Brexit: Perspectives en matèria de protecció de dades

L'opció presa pels ciutadans britànics al
referèndum del passat 23 de juny de 2016 té múltiples conseqüències, moltes
jurídiques. Algunes ja han estat abordades, però s'ha relegat a un
segon pla el que el denominat Brexit pot significar per a un dret de
els ciutadans europeus com és la privadesa i la protecció de dades.

El marc regulador de protecció de dades a la
Unió Europea conferia una total llibertat de circulació a les dades dins de
les fronteres dels 28 països membres. Així, la sortida del Regne Unit de la
Unió, i per tant, d'aquest entorn legislatiu, farà que es consideri
als radicats a les illes com establerts en un tercer país, bregant amb
controvèrsies com les actualment existents amb Estats Units. En resumides
comptes, enviar dades de qualsevol país de la Unió al Regne Unit constituirà
una transferència internacional de dades, amb els efectes legals que això
conlleva.

És evident que, atesa la importància que té el
tractament massiu de dades per a una empresa de qualsevol tipus d'indústria,
Regne Unit no es mantindrà distant respecte dels seus antics companys,
doncs no interactuar en aquest camp amb la Unió el deixaria en fora de joc a
un camp de vital importància per a leconomia.

Davant d'aquesta situació s'obre una clara incertesa,
que haurà de ser resolta pel govern britànic en els propers mesos, a
torn a la decisió que s'adoptarà en matèria de protecció de dades des del
Estat insular.

Abans de res, cal comprendre la situació
legislativa del Regne Unit en aquesta matèria. Actualment, la norma
aplicable a la protecció de dades a nivell nacional és la UK Data Protection Act de 1998, producte de la transposició de la directiva europea de protecció
de dades de 1995, per la qual cosa implanta els conceptes i principis fonamentals
que s'utilitzen a les normatives europees de protecció de dades a tota
Europa. També és rellevant la UK Electronic Communications Act, que regula
qüestions de signatura electrònica provinents de la directiva del 1999,
transaccions i comunicacions electròniques, recolzada en els textos que
van transposar la directiva de comerç electrònic de l'any 2000. Com pot
veure's, el marc legislatiu actual no dista gaire del que existeix en els altres
27 països gràcies a la transposició de diverses directives.

A primera vista, la reacció previsible és que es
consideri al Regne Unit un país amb un nivell de protecció segur a
protecció de dades, no havent-hi massa problemes per mantenir la situació
actual, ja que la seva normativa està actualment adaptada a l'Europea, sent
molt propera a la dels altres 27. És clar que això depèn de diversos factors: a
primer lloc, el govern britànic canvia, per la qual cosa no coneixem les
intencions de propers ocupants del número 10 de Downing Street, així que és
factible pensar en un canvi de política legislativa quant a la protecció
de dades, trencant així de manera més dràstica els llaços els unien amb la
Unió. Una altra variable a considerar és que la declaració com a país amb nivell de
protecció suficient depèn de l'aprovació de la Comissió Europea, tenint
que dur-se a terme per un procediment regulat, havent d'estudiar-se
nombrosos elements com el funcionament d'una autoritat de control, la
jurisprudència sobre el tema, els compromisos internacionals del país;
a més que cal revisar l'acord cada quatre anys.

Suposant que la segona opció, més realista i
conservadora, sigui la que es doni de manera efectiva, la conjuntura no estaria
exempta de problemes. La necessitat de la declaració de la Comissió a què es
feia referència pot provocar que, en l'interval de temps que hi hagi entre
la sortida efectiva de la Unió i l'aprovació de l'acord, el Regne Unit sigui un
tercer país i els moviments al mateix siguin transferències internacionals de
dades. Aquí s'obriria un interval de temps indeterminat en què les
empreses d'ambdues parts haurien de regularitzar les operacions per complir
amb una normativa de transició amb data de caducitat indeterminada. A
resum, massa canvis i obligacions per a un espai de temps
relativament curt. A això cal sumar-hi que la normativa i les pràctiques
de l'Estat britànic en matèria de protecció de dades seran vigilades de manera
detallada pels reguladors de la Unió, sotmetent-se a un escrutini
minuciós.

No cal oblidar que aquesta pugna té dos bàndols, així
que la reacció de la Unió Europea ha de ser valorada. Com que, si es
produeix la sortida efectiva, serà la Comissió la que haurà de valorar un acord
que declari el Regne Unit com una mena de “port segur”, la institució
europea pot exigir uns estàndards tremendament exigents amb la seva
excompany. Així, el costat europeu té la capacitat de sotmetre la normativa
britànica a una anàlisi detallada que els degrade en la negociació,
havent d'acceptar un ferri control des de Brussel·les per tal de no acabar a
uns llimbs normatius.

