Transferencias datos Reino Unido España

En una frase. Las transferencias de datos personales desde España al Reino Unido se rigen por la decisión de adecuación UE-UK vigente desde junio 2021 (renovada en diciembre 2025 hasta 2031), permitiendo flujos sin instrumentos adicionales como si fueran intracomunitarios, salvo controles específicos en seguridad nacional.

Puntos clave

• Adecuación UE-UK adoptada el 28 junio 2021 tras Brexit.
• Revisión y renovación en diciembre 2025: vigente hasta 2031.
• Flujos UK→España bajo UK GDPR + Data Use and Access Act 2025.
• IDTA (International Data Transfer Agreement) cuando no aplica adecuación.
• Riesgo residual: legislación de inteligencia británica y solapamiento con EEUU.

1. Estado actual: adecuación vigente

Tras el Brexit (1 enero 2021), Reino Unido se convirtió en “tercer país” para el RGPD, de modo que las empresas británicas que venden a residentes españoles quedan sujetas al reglamento como cualquier empresa fuera de la UE. La Comisión Europea adoptó dos decisiones de adecuación el 28 junio 2021 (una bajo el RGPD y otra bajo la Directiva de protección de datos en el ámbito penal), permitiendo flujos sin instrumentos adicionales.

La adecuación se revisó en diciembre 2025 y fue renovada con vigencia hasta diciembre 2031. Sin una decisión de adecuación, cada transferencia habría requerido cláusulas contractuales tipo y una evaluación de impacto de la transferencia (TIA), como sucede con la mayoría de países terceros. Por eso la adecuación es, en la práctica, el instrumento más cómodo del catálogo de transferencias internacionales del art. 44 y siguientes RGPD.

2. Marco normativo UK aplicable

• UK GDPR: versión británica del RGPD post-Brexit.
• Data Protection Act 2018: ley nacional británica.
• Data Use and Access Act 2025: modificación reciente del UK GDPR (objetivo: facilitar uso de datos en investigación e IA).
• Investigatory Powers Act 2016: legislación de inteligencia con interferencia potencial.

3. Régimen para transferencias España → UK

Tras adecuación:

• Transferencia tratada como intracomunitaria.
• No requiere CCT, BCR ni otros instrumentos del art. 46 RGPD.
• Información al interesado sobre transferencia (art. 13 RGPD).
• Registro de la transferencia en registro de actividades.

4. Régimen para transferencias UK → España

UK reconoce a la UE como adecuada en general. Reglas:

• Transferencia desde UK al EEE sin restricciones.
• Aplicable el UK GDPR durante el tratamiento en UK.
• Cláusulas tipo del ICO británico (IDTA) cuando UE no es destino.

5. IDTA: International Data Transfer Agreement

Cuando no aplica adecuación (ej. transferencia desde UK a EEUU sin DPF), se usa el IDTA que publica la autoridad británica, la Information Commissioner’s Office (ICO):

• Plantilla oficial publicada en marzo 2022.
• Tres documentos: IDTA, Addendum a las CCT UE, Documento Complementario.
• Análisis de impacto similar al TIA europeo.
• Medidas suplementarias obligatorias si riesgos identificados.

6. Información al interesado

Conforme al art. 13.1.f RGPD, la transferencia a UK debe estar informada:

• Mención al país (Reino Unido) o al hecho de transferencia internacional.
• Mención a la existencia de decisión de adecuación.
• Información sobre derechos del interesado y mecanismo de reclamación.
• Si se usa IDTA: información sobre disponibilidad de copia de las salvaguardas.

7. Encargados del tratamiento en UK

Empresas españolas que usan proveedores británicos como encargados (cloud, hosting, BPO) deben formalizar un contrato de encargado de tratamiento del art. 28 RGPD que incluya:

• Contrato art. 28 RGPD adaptado a la transferencia.
• Mención expresa de la transferencia internacional a UK.
• Cláusulas de subencargados y cadena de subprocesadores.
• Posibilidad de auditoría documentada.

La adecuación cubre la legitimidad de la transferencia, pero no sustituye al contrato de encargado: son dos obligaciones distintas que a menudo se confunden.

8. Casos típicos UK desde España

• Grupos empresariales con matriz en UK: HSBC, AstraZeneca, BP, Shell.
• Proveedores cloud y SaaS con DC en UK.
• Empresas de auditoría y consultoría: Big Four UK arms.
• Tratamiento de datos personales por bufetes londinenses.
• Servicios financieros para clientes españoles desde la City.

