W związku z brexitem będzie obowiązywał dłuższy okres przejściowy na przekazywanie danych osobowych do Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej na dotychczasowych zasadach - informuje Urząd Ochrony Danych Osobowych.
Jak wskazano w oficjalnym komunikacie, od 1 stycznia 2021r. swobodny przepływ danych między Europejskim Obszarem Gospodarczym (27 państw członkowskich UE oraz Islandia, Liechtenstein i Norwegia) a Zjednoczonym Królestwem zostanie utrzymany maksymalnie do 1 lipca 2021r. Przewiduje to tzw. klauzula pomostowa zawarta w postanowieniach końcowych Umowy o handlu i współpracy między Unią Europejską i Europejską Wspólnotą Energii Atomowej z jednej strony a Zjednoczonym Królestwem Wielkiej Brytanii i Irlandii Północnej z drugiej, która będzie regulowała przyszłe relacje między UE i Zjednoczonym Królestwem.
UODO tłumaczy, że zgodnie z art. FINPROV 10A Umowy, który określa przepisy przejściowe dotyczące przekazywania danych osobowych do Zjednoczonego Królestwa, takie transfery tymczasowo nie będą traktowane jako przekazywanie danych do państwa trzeciego. Tym samym nadal od przedsiębiorców lub podmiotów publicznych nie będzie wymagane spełnienie dodatkowych wymogów określonych w rozdziale V RODO. Odnosi się to również do dodatkowych wymogów dotyczących międzynarodowych transferów danych określonych w rozdziale 3a Ustawy z 16 września 2011r. o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej, państw trzecich, agencjami Unii Europejskiej oraz organizacjami międzynarodowymi, który wdraża w polskim porządku prawnym rozdział V dyrektywy (UE) 2016/680.
Okres przejściowy - jak długi?
Okres przejściowy zakończy się najpóźniej 1 lipca 2021r., czyli po upływie sześciu miesięcy od 1 stycznia 2021r. Umowa co prawda przewiduje okres czterech miesięcy, ale automatycznie zostanie on przedłużony o kolejne dwa, chyba że jedna ze stron Umowy się temu sprzeciwi. Okres przejściowy może się również zakończyć wcześniej, gdy Komisja Europejska na mocy art. 36 ust. 3 dyrektywy (UE) 2016/680 i na mocy art. 45 ust. 3 RODO wyda decyzje wykonawcze w sprawie odpowiedniego poziomu ochrony danych w odniesieniu do Zjednoczonego Królestwa - czytamy w komunikacie.
Przekazywanie danych po zakończeniu okresu przejściowego
Jak podkreśla UODO, Komisja Europejska w Deklaracji dotyczącej przyjęcia decyzji w sprawie odpowiedniego poziomu ochrony w odniesieniu do Zjednoczonego Królestwa zadeklarowała chęć szybkiego rozpoczęcia formalnej procedury w tym zakresie. Przed wydaniem takich decyzji wymagane będzie dokonanie oceny brytyjskiego prawa ochrony danych osobowych i praktyki jego stosowania w świetle orzecznictwa Trybunału Sprawiedliwości UE. Przekazywanie danych na podstawie decyzji Komisji Europejskiej będzie możliwe bez konieczności spełnienia dodatkowych warunków. Jeżeli jednak Komisja Europejska nie wydałaby w tym czasie decyzji w sprawie odpowiedniego poziomu ochrony, przekazywanie danych do Zjednoczonego Królestwa po upływie okresu przejściowego wymagałoby przede wszystkim zastosowania zabezpieczeń określonych w art. 46 RODO (np. standardowych klauzul umownych czy wiążących reguł korporacyjnych).
Swobodny przepływ danych - warunki
Zgodnie z treścią komunikatu swobodny przepływ danych w okresie przejściowym będzie uzależniony od zachowania przez Zjednoczone Królestwo obowiązujących 31 grudnia 2020r. przepisów o ochronie danych osobowych opartych na prawie UE, tj. RODO i dyrektywie (UE) 2016/680. Zjednoczone Królestwo w okresie przejściowym nie będzie mogło korzystać ze swoich kompetencji w zakresie międzynarodowych transferów danych.
Rola Rzecznika ds. Informacji
Na co UODO zwraca uwagę to fakt, że od 1 stycznia 2021r. mechanizm kompleksowej współpracy (OSS) w odniesieniu do transgranicznego przetwarzania danych nie będzie już miał zastosowania do Zjednoczonego Królestwa, w związku z czym Urząd Rzecznika ds. Informacji (ICO) nie będzie już w nim uczestniczył.
Umowa - proces wdrażania
Negocjacje nad Umową zakończyły się 24 grudnia, czyli tuż przed upływem dotychczasowego okresu przejściowego. 29 grudnia Rada UE podjęła decyzję o podpisaniu Umowy i jej tymczasowym stosowaniu. Formalne podpisanie Umowy przez obie strony nastąpiło 30 grudnia. Jej wejście w życie będzie uzależnione od spełnienia dalszych wymogów proceduralnych, w tym zgody Parlamentu Europejskiego, która może zostać wyrażona na początku 2021r. Dlatego planowane jest tymczasowe stosowanie umowy od 1 stycznia 2021r., co nie będzie jednak mogło trwać dłużej niż do 28 lutego 2021r. - wyjaśnia UODO.
Jak zadeklarowano w komunikacie, Urząd Ochrony Danych Osobowych będzie monitorował przebieg toczących się prac i w razie potrzeby aktualizował przekazane informacje.
Bieżące informacje są publikowane przez Komisję Europejską na stronie internetowej: https://ec.europa.eu/info/european-union-and-united-kingdom-forging-new-partnership/future-partnership/draft-eu-uk-trade-and-cooperation-agreement_en
Informacja o podjęciu decyzji przez Radę UE:
https://www.consilium.europa.eu/en/press/press-releases/2020/12/29/eu-uk-trade-and-cooperation-agreement-council-adopts-decision-on-the-signing/
Oświadczenie Europejskiej Rady Ochrony Danych opublikowane jeszcze przed zakończeniem negocjacji: https://uodo.gov.pl/pl/138/1793
Sytuacja przedsiębiorców
Od 1 stycznia 2021r. do takich przedsiębiorców będzie się bezpośrednio stosować RODO - wskazuje UODO. RODO ma bowiem zastosowanie także do przetwarzania danych dotyczących osób przebywających w UE przez administratora lub podmiot przetwarzający niemających jednostek organizacyjnych w Unii, jeżeli czynności te wiążą się z:
- oferowaniem towarów lub usług takim osobom znajdującym się w UE – niezależnie od tego, czy wymaga się od tych osób zapłaty; lub
- monitorowaniem ich zachowania, o ile do zachowania tego dochodzi w UE.
Tacy przedsiębiorcy muszą wyznaczyć na piśmie swojego przedstawiciela w UE w tym państwie członkowskim, w którym przebywają osoby, których dane osobowe są przetwarzane w związku z oferowaniem im towarów lub usług lub których zachowanie jest monitorowane - wskazano w komunikacie.
Przedsiębiorcy nie muszą wyznaczać swojego przedstawiciela jeżeli prowadzone przez nich operacje przetwarzania, mają charakter sporadyczny, nie obejmują – na dużą skalę – przetwarzania szczególnych kategorii danych osobowych, ani przetwarzania danych osobowych dotyczących wyroków skazujących i czynów zabronionych, i jest mało prawdopodobne, by ze względu na swój charakter, kontekst, zakres i cele powodowało ryzyko naruszenia praw lub wolności osób fizycznych.
Informacja prasowa UODO
