Ley de Protección de Datos de 2018

El proyecto de ley de protección de datos fue presentado en la Cámara de los Lores por Lord Ashton de Hyde, subsecretario parlamentario de Estado del Departamento de Cultura, Medios de Comunicación y Deporte Digital el 13 de septiembre de 2017.

La Ley de Protección de Datos de 2018 recibió la sanción real el 23 de mayo de 2018. La ley entró en vigor el 25 de mayo de 2018. Se modificó el 1 de enero de 2021 mediante reglamentos en virtud de la Ley de Retirada de la Unión Europea de 2018, para reflejar el estatus del Reino Unido fuera de la UE. Sustituye a la Ley de Protección de Datos de 1998.

La Ley aplica los estándares de protección de datos establecidos en el RGPD y, cuando el RGPD permite a los Estados miembros de la UE tomar diferentes decisiones para su implementación en su país, define esas decisiones para el Reino Unido.^[2]

Summarize Timeline Fact Check

La ley consta de siete partes. Estos se describen en la Sección 1:

1. Esta Ley establece disposiciones sobre el tratamiento de datos personales .
2. La mayor parte del procesamiento de datos personales está sujeto al RGPD .
3. La Parte 2 complementa el RGPD (véase el Capítulo 2) y aplica un régimen ampliamente equivalente a ciertos tipos de procesamiento a los que no se aplica el RGPD (véase el Capítulo 3).
4. La Parte 3 establece disposiciones sobre el tratamiento de datos personales por parte de las autoridades competentes con fines de aplicación de la ley e implementa la Directiva de aplicación de la ley.
5. La parte 4 establece disposiciones sobre el tratamiento de datos personales por parte de los servicios de inteligencia.
6. La Parte 5 establece disposiciones sobre el Comisionado de Información .
7. La parte 6 establece disposiciones sobre la aplicación de la legislación de protección de datos.
8. La Parte 7 contiene disposiciones complementarias, incluidas disposiciones sobre la aplicación de esta Ley a la Corona y al Parlamento.

La Ley introduce nuevos delitos que incluyen la obtención o divulgación consciente o imprudente de datos personales sin el consentimiento del responsable del tratamiento de datos, la obtención de dicha divulgación o la conservación de los datos obtenidos sin consentimiento. Vender u ofrecer vender datos personales obtenidos o divulgados a sabiendas o imprudentemente también constituiría un delito.^[3]

En esencia, la Ley implementa la Directiva de Aplicación de la Ley de la UE,^[4] implementa aquellas partes del RGPD que "deben ser determinadas por la legislación del Estado miembro" y crea un marco similar al RGPD para el procesamiento de datos personales que está fuera del alcance del RGPD. Esto incluye el procesamiento de servicios de inteligencia, el procesamiento de servicios de inmigración y el procesamiento de datos personales almacenados en forma no estructurada por autoridades públicas.

Según la sección 3 de la Ley de Retirada de la Unión Europea de 2018,^[5] el RGPD se incorporará directamente a la legislación nacional inmediatamente después de que el Reino Unido salga de la Unión Europea .

La aplicación de la Ley por parte de la Oficina del Comisionado de Información está respaldada por un cargo de protección de datos para los controladores de datos del Reino Unido conforme al Reglamento de Protección de Datos (Cargos e Información) de 2018. Las exenciones del cargo se dejaron básicamente iguales a las de la Ley de 1998: principalmente para fines internos básicos de algunas empresas y organizaciones sin fines de lucro (personal o miembros, marketing y contabilidad), asuntos domésticos, algunos fines públicos y procesamiento no automatizado.^[6][7] En virtud de la Ley de 2018, el régimen de cumplimiento del registro cambió de sanciones monetarias penales a sanciones civiles.^[8]

La Ley introduce un nuevo criterio de interés público aplicable al tratamiento de datos personales de salud con fines de investigación.

La Ley dio a las personas el derecho a solicitar a los juzgados y tribunales diferentes órdenes, entre ellas: en el tribunal ordenando al Comisionado de Información que realice una investigación (artículo 166); en el tribunal órdenes de cumplimiento contra el Comisionado o los controladores o procesadores (artículo 167); en el tribunal contra avisos de sanciones y otras decisiones de ejecución (artículo 162). La jurisdicción de estas secciones y su extensión y límites han sido objeto de una campaña de litigios que argumentan sus diferentes extensiones y límites, incluso hasta el Tribunal de Apelaciones.^{[9][10][11][12]}

La Sección 2, está actualizada con todos los cambios conocidos que entraron en vigor el 10 de noviembre de 2024. Existen cambios que podrían implementarse en una fecha futura. Los cambios ya realizados aparecen en el contenido y están referenciados con anotaciones.^[13]

• s. 13A inserted by 2024 c. 21 s. 31(4)
• s. 204(1)(l) inserted by S.I. 2024/374 Sch. 5 para. 7
• Sch. 3 para. 8(1)(y) added by 2022 c. 18 (N.I.) Sch. 3 para. 78(3)

Edad de consentimiento infantil

• GDPR: Un menor puede consentir el procesamiento de sus datos a partir de los 16 años.
• DPA 2018: Un menor puede consentir a partir de los 13 años.

Procesamiento de datos criminales

• GDPR: Los procesadores de datos criminales deben tener autoridad oficial para hacerlo.
• DPA 2018: Los procesadores de datos criminales no requieren autoridad oficial.

Toma de decisiones y procesamiento automatizado

• GDPR: Los interesados tienen derecho a rechazar la toma de decisiones automatizadas o la elaboración de perfiles.
• DPA 2018: Permite la elaboración de perfiles automatizados si existen motivos legítimos para ello.

Derechos de los interesados

• GDPR: Refuerza los derechos de los interesados en relación con el procesamiento de sus datos personales.
• DPA 2018: Los derechos de los interesados pueden ser renunciados si obstaculizan significativamente la necesidad legítima de una organización de procesar datos con fines científicos, históricos, estadísticos y de archivo.

Privacidad vs. Libertad de Expresión

• DPA 2018: Existe una exención en relación con el procesamiento de datos personales si es en interés público.

Representantes

• GDPR: Muchos controladores y procesadores de datos no pertenecientes a la UE que ofrecen bienes y servicios a los interesados en la UE, o que monitorizan su comportamiento, deben designar un representante en la UE.
• DPA 2018: Muchos controladores y procesadores de datos no pertenecientes al Reino Unido que ofrecen bienes y servicios a los interesados en el Reino Unido, o que monitorizan su comportamiento, deben designar un representante en el Reino Unido.

Multas administrativas

• GDPR: La multa máxima por incumplimiento es de 20 millones de euros o el 4% del volumen de negocios global anual.
• DPA 2018: La multa máxima por incumplimiento es de 17.5 millones de libras esterlinas.