9. Riesgos residuales

A pesar de la adecuación, riesgos a evaluar:

• Investigatory Powers Act 2016: amplios poderes de inteligencia británica.
• UK-US CLOUD Act Agreement: acceso recíproco a datos.
• Data Use and Access Act 2025: relajación de algunas obligaciones (impacto a evaluar).
• Posible no renovación futura: tras 2031.

Recomendación: documentar el análisis de riesgo en una evaluación de impacto (EIPD) para tratamientos sensibles o a gran escala. La existencia de una decisión de adecuación no elimina la obligación de evaluar el riesgo cuando el tratamiento en sí lo exige (art. 35 RGPD); simplemente evita tener que justificar la propia transferencia como un factor de riesgo adicional.

10. Brechas en encargados UK

Si un encargado en UK sufre brecha:

• Encargado notifica al responsable español sin demora.
• Responsable notifica a la AEPD en 72 horas si hay riesgo, siguiendo el procedimiento de brecha de seguridad.
• Comunicación a afectados si alto riesgo.
• Procedimiento integrado en el plan de gestión de incidentes.

La localización del encargado fuera del EEE no cambia los plazos: el responsable español sigue siendo el punto de contacto de la AEPD y el reloj de las 72 horas empieza a correr desde que tiene conocimiento efectivo de la brecha, no desde que el proveedor británico decide informar.

11. Cambios tras la Data Use and Access Act 2025

El UK GDPR fue modificado en 2025 con:

• Mayor flexibilidad para investigación científica y estadística.
• Régimen específico para IA y entrenamiento de modelos.
• Simplificación de algunas obligaciones documentales.
• Reforma del ICO (autoridad británica).

Estos cambios fueron evaluados en la renovación de la adecuación de diciembre 2025 y aceptados como compatibles.

12. Comparación con otras adecuaciones

País/región	Adecuación	Vigencia	Particularidades
Reino Unido	Sí	Hasta 2031	Decisión renovada 2025
EEUU (DPF)	Sí	Variable	Bajo escrutinio judicial
Suiza	Sí	Indefinida	Bilateral previa al RGPD
Canadá	Sí parcial	Indefinida	Solo organizaciones bajo PIPEDA
Japón	Sí	Renovada 2024	Garantías adicionales
Corea Sur	Sí	2021	Sectores específicos
Andorra, Argentina, Israel, Uruguay	Sí	Indefinida	Decisiones antiguas

13. Cómo gestionar transferencias UK desde España

• Identificar todos los flujos UK en el registro de actividades.
• Documentar la base legal: adecuación o instrumento art. 46.
• Información a interesados con mención específica.
• Contratos art. 28 con encargados UK actualizados.
• Procedimiento de gestión de brechas integrado.
• EIPD si tratamiento sensible o masivo.
• Revisión periódica del marco regulatorio UK.
• Ver guía completa: transferencias internacionales.

FAQ

¿Puedo transferir datos a un proveedor en UK sin firmar nada especial?

Sí, gracias a la adecuación UE-UK. Solo necesita el contrato art. 28 RGPD habitual y mencionar la transferencia en la información al interesado.

¿Hasta cuándo dura la adecuación con UK?

Hasta diciembre 2031 (renovada en diciembre 2025). Sujeta a revisión anterior si cambios sustanciales en derecho británico.

¿La Data Use and Access Act 2025 afecta a las transferencias?

No directamente. La modificación del UK GDPR fue evaluada en la renovación de la adecuación y aceptada como compatible con el nivel UE.

¿Qué hago si el proveedor UK transfiere a EEUU?

Verifique que aplica el Data Privacy Framework (si el importador está certificado) o un IDTA con su correspondiente análisis de transferencia. La cadena de transferencias debe estar documentada y conforme en cada eslabón: el hecho de que la primera transferencia España→UK esté cubierta por adecuación no valida automáticamente la segunda UK→EEUU.

¿La adecuación con UK me exime de informar al interesado?

No. Aunque la transferencia se trate como intracomunitaria, el art. 13.1.f RGPD obliga a informar de la existencia de la transferencia a un tercer país y de que se ampara en una decisión de adecuación. Omitir esta mención en la política de privacidad es una infracción independiente de que la transferencia sea legítima.