LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (1), y en particular su artículo 45, apartado 3,
Considerando lo siguiente:
(1) | Mediante la Decisión de Ejecución (UE) 2021/1772 de la Comisión (2) se concluyó que, a efectos del artículo 45 del Reglamento (UE) 2016/679, el Reino Unido garantiza un nivel adecuado de protección para los datos personales transferidos, dentro del ámbito de aplicación de dicho Reglamento, desde la Unión Europea al Reino Unido (3). |
(2) | Al adoptar la Decisión de Ejecución (UE) 2021/1772, la Comisión tuvo en cuenta que, al final del período transitorio establecido en el Acuerdo sobre la retirada del Reino Unido de Gran Bretaña e Irlanda del Norte de la Unión Europea y de la Comunidad Europea de la Energía Atómica (4) y una vez que la disposición provisional del artículo 782 del Acuerdo de Comercio y Cooperación entre la Unión Europea y la Comunidad Europea de la Energía Atómica, por una parte, y el Reino Unido de Gran Bretaña e Irlanda del Norte, por otra (5), hubiera dejado de aplicarse, el Reino Unido adoptaría, aplicaría y haría cumplir un nuevo régimen de protección de datos distinto del vigente cuando estaba vinculado por el Derecho de la Unión. Dado que estas circunstancias pueden haber supuesto, en particular, modificaciones del marco de protección de datos evaluado en la Decisión de Ejecución (UE) 2021/1772 u otros cambios pertinentes, se consideró apropiado establecer que dicha Decisión se aplicaría durante un período de cuatro años a partir de su entrada en vigor. La Decisión de Ejecución (UE) 2021/1772 deja de tener validez el 27 de junio de 2025, salvo que se prorrogue de conformidad con el procedimiento indicado en el artículo 93, apartado 2, del Reglamento (UE) 2016/679. |
(3) | Para decidir si procede la prórroga de la Decisión de Ejecución (UE) 2021/1772, la Comisión debe evaluar si la conclusión de que el Reino Unido garantiza un nivel adecuado de protección de los datos personales transferidos desde la Unión Europea al Reino Unido sigue estando justificada de hecho y de Derecho. Esta evaluación solo puede llevarse a cabo si el marco jurídico vigente del Reino Unido es estable. |
(4) | El marco de protección de datos evaluado en la Decisión de Ejecución (UE) 2021/1772, que se basa en el Derecho de la Unión, sigue aplicándose en el Reino Unido. Sin embargo, el 23 de octubre de 2024, el Gobierno presentó al Parlamento el Data (Use and Access) Bill (6) [proyecto de Ley sobre datos (uso y acceso)], con el que se modificaba el United Kingdom General Data Protection Regulation («RGPD del Reino Unido») y la DPA de 2018. |
(5) | Por consiguiente, la validez de la Decisión de Ejecución (UE) 2021/1772 debe prorrogarse por un período de seis meses a fin de que la Comisión pueda evaluar si el nivel de protección de los datos personales garantizado por el Reino Unido sobre la base de un marco jurídico estable es adecuado, tras la finalización del expediente legislativo en curso en el Parlamento del Reino Unido. |
(6)
(7)
(8) | El Comité Europeo de Protección de Datos publicó su correspondiente dictamen (7), que se ha tenido en cuenta en la elaboración de la presente Decisión.
La medida prevista en la presente Decisión se ajusta al dictamen del Comité creado en virtud del artículo 93 del Reglamento (UE) 2016/679.
Procede, por tanto, modificar la Decisión de Ejecución (UE) 2021/1772 en consecuencia. |
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
El artículo 4 de la Decisión de Ejecución (UE) 2021/1772 se sustituye por el texto siguiente:
« Artículo 4
La presente Decisión tendrá validez hasta el 27 de diciembre de 2025, salvo que se prorrogue de conformidad con el procedimiento indicado en el artículo 93, apartado 2, del Reglamento (UE) 2016/679.».
Artículo 2
Los destinatarios de la presente Decisión son los Estados miembros.
Hecho en Bruselas, el 24 de junio de 2025.
Por la Comisión
Michael MCGRATH
Miembro de la Comisión
(1) DO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj.
(2) Decisión de Ejecución (UE) 2021/1772 de la Comisión, de 28 de junio de 2021, con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por parte del Reino Unido (DO L 360 de 11.10.2021, p. 1, ELI: http://data.europa.eu/eli/dec_impl/2021/1772/oj).
(3) Véase el artículo 1, apartado 1, de la Decisión (UE) 2021/1772. Según el artículo 1, apartado 2, de dicha Decisión, esta no abarca los datos personales transferidos con fines de control de la inmigración en el Reino Unido o que se comprenden dentro del ámbito de aplicación de la exención de ciertos derechos de los interesados a efectos del mantenimiento de un control efectivo de la inmigración de conformidad con el párrafo cuarto, punto 1, anexo 2, de la Data Protection Act de 2018 («DPA de 2018»).
(4) DO C 384 I de 12.11.2019, p. 1.
(5) DO L 149 de 30.4.2021, p. 10, ELI: http://data.europa.eu/eli/agree_internation/2021/689(1)/oj.
(6) Puede consultarse en el enlace siguiente: https://bills.parliament.uk/bills/3825/news.
(7) Dictamen 6/2025, relativo a la prórroga de las Decisiones de Ejecución de la Comisión Europea adoptadas en el marco del RGPD y de la Directiva sobre protección de datos en el ámbito penal sobre de la protección adecuada de los datos personales en el Reino Unido, disponible (en inglés) en el enlace siguiente: https://www.edpb.europa.eu/system/files/2025-05/edpb-opinion-202506-uk-adequacyextension-gdpr-led_en.pdf.