Komisja Europejska przyjęła w poniedziałek decyzję stwierdzającą odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo. Efekt? Transfer danych z UE do tego państwa nie wymaga uzyskania jakiegokolwiek dodatkowego zezwolenia. Wielka Brytania opuściła struktury Unii Europejskiej 31 stycznia 2020 r. Po wielomiesięcznych pracach Komisja Europejska przyjęła w poniedziałek (28 czerwca) decyzję wykonawczą wydaną na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO),
stwierdzającą odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo.
Bez dodatkowego zezwolenia
Komisja Europejska skorzystała z uprawnienia określonego w art. 45 ust. 3 RODO, zgodnie z którym może – w drodze aktu wykonawczego – przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Przyjęcie takiej decyzji pozwala na transfer danych do tego państwa bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia.
Aby wydać decyzję o adekwatności dla Zjednoczonego Królestwa, Komisja Europejska musiała dokonać wszechstronnej analizy porządku prawnego tego państwa. Analiza obejmowała przepisy dotyczące praw podmiotów danych, ograniczenia oraz zabezpieczenia w zakresie dostępu organów publicznych do danych osobowych, jak i gwarancje zapewniające stopień ochrony „zasadniczo odpowiadający” stopniowi ochrony zapewnianemu w Unii Europejskiej.
Decyzja o adekwatności dla Zjednoczonego Królestwa pojawiła się w odpowiednim czasie. Tylko do 30 czerwca tego roku obowiązywał bowiem tzw. określony okres, wynegocjowany przez UE i Zjednoczone Królestwo, podczas którego przekazywanie danych osobowych z Unii Europejskiej do Wielkiej Brytanii nie było uznawane za przekazywanie ich do państwa trzeciego. Pisaliśmy o tym.
Pod kontrolą
Przyjęcie decyzji o adekwatności dla Zjednoczonego Królestwa przez Komisję Europejską przed upływem tzw. określonego okresu pozwoli zaangażowanym w przekazywanie danych osobowych pomiędzy Unią Europejską a Wielką Brytanią dokonywać transferów w oparciu właśnie o to narzędzie prawne.
Decyzja o adekwatności dla Zjednoczonego Królestwa zawiera niestosowany dotąd w tego typu narzędziach prawnych mechanizm zwany „sunset clause” (klauzula zachodzącego słońca). Została bowiem przyjęta na określony czas – traci moc 27 czerwca 2025 r. Istnieje możliwość, aby okres jej stosowania został przedłużony. To rozwiązanie ma umożliwić bieżące monitorowanie przez Komisję Europejską faktycznych i prawnych ram, na których opiera się decyzja o adekwatności.
Obecnie decyzja o adekwatności nie obejmuje transferów danych w celach kontroli migracyjnej Wielkiej Brytanii, co stanowi konsekwencję wyroku sądu krajowego Zjednoczonego Królestwa dotyczącego interpretacji ograniczeń praw z zakresu ochrony danych w tym obszarze. Wyjątek ten będzie na bieżąco weryfikowany przez Komisję Europejską na podstawie planowanych rozwiązań prawnych Zjednoczonego Królestwa w tym zakresie.
W poniedziałek Komisja Europejska przyjęła również decyzję wykonawczą wydaną na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680, stwierdzającą odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo.