RODO w Wielkiej Brytanii po brexicie

Stało się. Od 1 lutego 2020 r. Wielka Brytania wreszcie nie jest już członkiem Unii Europejskiej. Czy w związku z tym coś zmienia się w zakresie danych osobowych obywateli Unii Europejskiej przetwarzanych na terenie Wielkiej Brytanii lub obywateli brytyjskich przetwarzanych na terytorium Unii Europejskiej? W dzisiejszym poście staram się odpowiedzieć na to pytanie.

Okres przejściowy

Wielka Brytania wystąpiła z Unii Europejskiej na podstawie zawartej z Unią Europejską umowy o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej (2019/C 66 I/01). Umowa ta wprowadziła okres przejściowy, który potrwa do końca 2020 r. Art. 127 ust. 1 umowy stanowi: „O ile niniejsza Umowa nie stanowi inaczej, w okresie przejściowym prawo Unii ma zastosowanie do Zjednoczonego Królestwa i na jego terytorium”. Oznacza to, że do 31 grudnia 2020 r. nic w zakresie zasad przetwarzania danych osobowych w Wielkiej Brytanii się nie zmieni. Ogólne rozporządzenie o ochronie danych (RODO) dalej obowiązuje także w Wielkie Brytanii i nie ma żadnych przeciwskazań, żeby dokonywać transferu danych osobowych z Unii Europejskiej do Wielkiej Brytanii (oczywiście na zasadach określonych w RODO).

Co po okresie przejściowym?

Okres przejściowy potrwa jednak tylko do 31 grudnia 2020 r. A co później? Na razie do końca nie wiadomo. Wszystko zależy od dalszych negocjacji i ustaleń pomiędzy Unią a Wielką Brytanią. Pewne wskazówki zawiera Artykuł 71 umowy o wystąpieniu Wielkiej Brytanii z Unii Europejskiej, zgodnie z którym:

1. Prawo Unii dotyczące ochrony danych osobowych ma zastosowanie do Zjednoczonego Królestwa w odniesieniu do przetwarzania danych osobowych osób, których dane dotyczą, spoza Zjednoczonego Królestwa, jeżeli dane osobowe:
   1. były przetwarzane zgodnie z prawem Unii w Zjednoczonym Królestwie przed zakończeniem okresu przejściowego; lub
   2. są przetwarzane w Zjednoczonym Królestwie po zakończeniu okresu przejściowego na podstawie niniejszej Umowy.
2. Ust. 1 nie ma zastosowania w zakresie, w jakim przetwarzanie danych osobowych, o którym mowa w tym ustępie, jest objęte odpowiednim poziomem ochrony określonym w mających zastosowanie decyzjach przyjętych na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679 lub art. 36 ust. 3 dyrektywy (UE) 2016/680.
3. W zakresie, w jakim decyzja, o której mowa w ust. 2, przestała mieć zastosowanie, Zjednoczone Królestwo zapewnia poziom ochrony danych osobowych, który jest zasadniczo równoważny poziomowi ochrony na mocy prawa Unii dotyczącego ochrony danych osobowych, w odniesieniu do przetwarzania danych osobowych osób, których dane dotyczą, określonych w ust. 1.

Jak to będzie wyglądało w praktyce? Nie wiadomo. Jednak w najgorszym wypadku ust. 3 przewiduje, że Wielka Brytania zapewni poziom ochrony danych osobowych równoważny poziomowi ochrony w Unii Europejskiej. Może więc jednak transfer danych do Wielkiej Brytanii nie będzie tak problematyczny.