El Reino Unido se ha comprometido a mantener unos altos estándares de protección de datos para los particulares, y las empresas pueden sufrir graves consecuencias si no cumplen con la legislación pertinente. Sin embargo, este compromiso se equilibra con el objetivo de fomentar la innovación, lo cual queda especialmente patente con la introducción de la nueva Ley de Datos (Uso y Acceso) de 2025. En esta actualización abordaremos los cambios significativos introducidos por esta legislación, así como otras novedades importantes en materia de protección de datos que conviene conocer para garantizar que su empresa cumpla con la normativa.
El RGPD del Reino Unido y la Ley de Protección de Datos de 2018
A la hora de analizar la normativa británica en materia de protección de datos, es fundamental tener en cuenta tanto el RGPD del Reino Unido como la Ley de Protección de Datos de 2018, que constituyen la piedra angular del régimen de protección de datos del Reino Unido. Estas leyes establecen cómo deben almacenarse, tratarse y recopilarse los datos personales.
El RGPD del Reino Unido se introdujo tras el Brexit y establece varios principios relativos al tratamiento de datos, entre ellos la licitud, la lealidad y la transparencia. En él se recogen los derechos de las personas (incluidos los derechos de acceso y supresión) y las normas aplicables a las transferencias internacionales de datos. Se aplica a todas las organizaciones del Reino Unido y a las entidades extranjeras que traten datos personales de ciudadanos del Reino Unido.
La Ley de Protección de Datos de 2018 complementa el RGPD del Reino Unido e incluye disposiciones tales como exenciones de las obligaciones del RGPD del Reino Unido en determinados casos.
Ley de Datos (Uso y Acceso) de 2025 (DUAA)
La DUAA recibió la sanción real el 19 de junio de 2025 y se está aplicando por fases; algunas disposiciones ya están en vigor y se prevé que otras entren en vigor a lo largo del próximo año. La DUAA introduce cambios significativos en el régimen actual.
Los objetivos de la DUAA son fomentar la innovación, reforzar el marco vigente de protección de datos en el Reino Unido y permitir que las empresas mejoren sus servicios sin dejar de garantizar la protección de los derechos de las personas.
Además de garantizar el cumplimiento normativo, tal y como se menciona más adelante, las organizaciones deberían plantearse cómo pueden sacar partido de los cambios que apoyo innovación.
Innovación
La ICO acoge con satisfacción los cambios que introduce la DUAA y señala que esta ley puede ayudar a las empresas a innovar de las siguientes maneras:
1. Investigación: aclaración de que se puede otorgar un ‘consentimiento general’ para un ámbito de investigación científica cuando las organizaciones utilizan datos personales con fines de investigación.
2. Avisos de privacidad: Si la elaboración de un aviso de privacidad para la reutilización de datos personales con fines de investigación científica supusiera un esfuerzo desproporcionado, las organizaciones no tendrán que volver a publicar dicho aviso. No obstante, el aviso deberá seguir estando disponible en la página web de la organización y los derechos seguirán estando protegidos como de costumbre.
3. Toma de decisiones automatizada (ADM): que las empresas puedan basarse en toda la gama de fundamentos jurídicos a la hora de utilizar los datos personales de las personas para tomar decisiones automatizadas sobre ellas, siempre que se apliquen las garantías pertinentes.
4. Cookies: Algunos tipos de cookies pueden instalarse sin necesidad de consentimiento, por ejemplo, las que se utilizan para recopilar información con el fin de mejorar la funcionalidad del sitio web.
Cambios principales
Entre los principales cambios introducidos por la DUAA se incluyen:
- Toma de decisiones automatizada (ADM): permite a las organizaciones tomar decisiones basadas únicamente en el tratamiento automatizado en un abanico más amplio de circunstancias, siempre que se apliquen determinadas garantías. Estas garantías incluyen informar a la persona y ofrecerle el derecho a la intervención humana en lo que respecta a la toma de decisiones. No obstante, existen restricciones al tratamiento automatizado de decisiones (ADM) en el caso de categorías especiales de datos.
