Zasady przepływu danych między Wielką Brytanią i UE
Od 1 lutego 2020 r. Wielka Brytania pozostaje w okresie przejściowym po rozpoczęciu wprowadzania w życie procesu wychodzenia z Unii Europejskiej (tzw. Brexit). Ma on zakończyć się ostatecznie do 31 grudnia 2020 r. Obecne relacje ze Wspólnotą cały czas się kształtują, co nie pozostaje bez wpływu dla stosunków handlowych, nie tylko w zakresie przepływu towarów i usług, ale i towarzyszącego temu nierozerwalnie przekazywaniu danych osobowych.
Tymczasem w świetle ostatnich uregulowań w tym zakresie w odniesieniu do państw trzecich (w ostatnich tygodniach zwłaszcza w kontekście ich transferu do USA), szczególnie istotnym polem jest tu określenie zasad przyszłego przepływu danych pomiędzy Zjednoczonym Królestwem a Unią Europejską.
Okres przejściowy do końca 2020 r.
Do końca bieżącego roku obowiązuje okres przejściowy, w czasie którego wspólnotowe regulacje dotyczące ochrony danych osobowych (w szczególności unijne Ogólne Rozporządzenie O Ochronie Danych - RODO) mają pełne zastosowanie na terenie Wielkiej Brytanii.
Tym samym, status Zjednoczonego Królestwa w okresie przejściowym jako państwa członkowskiego Unii Europejskiej, pozwala na swobodny transfer danych na dotychczasowych zasadach.
Co z danymi po okresie przejściowym? - kilka możliwości
Na temat niewiadomej obecnie relacji UE i Wielkiej Brytanii wypowiedział się brytyjski organ nadzorczy, tj. The Information Commissioner’s Office (ICO).
ICO potwierdził brak ustalonego scenariusza działania w tym zakresie po zakończeniu okresu przejściowego. Jednocześnie rekomenduje sięganie przez administratorów danych i podmioty przetwarzające do opracowywanych przez siebie na bieżąco poradników i materiałów dotyczących zmian zasad przetwarzania danych osobowych spowodowanych Brexitem. Źródła takie znaleźć można na stronach internetowych ICO, a także polskiego Ministerstwa Rozwoju[1].
Jednym z przewidywanych scenariuszy jest wdrożenie w życie tzw. brytyjskiego RODO oraz uregulowanie zasad wymiany danych osobowych między Wielką Brytanią a Wspólnotą Europejską w drodze stosownej umowy międzynarodowej. W tym zakresie warto zaznaczyć, że obecnie w Zjednoczonym Królestwie obowiązuje Ustawa o ochronie danych 2018 (DPA 2018), która uzupełnia i dostosowuje przepisy Ogólnego Rozporządzenia o Ochronie Danych na terenie Wielkiej Brytanii. Ustawa ta w przyszłości ma być jeszcze bardziej zbliżona do regulacji RODO i doprowadzić do zagwarantowania tak wysokiego stopnia ochrony danych, który umożliwi ich przepływ z państw członkowskich UE.
Innym możliwym rozwiązaniem jest uzyskanie przez Wielką Brytanię statusu państwa trzecie w rozumieniu RODO. Oznaczałoby to, że transfer danych osobowych z państw członkowskich do Zjednoczonego Królestwa byłby możliwy każdorazowo tylko w oparciu o mechanizmy przewidziane w RODO, a więc, m. in. na podstawie:
- decyzji Komisji Europejskiej, która potwierdzałaby, że Wielka Brytania zapewnia odpowiedni – analogiczny jak państwa Wspólnoty - poziom ochrony danych osobowych;
- przyjętych przez KE standardowych klauzul umownych;
- wiążących reguł korporacyjnych;
- zatwierdzonego kodeksu postępowania lub
- zatwierdzonego mechanizmu certyfikacji.
Drugie z ww. rozwiązań wiązałoby się koniecznością istotnych zmian w wewnętrznych politykach określających zasady przetwarzania danych u poszczególnych administratorów na terenie UE. Aktualizacji wymagałyby przede wszystkim umowy powierzenia przetwarzania danych, rejestry przetwarzania oraz klauzule informacyjne – w zakresie, w jakim odnoszą się do przekazywania danych Wielkiej Brytanii.
Ostateczne warunki współpracy handlowej i gospodarczej od 1 stycznia 2021 r. – w tym również transferu danych osobowych – zależeć będą od treści przyszłej umowy o wolnym handlu między Wielką Brytanią i Unią Europejską. Do jej zawarcia miało dojść 15 października, w trakcie posiedzenia Rady Europejskiej, jednak do ostatecznych uzgodnień nie doszło. Dalszy plan działań obydwu stron będzie więc nadal przedmiotem negocjacji.