La Ley de Protección de Datos de 2018 (c. 12) es una ley del Parlamento del Reino Unido que actualiza las normativas sobre protección de datos en el país. Es una legislación nacional que complementa el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y sustituye a la Ley de Protección de Datos de 1998.

La Ley iba a ser modificada de manera significativa por el Proyecto de Ley de Protección de Datos e Información Digital. Sin embargo, dicho proyecto fue abandonado debido a las elecciones generales del Reino Unido de 2024.

Fondo El proyecto de ley de protección de datos fue presentado en la Cámara de los Lores por Lord Ashton de Hyde, subsecretario parlamentario de Estado del Departamento de Cultura, Medios de Comunicación y Deporte Digital el 13 de septiembre de 2017.

La Ley de Protección de Datos de 2018 recibió la sanción real el 23 de mayo de 2018. La ley entró en vigor el 25 de mayo de 2018. Se modificó el 1 de enero de 2021 mediante reglamentos en virtud de la Ley de Retirada de la Unión Europea de 2018, para reflejar el estatus del Reino Unido fuera de la UE. Sustituye a la Ley de Protección de Datos de 1998.

La Ley aplica los estándares de protección de datos establecidos en el RGPD y, cuando el RGPD permite a los Estados miembros de la UE tomar diferentes decisiones para su implementación en su país, define esas decisiones para el Reino Unido.

Contenido La ley consta de siete partes. Estos se describen en la Sección 1:

Esta Ley establece disposiciones sobre el tratamiento de datos personales . La mayor parte del procesamiento de datos personales está sujeto al RGPD . La Parte 2 complementa el RGPD (véase el Capítulo 2) y aplica un régimen ampliamente equivalente a ciertos tipos de procesamiento a los que no se aplica el RGPD (véase el Capítulo 3). La Parte 3 establece disposiciones sobre el tratamiento de datos personales por parte de las autoridades competentes con fines de aplicación de la ley e implementa la Directiva de aplicación de la ley. La parte 4 establece disposiciones sobre el tratamiento de datos personales por parte de los servicios de inteligencia. La Parte 5 establece disposiciones sobre el Comisionado de Información . La parte 6 establece disposiciones sobre la aplicación de la legislación de protección de datos. La Parte 7 contiene disposiciones complementarias, incluidas disposiciones sobre la aplicación de esta Ley a la Corona y al Parlamento.

La Ley introduce nuevos delitos que incluyen la obtención o divulgación consciente o imprudente de datos personales sin el consentimiento del responsable del tratamiento de datos, la obtención de dicha divulgación o la conservación de los datos obtenidos sin consentimiento. Vender u ofrecer vender datos personales obtenidos o divulgados a sabiendas o imprudentemente también constituiría un delito.

En esencia, la Ley implementa la Directiva de Aplicación de la Ley de la UE,Directive (EU) 2016/680 of the European Parliament and of the Council implementa aquellas partes del RGPD que "deben ser determinadas por la legislación del Estado miembro" y crea un marco similar al RGPD para el procesamiento de datos personales que está fuera del alcance del RGPD. Esto incluye el procesamiento de servicios de inteligencia, el procesamiento de servicios de inmigración y el procesamiento de datos personales almacenados en forma no estructurada por autoridades públicas.

Según la sección 3 de la Ley de Retirada de la Unión Europea de 2018, el RGPD se incorporará directamente a la legislación nacional inmediatamente después de que el Reino Unido salga de la Unión Europea .

La aplicación de la Ley por parte de la Oficina del Comisionado de Información está respaldada por un cargo de protección de datos para los controladores de datos del Reino Unido conforme al Reglamento de Protección de Datos (Cargos e Información) de 2018. Las exenciones del cargo se dejaron básicamente iguales a las de la Ley de 1998: principalmente para fines internos básicos de algunas empresas y organizaciones sin fines de lucro (personal o miembros, marketing y contabilidad), asuntos domésticos, algunos fines públicos y procesamiento no automatizado.Review of exemptions from paying charges to the Information Commissioner's Office (PDF) (Report).Department for Digital, Culture, Media and Sport. November 2018. Retrieved 30 April 2020. En virtud de la Ley de 2018, el régimen de cumplimiento del registro cambió de sanciones monetarias penales a sanciones civiles.

La Ley introduce un nuevo criterio de interés público aplicable al tratamiento de datos personales de salud con fines de investigación.

