Angielska pogoda, czyli czarne chmury nad transferem danych do Wielkiej Brytanii po Brexicie

Trybunał Sprawiedliwości Unii Europejskiej orzekł o konieczności ograniczenia nadzoru nad danymi telefonicznymi i internetowymi np. dotyczącymi geolokalizacji, przez państwa członkowskie UE, w szczególności w odniesieniu do Belgii, Francji i Wielkiej Brytanii. Tak wynika z komunikatu prasowego z 6 października 2020 r. w sprawach C-511/18,C-512/18,C-520/18,C-623/17 La Quadrature du Net i innych. Orzeczenia TSUE stawiają kolejny znak zapytania w kontekście transferów danych osobowych z Unii Europejskiej do Zjednoczonego Królestwa po Brexicie. 

Główne wnioski wynikające z wyroku 

Przede wszystkim TSUE orzekł, że do przechowywania danych i udostępniania ich służbom przez operatorów telekomunikacyjnych znajduje zastosowanie dyrektywa o prywatności i łączności elektronicznej nr 2002/58/WE.  

Na podstawie dyrektywy 2002/58/WE nie jest możliwe masowe żądanie dostępu do danych internetowych i komunikacyjnych ze strony służb. Co do zasady jest ono niezgodne z prawem i powinno być stosowane wyłącznie przy wystąpieniu „poważnego zagrożenia dla bezpieczeństwa narodowego”. W tym kontekście Trybunał negatywnie ocenił krajowe przepisy m.in. Wielkiej Brytanii wymagające od dostawców usług łączności elektronicznej przesyłania w sposób masowy danych o ruchu i lokalizacji do służb bezpieczeństwa i wywiadu w celu ochrony bezpieczeństwa narodowego.  

Trybunał ograniczył dopuszczalność stosowania takiej inwigilacji do sytuacji, w których państwo członkowskie znajduje się w obliczu poważnego zagrożenia bezpieczeństwa narodowego. Oznacza to, że zaostrzone przepisy mogłyby być dopuszczalne jedynie z uwagi na niecodzienną sytuację i tylko w trakcie jej trwania. Trybunał przypomniał, że zgodnie z dyrektywą 2002/58/WE użytkownicy usług łączności elektronicznej mogą co do zasady oczekiwać, że ich komunikacja i dane z nią związane pozostaną anonimowe i nie będą rejestrowane.  

Bliski koniec okresu przejściowego 

Zgodnie z umową zawartą pomiędzy Zjednoczonym Królestwem a UE, do końca grudnia 2020 roku trwać będzie „okres przejściowy”, w trakcie którego Wielka Brytania podlega prawu unijnemu, o czym informowaliśmy w lutym. Za niespełna dwa miesiące (o ile nie będzie nowych ustaleń) Wielka Brytania będzie traktowana jako państwo trzecie w rozumieniu RODO.

Zgodnie z tym, począwszy od nowego roku, dalsze przekazywanie danych do Wielkiej Brytanii, może wiązać się z dodatkowymi wymogami wynikającymi z rozdziału V RODO. Jednym ze scenariuszy branych pod uwagę w odniesieniu do Wielkiej Brytanii było spodziewane wydanie przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony – Komisja Europejska wydała takie decyzje przykładowo w odniesieniu do Szwajcarii, czy Japonii. Jedną z decyzji wykonawczych dotyczącą adekwatnego poziomu ochrony danych była też tak zwana Tarcza Prywatności (Privacy Shield), która jednak została uchylona jednym z ostatnich wyroków TSUE. Stanowiła ona główną podstawę transferu danych osobowych do Stanów Zjednoczonych. Trybunał unieważnił Tarczę Prywatności z powodu niedostatecznej ochrony przed dostępem władz publicznych do danych przekazywanych do tego kraju. Tymczasem pomiędzy powyższymi orzeczeniami (w sprawie Tarczy Prywatności oraz obecnie w sprawie m.in. Wielkiej Brytanii) istnieją podobieństwa. Dotyczą one bowiem naruszenia praw podstawowych – prawa do prywatności i prawa ochrony danych osobowych.  

Co więcej, obydwa naruszenia będące przedmiotem orzecznictwa TSUE dotyczą również nadmiernej, nieograniczonej ingerencji w dane osobowe w celach związanych z bezpieczeństwem publicznym. 

Jak wskazuje m. in. Prezes UODO przekazywanie danych do państw trzecich „może mieć miejsce, gdy Komisja Europejska stwierdzi, że to państwo zapewnia odpowiedni poziom ochrony danych osobowych”. Jednak zdaniem Prezesa UODO „do czasu wydania przez KE stosownej decyzji należy sprawdzić alternatywne rozwiązania, które umożliwią przekazywanie danych”.  

Komisja Europejska, aby wydać taką decyzję w odniesieniu do Wielkiej Brytanii, musiałaby jednak ocenić adekwatność ochrony danych osobowych. Jak wskazuje Trybunał wydanie decyzji stwierdzającej odpowiedni stopień ochrony poprzedzić musi „badanie przepisów danego państwa trzeciego, uwzględniające w szczególności właściwe ustawodawstwo w dziedzinie bezpieczeństwa narodowego i dostępu organów władzy publicznej do danych osobowych”. Przytoczone orzeczenia   mogą wpłynąć na ocenę Komisji Europejskiej do poziomu ochrony danych osobowych w Wielkiej Brytanii. W przeddzień Brexitu okazuje się, że TSUE ma zastrzeżenia dotyczące poziomu ochrony danych zapewnianemu przez Zjednoczone Królestwo, co rodzi niepokój o najbliższą przyszłość transferów danych do tego państwa. 

Źródła: 

  • http://curia.europa.eu/juris/document/ document.jsf? text=&docid=228677
  • https://iapp.org/news/a/ cjeu-throws-wrinkle-into-eu-uk-adequacy-talks/ 
  • https://uodo.gov.pl/pl/138/665  

Autor

Karol Witas

Zajmuje się zagadnieniami z zakresu ochrony danych osobowych. Doświadczenie zawodowe zdobywał w krakowskich kancelariach prawnych specjalizujących się w zagadnieniach dotyczących prawa cywilnego, ochrony danych osobowych i własności intelektualnej. Współpracował z organizacjami pozarządowymi m. in. zapewniając im obsługę prawną, w tym w zakresie danych osobowych. Brał udział w tworzeniu dokumentacji oraz procedur w ramach wielu projektów wdrożenia RODO.

Z tej samej kategorii

WSZYSTKIE Z KATEGORII

Kategorie