Por Diego Fierro Rodríguez
I. Contexto y significado de la decisión
El Comité Europeo de Protección de Datos ha adoptado el Dictamen 27/2025 sobre el proyecto de decisión de ejecución de la Comisión Europea relativo a la protección adecuada de datos personales por parte del Reino Unido en el ámbito de la Directiva sobre protección de datos en el ámbito penal. Esta evaluación cobra especial relevancia en un momento en que las decisiones de adecuación adoptadas tras el Brexit, vigentes desde junio de 2021, se aproximan a su vencimiento en diciembre de 2025.
Las decisiones de adecuación constituyen el mecanismo más eficiente para facilitar los flujos internacionales de datos, al reconocer que un tercer país ofrece un nivel de protección esencialmente equivalente al europeo. En el ámbito penal, esta equivalencia resulta particularmente crítica, pues permite que las autoridades policiales y judiciales de ambos lados del Canal de la Mancha mantengan una cooperación fluida en la lucha contra la criminalidad transfronteriza, sin necesidad de implementar garantías contractuales adicionales o evaluaciones caso por caso.
La propuesta de prórroga por 6 años, hasta el 27 de diciembre de 2031, se fundamenta en la evaluación de si «la conclusión de que el Reino Unido garantiza un nivel adecuado de protección sigue estando fáctica y jurídicamente justificada a la luz de los desarrollos que han tenido lugar desde la adopción de la anterior decisión de adecuación». El análisis se centra especialmente en las modificaciones introducidas por la Data (Use and Access) Act, que entró en vigor el 20 de agosto de 2025.
II. Transformaciones en el régimen de transferencias ulteriores
Una de las modificaciones más significativas del marco británico afecta al régimen de transferencias de datos personales desde el Reino Unido hacia terceros países. La reforma abandona la referencia tradicional a un «nivel adecuado de protección» y la sustituye por el criterio de que el estándar de protección en el país destinatario «no sea materialmente inferior» al británico. Este cambio terminológico, aparentemente técnico, encierra implicaciones profundas para la evaluación de equivalencia.
Más preocupante resulta la reducción sustancial de los elementos que el Secretario de Estado debe considerar en la evaluación de adecuación. Han desaparecido factores que anteriormente se consideraban esenciales: las normas del tercer país en materia de seguridad pública, defensa, seguridad nacional y acceso de autoridades públicas a datos personales; la jurisprudencia aplicable; la evaluación global del marco jurídico; la existencia de derechos efectivos y exigibles para los interesados; y la referencia específica a autoridades de supervisión independientes y eficaces.
La nueva formulación se refiere genéricamente a una «autoridad responsable de hacer cumplir la protección de los interesados», diluyendo la exigencia de independencia efectiva que constituye un pilar fundamental del sistema europeo. Considero que esta evolución podría facilitar el reconocimiento de regímenes de protección que no cumplan estrictamente con los estándares europeos de supervisión independiente.
Adicionalmente, la introducción del criterio de «conveniencia de facilitar las transferencias de datos personales hacia y desde el Reino Unido» plantea interrogantes sobre la prevalencia de consideraciones de política comercial sobre los imperativos técnicos de protección. Aunque el Comité interpreta que este factor solo debería considerarse una vez satisfechos los criterios de protección, la redacción legal no ofrece garantías absolutas en este sentido.
Un ejemplo ilustrativo sería el caso de una autoridad policial británica que pretenda compartir datos biométricos con un organismo de un país no considerado globalmente adecuado, pero que el Secretario de Estado haya aprobado para un sector específico. Si el marco legal de ese país no contempla recursos efectivos o supervisión independiente con poderes reales, la nueva flexibilidad británica podría permitir transferencias que comprometan la equivalencia esencial exigida por el derecho europeo.
III. Decisiones automatizadas y la erosión de salvaguardias
Las modificaciones introducidas en el régimen de toma de decisiones automatizadas representan una de las divergencias más significativas respecto al modelo europeo. La transición desde un enfoque restrictivo hacia uno más permisivo elimina el derecho general del interesado a no ser sometido a decisiones automatizadas, manteniéndose únicamente las restricciones para el tratamiento de datos sensibles.
Debe tenerse presente que las autoridades policiales británicas pueden ahora adoptar decisiones significativas mediante procesos automatizados independientemente de la base jurídica que invoquen, siempre que implementen salvaguardias como la información al interesado, la oportunidad de formular alegaciones y la posibilidad de obtener intervención humana para revisar la decisión.
La discrecionalidad otorgada al Secretario de Estado para determinar qué constituye «participación humana significativa» y una «decisión significativa con efecto similar» genera preocupaciones sobre la amplitud de estos poderes. En un entorno regulatorio que evoluciona rápidamente, especialmente con los avances en inteligencia artificial, esta flexibilidad podría traducirse en una erosión gradual de las salvaguardias.
