Europeo de Derechos Humanos por violaciones de los derechos reconocidos por el Convenio Europeo de Derechos Humanos.

(11) El Reino Unido se retiró de la Unión Europea el 31 de enero de 2020. En virtud del Acuerdo sobre la retirada del Reino Unido de Gran Bretaña e Irlanda del Norte de la Unión Europea y de la Comunidad Europea de la Energía Atómica (14), el Derecho de la Unión se aplicó en el Reino Unido durante el período transitorio hasta el 31 de diciembre de 2020. Antes de la retirada y durante el período transitorio, el marco legislativo de protección de datos personales del Reino Unido que regía el tratamiento de datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la protección y la prevención frente a las amenazas para la seguridad pública, consistía en las partes pertinentes de la Data Protection Act de 2018, que incorporó la Directiva (UE) 2016/680.

(12) A fin de preparar la retirada de la UE, el Gobierno del Reino Unido promulgó la European Union (Withdrawal) Act (Ley de Retirada de la Unión Europea) de 2018 (15), que incorpora la legislación de la Unión directamente aplicable al Derecho del Reino Unido y dispone que la denominada «legislación nacional derivada de la UE» siguiera teniendo efecto una vez finalizado el período transitorio. La parte 3 de la DPA de 2018 (16), que incorporó la Directiva (UE) 2016/680, constituye la «legislación nacional derivada de la UE» según la European Union (Withdrawal) Act. De acuerdo con la European Union (Withdrawal) Act, los tribunales del Reino Unido debían interpretar la «legislación nacional derivada de la UE» no modificada de conformidad con la jurisprudencia pertinente del Tribunal de Justicia de la Unión Europea y los principios generales del Derecho de la Unión, de modo que tuvieran efecto de manera inmediata antes del final del período transitorio (denominados «jurisprudencia de la Unión conservada»...