La Ley dio a las personas el derecho a solicitar a los juzgados y tribunales diferentes órdenes, entre ellas: en el tribunal ordenando al Comisionado de Información que realice una investigación (artículo 166); en el tribunal órdenes de cumplimiento contra el Comisionado o los controladores o procesadores (artículo 167); en el tribunal contra avisos de sanciones y otras decisiones de ejecución (artículo 162). La jurisdicción de estas secciones y su extensión y límites han sido objeto de una campaña de litigios que argumentan sus diferentes extensiones y límites, incluso hasta el Tribunal de Apelaciones.

La Sección 2, está actualizada con todos los cambios conocidos que entraron en vigor el 10 de noviembre de 2024. Existen cambios que podrían implementarse en una fecha futura. Los cambios ya realizados aparecen en el contenido y están referenciados con anotaciones.

s. 13A inserted by 2024 c. 21 s. 31(4) s. 204(1)(l) inserted by S.I. 2024/374 Sch. 5 para. 7 Sch. 3 para. 8(1)(y) added by 2022 c. 18 (N.I.) Sch. 3 para. 78(3)

Diferencias entre la DPA 2018 y el GDPR Edad de consentimiento infantil

GDPR: Un menor puede consentir el procesamiento de sus datos a partir de los 16 años. DPA 2018: Un menor puede consentir a partir de los 13 años.

Procesamiento de datos criminales

GDPR: Los procesadores de datos criminales deben tener autoridad oficial para hacerlo. DPA 2018: Los procesadores de datos criminales no requieren autoridad oficial.

Toma de decisiones y procesamiento automatizado

GDPR: Los interesados tienen derecho a rechazar la toma de decisiones automatizadas o la elaboración de perfiles. DPA 2018: Permite la elaboración de perfiles automatizados si existen motivos legítimos para ello.

Derechos de los interesados

GDPR: Refuerza los derechos de los interesados en relación con el procesamiento de sus datos personales. DPA 2018: Los derechos de los interesados pueden ser renunciados si obstaculizan significativamente la necesidad legítima de una organización de procesar datos con fines científicos, históricos, estadísticos y de archivo.

Privacidad vs. Libertad de Expresión

DPA 2018: Existe una exención en relación con el procesamiento de datos personales si es en interés público.

Representantes

GDPR: Muchos controladores y procesadores de datos no pertenecientes a la UE que ofrecen bienes y servicios a los interesados en la UE, o que monitorizan su comportamiento, deben designar un representante en la UE. DPA 2018: Muchos controladores y procesadores de datos no pertenecientes al Reino Unido que ofrecen bienes y servicios a los interesados en el Reino Unido, o que monitorizan su comportamiento, deben designar un representante en el Reino Unido.

Multas administrativas

GDPR: La multa máxima por incumplimiento es de 20 millones de euros o el 4% del volumen de negocios global anual. DPA 2018: La multa máxima por incumplimiento es de 17.5 millones de libras esterlinas.

Adiciones La Ley de Protección de Datos (2018) es una revisión de la Ley de Protección de Datos (1998) que incluye la importancia de que las organizaciones sean más responsables con la información y mejoren la confidencialidad. Esta última revisión también funciona en conjunto con el RGPD, algo que la Ley de Protección de Datos (1998) no hizo.

Desde la Ley de Protección de Datos (1998) hasta la Ley de Protección de Datos (2018), las principales incorporaciones son las siguientes:

el derecho al borrado inclusiones de exenciones de la Ley de Protección de Datos se regula en conjunto con el RGPD

La revisión permitió a los legisladores agregar la capacidad de borrar cualquier dato si el individuo así lo decide y esto se basa en la premisa del derecho básico a la privacidad.

La versión de 2018 permitió a las personas obtener una interpretación clara de las exenciones de la ley, lo que no estaba claro en la versión de 1998.

Cuando se redactó la Ley de Protección de Datos (1998), el RGPD no existía, por lo que no había ninguna ley con la que la APD pudiera trabajar. Finalmente, con la creación del RGPD, la DPA se actualizó para que funcionara en conjunto.

Referencias

Enlaces externos Texto completo de la Ley de Protección de Datos de 2018 Reglamento de Protección de Datos (Cargos e Información) de 2018 Página de la Oficina del Comisionado de Información DPA 2018

Reino Unido Reino Unido Datos