Particularmente problemática resulta la nueva excepción que permite a las autoridades policiales no aplicar las salvaguardias para evitar la obstrucción de una investigación. Un sistema de emparejamiento facial que active una alerta conducente a una detención en frontera ejemplifica el riesgo: si la autoridad invoca la exención para no ofrecer revisión previa y difiere la intervención humana, aumenta el riesgo de decisiones materialmente erróneas o sesgadas. La jurisprudencia del Tribunal de Justicia sobre datos de pasajeros aéreos ha subrayado que la revisión humana sustantiva debe preceder a cualquier actuación que produzca efectos, principio que la nueva excepción británica podría socavar.
IV. Exenciones de seguridad nacional en el ámbito policial
La extensión de las exenciones de seguridad nacional al marco policial constituye una de las innovaciones más controvertidas de la reforma británica. La sección 78A de la Data Protection Act de 2018 permitirá la inaplicación de cinco de los seis principios fundamentales de protección de datos cuando sea necesario para salvaguardar la seguridad nacional. Estos principios establecen que el propósito policial debe ser específico, explícito y legítimo; que los datos deben ser adecuados, pertinentes y no excesivos; y que deben ser exactos y conservados únicamente durante el tiempo necesario.
Las exenciones también afectan a ciertos requisitos de transferencia internacional y a algunos poderes del Comisionado de Información, incluyendo la autoridad para emitir avisos de información y de cumplimiento. Aunque estas excepciones guardan similitud con las previstas en el Convenio 108 Modernizado del Consejo de Europa, su aplicación práctica requiere seguimiento cuidadoso para evitar la creación de vacíos de supervisión.
Entiendo que la distinción entre amenazas a la seguridad nacional y riesgos generales para la seguridad pública debe mantenerse con claridad meridiana. Las amenazas a la seguridad nacional deben distinguirse por su naturaleza, gravedad y circunstancias específicas de los riesgos generales o los delitos graves. Solo en tales casos resulta compatible con los principios de necesidad y proporcionalidad la aplicación del régimen de servicios de inteligencia a las operaciones policiales.
La posibilidad de que autoridades policiales operen bajo el régimen de protección de datos de los servicios de inteligencia, cuando actúen como corresponsables con al menos un servicio de inteligencia para fines de seguridad nacional, plantea desafíos organizativos adicionales. Una investigación por terrorismo que derive en pesquisas sobre financiación delictiva común ejemplifica el riesgo: la tentación de continuar bajo el paraguas de inteligencia por razones de eficiencia es comprensible, pero normativamente improcedente si se ha perdido el nexo con la seguridad nacional.
V. Registro de actividades y derecho de acceso
La obligación de mantener registros que permitan acreditar el cumplimiento se mantiene en el régimen británico, pero ha desaparecido el deber de anotar el motivo específico de cada consulta o divulgación de datos personales. En un entorno de cooperación policial internacional, esa anotación constituye el hilo conductor que permite reconstruir quién accedió a qué información, por qué motivo, y si el acceso era necesario y proporcional.
La ausencia de justificación obligatoria en los registros podría dificultar tanto la supervisión ex post como el ejercicio efectivo del derecho de acceso. Una autoridad que no documente las razones de cada consulta enfrentará dificultades para explicar posteriormente al interesado o al supervisor por qué se accedió a sus datos, comprometiendo la transparencia y la rendición de cuentas.
En cuanto al derecho de acceso, la reforma introduce la limitación de que los interesados solo tienen derecho a la información «en la medida en que el responsable del tratamiento pueda proporcionarla basándose en una búsqueda razonable y proporcionada». Aunque se presenta como una clarificación conforme a la jurisprudencia doméstica, la indefinición del concepto podría generar estándares desiguales. Una fuerza policial con sistemas robustos de gestión documental podrá localizar datos con facilidad; otra, sin esos medios, podría invocar con mayor frecuencia la desproporción de la búsqueda.
VI. Supervisión independiente y mecanismos de recurso
El sistema británico de supervisión de las autoridades policiales permanece estructuralmente inalterado, manteniéndose la combinación de diferentes Comisionados que complementan la labor de la Oficina del Comisionado de Información. El Comisionado de Poderes de Investigación, asistido por Comisionados Judiciales, junto con el Comisionado de Biometría y Cámaras de Vigilancia, continúan proporcionando supervisión especializada.
La transformación más significativa afecta a la propia Oficina del Comisionado de Información, que evolucionará desde una estructura de corporación única hacia un organismo colegiado denominado Comisión de Información. Esta modificación organizativa requiere evaluación cuidadosa, particularmente en lo que respecta a la designación de miembros no ejecutivos por parte del Secretario de Estado, que podría plantear interrogantes sobre la independencia efectiva de la supervisión.