- Acceso de los interesados: una norma de ‘suspensión del plazo’, que permite interrumpir los plazos de respuesta si se necesita información adicional por parte del solicitante. Además, cuando alguien solicita el acceso a sus datos, las organizaciones solo están obligadas a realizar búsquedas razonables y proporcionadas.
- Intereses legítimos reconocidos: un nuevo fundamento jurídico para el tratamiento de datos personales. Si se aplica este fundamento jurídico, no es necesario sopesar el impacto sobre las personas cuyos datos personales se están utilizando frente a los beneficios. Normalmente, esto se haría mediante la realización de una evaluación de intereses legítimos (LIA). La DUAA establece una lista de bases preaprobadas, entre las que se incluyen la seguridad nacional, la respuesta a emergencias y la protección de menores o personas en situación de riesgo.
- Protección de datos de los menores: al prestar un servicio en línea que pueda ser utilizado por menores, las organizaciones deben plantearse cómo apoyar y proteger a los menores a la hora de decidir cómo utilizar sus datos personales.
- Quejas: la obligación de ayudar a las personas que deseen presentar reclamaciones sobre el tratamiento de sus datos personales y un plazo para acusar recibo (en un plazo de 30 días y para responder ‘sin demoras indebidas’).
Nuevas competencias de la ICO
Las empresas deben tener en cuenta que, en virtud de la DUAA, la ICO se reestructurará de forma similar a otros organismos reguladores del Reino Unido, con un director general y un consejo de administración. Se ha anunciado que Paul Arnold será el primer director general. Asimismo, se amplían las competencias de la ICO, que contará con nuevas facultades de investigación y ejecución, así como con la capacidad de imponer sanciones de hasta 17,5 millones de libras esterlinas o el 41 % del volumen de negocio global. Una de las nuevas competencias de la ICO es la capacidad de emitir ‘notificaciones de entrevista’ y ‘notificaciones de información’, mediante las cuales la ICO evaluará si se han infringido las disposiciones en materia de protección de datos. La ICO deberá equilibrar estas competencias más amplias con sus nuevas obligaciones y requisitos de información.
Por lo tanto, ahora es más importante que nunca garantizar que las organizaciones cumplan con la normativa y puedan presentar los registros pertinentes y justificar sus procesos. En lo que respecta al uso de sistemas de inteligencia artificial, las empresas deben comprender los riesgos asociados, cómo mitigarlos y las cuestiones relacionadas con la privacidad que podrían surgir.
La ICO confirma en sus directrices que seguirá actuando como un ‘organismo regulador de confianza, imparcial e independiente’ y que se centrará en seguir ofreciendo asesoramiento y servicios, al tiempo que ‘reduce las cargas regulatorias’ y fomenta ‘la innovación y el crecimiento’.
Garantizar el cumplimiento
Comprender los requisitos
Las empresas deberían revisar todas las disposiciones clave y estar al tanto de los cambios actuales y futuros para garantizar que las políticas y prácticas pertinentes se actualicen cuando sea necesario. También recomendamos a las empresas que lean las orientaciones pertinentes que se incluyen a continuación y que se mantengan atentas a nuevos comentarios y orientaciones (tenga en cuenta que la ICO publicará más orientaciones a su debido tiempo).
Para cumplir con los requisitos, será fundamental comprender cuáles de los cambios son aplicables a tu modelo de negocio concreto y qué partes de tu empresa se verán afectadas.
La DUAA es muy amplia, por lo que podría merecer la pena solicitar asesoramiento jurídico para garantizar que tu empresa cumpla, en general, con la normativa vigente en materia de protección de datos y esté preparada para los cambios que se avecinan.
Actualización de políticas, contratos, materiales de formación y sistemas
También es importante valorar si es necesario actualizar los materiales de formación de los empleados y los contratos con los clientes. La actualización de las políticas y los contratos no solo contribuirá a garantizar el cumplimiento normativo, sino que también puede fomentar la confianza de los clientes y minimizar los riesgos.
Ejemplos específicos de cada empresa sobre cómo actualizar los sistemas y las políticas:
- Establecer un sistema adecuado para gestionar las reclamaciones relacionadas con el uso de los datos, si aún no se ha hecho.