Aquesta declaració de país amb un nivell de protecció
suficient seria necessària només si Regne Unit, en abandonar la Unió
Europea, no decideix entrar a l'Espai Econòmic Europeu. Aquest és el model
que segueix Suïssa, que no és part de l'EEE. El país helvètic té un acord
des de l'any 2000 pel que s'estableix que, igual que altres territoris
com l'Illa de Man, Uruguai o Nova Zelanda, s'assegura un nivell adequat per
el tractament de dades personals en aquest Estat. En cas que els britànics
optin per adherir-se a l'EEE, la legislació europea en matèria de protecció de
dades se'ls aplicaria, així que no hi hauria una transferència internacional de
dades en enviar dades a les illes.

Veient que l'opció diguem, tranquil·la,
conservadora o propera a la Unió, comporta molts més problemes dels que
sembla, cal tenir en ment que no es pot descartar un moviment molt més
dràstic per part del govern entrant, reformant la legislació existent
en protecció de dades per allunyar-se de l'europea, de la qual van manifestar els seus
discrepàncies durant el procés daprovació, adoptant així una posició més
d'acord amb els principis menys proteccionistes del món anglosaxó. Lloc
que s'assembla contraproduent que s'aïllin de tal manera, aquesta opció sembla
menys probable, encara que sempre es pot raonar que si la Unió ha arribat a
assolir un acord amb els Estats Units, podria assolir-se amb la Gran Bretanya a
tal cas.

En aquest sentit, l'Information Commissioner's
Office, a través de Christopher Graham, ha manifestat que “és crucial tant
per a empreses i organitzacions com per a consumidors i ciutadans que hi hagi
consistència internacional al voltant de les lleis i drets de protecció de
dades”, així com que “parlarem amb el govern per presentar la nostra visió
que cal una reforma en la legislació britànica.” Per tant, des de
institucions del país rellevants en el tema advoquen, sembla per mantenir una
unitat a la normativa entre Europa i el Regne Unit.

Sigui quina sigui l'opció seguida, les conseqüències
són, com a mínim, complexes. La sortida es basa en l'article 50 del Tractat de
la Unió Europea, segons el qual, l'Estat sortint i la Unió hauran de
negociar un pacte de sortida, fixant una data per al cessament de l'aplicació de
els tractats que, de no fixar-se, es produiria en complir-se els dos anys de la
d'aquest acord, i es pot prorrogar aquest lapse de temps. Aquest
període té una importància vital, ja que el Reglament Europeu de Protecció de Dades començarà a tenir efectes el 25 de maig de 2018, de manera que
és més que probable que arribi a ser aplicable al Regne Unit durant un temps,
atès que encara no s'ha arribat a l'acord de sortida. Així, la situació a
aquesta matèria es tornaria esperpèntica: durant el període de negociació del
acord de sortida i durant el termini per a la mateixa se seguiria aplicant la llei
del 1998, provinent d'una directiva europea; fins a Maig de 2018, moment en
el que la sortida, gairebé amb total seguretat, no serà efectiva encara, per això
que començarà a aplicar-se el reglament europeu de protecció de dades fins a la
data en què es fixi el final de l'aplicació dels tractats. cal afegir
que, una vegada entri en vigor el reglament, qualsevol empresa o organització estarà
obligada a complir amb el seu articulat si tracta dades de ciutadans de la UE,
independentment d'on estigui radicada la mateixa, així que quan arribi el
moment en què evitin l'aplicació del reglament, gran part de les
corporacions britàniques s'hauran de subjectar en bona part de la seva activitat a
dit text.

Podem preveure, sense por d'equivocar-nos, que la
legislació britànica seguirà d'acord amb l'europea durant un termini
considerable, la qual cosa torna la bifurcació anteriorment comentada en una
decisió a mitjà termini. L'aplicació del reglament al Regne Unit serà una
realitat, així que durant un període prudencial hi haurà calma quant a la
protecció de dades al continent. De fet, Regne Unit, igual que el
resta de països de la Unió, haurà de transposar al seu dret intern la
directiva de recent aprovació (maig) pel Consell relativa a mesures per a
garantir un elevat nivell comú de seguretat de les xarxes i de la informació
a la Unió; és a dir, la seva legislació continuarà avançant al ritme de la resta de
la Unió, de moment.

El mare magnum de dubtes suscitats pel referèndum
deixa tots els actors en una situació de desconcert en què no hi cap més
d'esperar al desenvolupament dels esdeveniments per parlar amb certesa.
Mentrestant només es poden fer pronòstics i conjecturar.