KE coraz bliżej wydania decyzji stwierdzającej odpowiedni poziom ochrony danych osobowych dla Wielkiej Brytanii

• 19.03.2021

• Autor: Ewa Boboli

• przekazywanie danych poza EOG

Brexit a dane osobowe

W momencie wystąpienia z Unii Europejskiej (dalej: UE) Wielka Brytania stała się „państwem trzecim” i od tego dnia zastosowanie mają przepisy UE dotyczące przekazywania danych osobowych do państw trzecich. Na mocy umowy między UE a Wielką Brytanią, pod pewnymi warunkami, przez kilka najbliższych miesięcy transfer danych do Zjednoczonego Królestwa nie będzie jednak uznawany za przekazywanie danych do państwa trzeciego.

Zgodnie z komunikatami, swobodny przepływ danych między Europejskim Obszarem Gospodarczym (dalej: EOG) a Zjednoczonym Królestwem zostanie utrzymany maksymalnie do 1 lipca 2021 r. (pisaliśmy o tym w podsumowaniu roku 2020) jednak Komisja Europejska (dalej: KE, Komisja) w Deklaracji dotyczącej przyjęcia decyzji w sprawie odpowiedniego poziomu ochrony w odniesieniu do Zjednoczonego Królestwa zapowiedziała chęć szybkiego rozpoczęcia formalnej procedury w tym zakresie i 19 lutego br., dokładnie w rok po opublikowaniu „Europejskiej strategii w zakresie danych” podjęła istotny krok w tym kierunku.

W ciągu ostatnich miesięcy Komisja dokonała dokładnej oceny prawa i praktyki Zjednoczonego Królestwa w zakresie ochrony danych osobowych, w tym zasad dostępu organów publicznych do danych. Komisja doszła do wniosku, że Wielka Brytania zapewnia poziom ochrony zasadniczo równoważny z poziomem gwarantowanym na mocy ogólnego rozporządzenia o ochronie danych (RODO) oraz, po raz pierwszy, na mocy tzw. dyrektywy policyjnej (ang. LED), która ma zastosowanie do przetwarzania danych przez właściwe organy w celu zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.

Brytyjska Komisarz ds. informacji, Elizabeth Denham, wskazała:

Projekty decyzji w sprawie odpowiedniego poziomu ochrony są ważnym kamieniem milowym w zabezpieczeniu dalszego bezproblemowego przekazywania danych z UE do Zjednoczonego Królestwa. (…) ogłoszenie przybliża nas o krok do uzyskania jasnego obrazu sytuacji dla organizacji przetwarzających dane osobowe z UE i z zadowoleniem przyjmuję poczynione postępy.

Dane = pieniądze

Entuzjastycznie przyjęcie informacji o podjęciu prac nad przyjęciem decyzji w sprawie adekwatnego poziomu ochrony nie powinno dziwić. Na przetwarzaniu danych już dzisiaj opiera się bardzo duża część unijnej gospodarki. Komisja Europejska prognozuje, że w 2025 roku:

Źródło: https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/european-data-strategy_pl

Dlaczego decyzja Komisji jest istotna

Artykuł 45 ust. 3 RODO i art. 36 ust. 3 tzw. dyrektywy policyjnej przyznają Komisji uprawnienia do podjęcia decyzji, w drodze aktu wykonawczego, stwierdzającej że państwo spoza UE zapewnia „odpowiedni poziom ochrony”, tj. poziom ochrony danych osobowych, który jest zasadniczo równoważny z poziomem ochrony w UE. Jeżeli państwo spoza UE zostało uznane za „odpowiednie”, przekazywanie danych osobowych z UE do tego państwa może odbywać się bez konieczności spełnienia jakichkolwiek dalszych warunków. W szczególności administratorzy nie muszą stosować odpowiednich zabezpieczeń, o których mowa w art. 46 RODO na przykład wiążących reguł korporacyjnych czy standardowych klauzul umownych (ang. SCC). Stosowanie tych zabezpieczeń wpływa obecnie na koszty, które ponoszą administratorzy danych, a co za tym idzie, na decyzję czy transferować dane do Wielkiej Brytanii czy zdecydować się np. na przekazanie danych do innego państwa pozostającego w ramach struktur EOG.

Kolejne kroki

Omawiane projekty decyzji stwierdzających odpowiedni poziom ochrony dotyczą przepływu danych z UE do Wielkiej Brytanii. Przepływ danych w drugim kierunku – ze Zjednoczonego Królestwa do UE – regulują przepisy brytyjskie, które mają zastosowanie od dnia 1 stycznia 2021 r. Zjednoczone Królestwo uznało, że UE zapewnia odpowiedni poziom ochrony i dlatego dane mogą swobodnie przepływać ze Zjednoczonego Królestwa do UE.

Przyjęcie, że stopień ochrony danych osobowych w Wielkiej Brytanii jest adekwatny do poziomu w UE jest o tyle łatwiejsze do osiągnięcia w porównaniu do krajów spoza Unii, że prawo UE kształtowało brytyjski system ochrony danych przez dziesięciolecia. Jednocześnie z punktu widzenia administratorów danych istotne jest, aby ustalenia dotyczące adekwatności przetrwały próbę czasu ponieważ Wielka Brytania nie będzie już związana unijnymi przepisami dotyczącymi prywatności. Dlatego też po przyjęciu tych projektów decyzji obowiązywałyby one przez pierwszy okres czterech lat. Po upływie tych czterech lat możliwe będzie odnowienie ustaleń dotyczących odpowiedniego poziomu ochrony, jeżeli poziom ochrony w Zjednoczonym Królestwie będzie nadal odpowiedni.

Po uwzględnieniu opinii Europejskiej Rady Ochrony Danych Komisja zwróci się do przedstawicieli państw członkowskich o zielone światło w ramach tzw. procedury komitetowej. Następnie Komisja Europejska może przyjąć ostateczne decyzje dotyczące adekwatności w odniesieniu do Zjednoczonego Królestwa.

Źródła:

https://www.uodo.gov.pl/pl/138/1928

https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/european-data-strategy_pl

https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2021/02/ico-statement-in-response-to-the-publication-of-a-draft-adequacy-decision-from-the-european-commission/

https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/12/ico-statement-in-response-to-uk-governments-announcement-on-the-extended-period-for-personal-data-flows-that-will-allow-time-to-complete-the-adequacy-process/https://ec.europa.eu/commission/presscorner/detail/en/ip_21_661

https://uodo.gov.pl/pl/138/1793

https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN

https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679

https://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:32016L0680&from=EN

Autor

Ewa Boboli

Prawnik, aplikantka przy Okręgowej Izbie Radców Prawnych w Warszawie. Doświadczenie zdobywała w warszawskich kancelariach prawnych oraz spółkach. Doradzała spółkom w zakresie prawa ochrony danych osobowych, e-commerce, sporządzała dokumentację wymaganą przepisami RODO oraz ustawy o świadczeniu usług drogą elektroniczną. Obecnie prowadzi audyty zgodności z RODO, a także pełni funkcję Inspektora Ochrony Danych.