- Establecer un sistema adecuado para la protección de los menores que utilizan los servicios en línea.
- Registrar y documentar todos los tratamientos basados en intereses legítimos reconocidos y actualizar las políticas de privacidad para reflejar esto.
- Analizar y documentar el uso que hace su organización de la inteligencia artificial en la toma de decisiones automatizada, cómo funcionan estos sistemas, los tipos de datos que se introducen y los motivos que justifican el uso de la toma de decisiones automatizada.
- Si se realizan cambios en los procesos para potenciar la innovación, se deben actualizar en consecuencia las políticas de privacidad y los contratos pertinentes.
- Garantizar que las políticas dejen claro qué medidas de protección se han establecido en relación con la toma de decisiones automatizada.
- Considera la posibilidad de nombrar a un delegado de protección de datos (DPO) para que supervise las medidas de cumplimiento y actúe como punto de contacto para las consultas relacionadas con los datos.
Orientaciones sobre las ICO: Las organizaciones del Reino Unido se beneficiarán de las nuevas leyes de protección de datos | ICO
Orientaciones del Gobierno: Ley de Datos (Uso y Acceso) de 2025: cambios en materia de protección de datos y privacidad – GOV.UK
Otras noticias
23andMe
23andMe, una empresa dedicada a las pruebas genéticas, ha sido multada con 2,31 millones de libras esterlinas por la ICO por contar con medidas de seguridad insuficientes para proteger los datos personales. Esto se produce tras un ciberataque ocurrido en 2023 que provocó la filtración de los datos personales (incluidos los datos genéticos) de más de 150 000 usuarios en el Reino Unido y de millones en todo el mundo. Según se informó, aunque ya a principios de 2023 se habían presentado denuncias por robo de datos —que fueron desestimadas por carecer de fundamento—, no se llevó a cabo una investigación exhaustiva hasta que los datos robados salieron a la venta en Reddit en octubre de 2023. Este caso pone de relieve la importancia de contar con medidas de seguridad adecuadas, como la autenticación multifactorial, y de tomar precauciones adicionales cuando se almacenan datos de categorías especiales.
La UE prorroga por seis meses las decisiones de adecuación relativas al Reino Unido
La Comisión Europea ha prorrogado por seis meses sus decisiones de adecuación relativas a las transferencias de datos con el Reino Unido, cuyo vencimiento queda fijado ahora para el 27 de diciembre de 2025. Esto dará tiempo para evaluar el Acuerdo de Adecuación de Datos (DUAA). El término ‘adecuación’ es el que utiliza la UE para describir la capacidad de aquellos países que se considera que pueden ofrecer un nivel de protección de datos ‘esencialmente equivalente’ al de la UE.
Internet de las cosas: directrices actualizadas de la ICO
La ICO ha publicado unas directrices actualizadas sobre el tratamiento de datos personales en los productos de consumo del Internet de las cosas (IoT), así como sobre la aplicación de la legislación británica en materia de protección de datos y del Reglamento de 2003 sobre privacidad y comunicaciones electrónicas. Entre los tipos de productos de consumo del IoT se incluyen las bombillas inteligentes y los relojes inteligentes. Consulta las directrices completas aquí: Acerca de esta guía | ICO.
Las nuevas leyes brasileñas sobre inteligencia artificial
Brasil propone un proyecto de ley para la regulación de la IA que se centra en los riesgos y en el establecimiento de los derechos individuales. Considera que determinados sistemas de IA entrañan un riesgo excesivamente elevado, por ejemplo, aquellos que se utilizan con fines de ‘puntuación social’ (el uso de la IA para asignar un valor a las personas en función de su comportamiento mediante su vigilancia, lo que determina sus derechos).
Cómo podemos ayudarle
Podemos ayudarte a comprender cómo afectan las leyes británicas sobre protección de datos a tu empresa y cuál es la mejor forma de proteger tu organización. Si necesitas revisar o actualizar tus políticas y contratos, ponte en contacto con nuestro equipo.
Olivia Crolla
Abogado asociado