La experiencia reciente muestra una preferencia por las amonestaciones frente a sanciones más incisivas en el sector policial, con excepciones notables como la orden de cumplimiento emitida al Crown Prosecution Service en enero de 2024. Esta tendencia, junto con la nueva estructura organizativa, requerirá seguimiento para determinar si la política de aplicación mantiene la efectividad disuasoria necesaria.
La consulta pública iniciada por la Oficina del Comisionado de Información sobre el manejo de quejas representa una oportunidad para evaluar la efectividad de los mecanismos de recurso disponibles. Los resultados de esta consulta y las políticas resultantes de la nueva Comisión de Información merecerán atención específica por parte de la Comisión Europea.
VII. Marco temporal y mecanismos de revisión
La prórroga propuesta por 6 años, con vencimiento el 27 de diciembre de 2031, mantiene al Reino Unido como el único tercer país cuyas decisiones de adecuación incorporan una cláusula de caducidad. Esta particularidad refleja la naturaleza evolutiva del marco jurídico británico y la necesidad de supervisión continua de su desarrollo.
La combinación de la cláusula de caducidad con la revisión periódica obligatoria cada 4 años establecida en la Directiva proporciona un marco de seguimiento robusto. La intención declarada de la Comisión de realizar una revisión al final del período cuatrienal, sobre cuya base preparará un informe público, refuerza la rendición de cuentas del proceso.
El nuevo marco jurídico británico merece atención específica dadas las áreas de preocupación identificadas. La implementación práctica de las modificaciones introducidas por la Data (Use and Access) Act requerirá seguimiento cuidadoso, particularmente respecto a las transferencias internacionales con el test reformulado, la aplicación de exenciones en decisiones automatizadas, el uso de exenciones de seguridad nacional y el funcionamiento de la supervisión bajo la nueva estructura organizativa.
La participación del Comité Europeo de Protección de Datos, junto con organizaciones de la sociedad civil y otros interesados en el mecanismo de revisión periódica, garantiza la diversidad de perspectivas en la evaluación continua. La disponibilidad de documentación relevante con suficiente antelación resulta crucial para el ejercicio efectivo de esta función supervisora.
VIII. Implicaciones para la práctica jurídica
La continuidad de la adecuación en el ámbito penal tiene efectos inmediatos en las operaciones policiales y judiciales transfronterizas. Una fiscalía que remite expedientes a la Fiscalía de la Corona británica, una policía autonómica que contrasta huellas dactilares en bases de datos británicas, o una oficina europea que coopera con unidades especializadas en fraude del Reino Unido, podrán seguir operando sin necesidad de implementar cláusulas contractuales tipo, evaluaciones individualizadas o medidas complementarias.
Sin embargo, esta continuidad operativa viene acompañada de la necesidad de escrutinio reforzado de determinadas prácticas británicas. Los profesionales del derecho deberán prestar atención particular a las transferencias ulteriores que puedan realizarse bajo el nuevo test británico, especialmente cuando involucren aprobaciones sectoriales o por categorías específicas de destinatarios.
La recomendación prudente para responsables y encargados del tratamiento es doble: documentar internamente las cadenas de transferencia que puedan desembocar en el Reino Unido, verificando la compatibilidad material de cualquier regulación británica de destino con los estándares europeos; y solicitar, cuando proceda, información sobre la intervención humana en decisiones automatizadas que afecten a personas investigadas, así como registros de acceso suficientes para auditar la licitud del tratamiento.
IX. Reflexión final sobre el equilibrio alcanzado
El dictamen del Comité Europeo de Protección de Datos representa un ejercicio de equilibrio entre la continuidad operativa necesaria para la cooperación policial y judicial, y la preservación de los estándares europeos de protección de datos. La propuesta de prórroga se concibe no como una validación incondicional, sino como un reconocimiento condicionado que exige supervisión intensificada.
Los cambios introducidos por la legislación británica, desde la flexibilización del test de transferencias ulteriores hasta la ampliación de exenciones de seguridad nacional, configuran un marco que, si bien mantiene la arquitectura fundamental de protección, introduce elementos de incertidumbre que solo la práctica podrá resolver. Ello me obliga a deducir que la verdadera prueba de la adecuación no reside únicamente en la letra de la ley, sino en su aplicación cotidiana por parte de las autoridades británicas.
La combinación de cláusula de caducidad y revisión periódica obligatoria proporciona los instrumentos necesarios para una supervisión dinámica. El desafío reside en ejecutar esta supervisión con la seriedad técnica, transparencia y capacidad de corrección que la complejidad del tema exige. Solo así podrá mantenerse la confianza en un mecanismo que resulta esencial para la cooperación internacional en la era digital.