Brexit a RODO – odrzucenie umowy o wyjściu Wielkiej Brytanii z UE równoznaczne z twardym Brexitem i paraliżem przepływu danych osobowych na Wyspy?
Brexit od zawsze budził kontrowersje. Od przeprowadzonego w 2016 roku referendum ws. wyjścia z Unii Europejskiej, które poparło zaledwie 52% Brytyjczyków, przez trudne negocjacje na poziomie europejskim, nagłe wątpliwości i przejawy bardziej prounijnych nastrojów mieszkańców Wielkiej Brytanii, aż po najnowsze wiadomości dotyczące odrzucenia przez brytyjski parlament umowy ws. Brexitu i głosowania ws. wotum nieufności dla rządu Theresy May. Przypominamy – 15 stycznia b.r. Izba Gmin (stosunkiem głosów 432 do zaledwie 202) odrzuciła projekt porozumienia między Londynem a Brukselą dot. wyjścia Wielkiej Brytanii z Unii Europejskiej (UE). Co to oznacza dla organizacji, które w ramach swojej działalności przekazuje dane osobowe na Wyspy? Mają szykować się na twardy Brexit czy uzbroić w cierpliwość i liczyć, że status quo zostanie zachowany?
Polecamy: Kodeks pracy 2019 - komentarz
Trzy możliwe scenariusze i dwa różne plany działania
Sprawa związana z Brexitem może mieć trzy możliwe rozwiązania. Najmniej prawdopodobne, czyli przeprowadzenie kolejnego referendum na Wyspach ws. wyjścia z UE – i jednak pozostanie Wielkiej Brytanii w UE, oraz dwa wielce realne, tj. twardy Brexit skutkujący zmianą statusu Wielkiej Brytanii na tzw. państwo trzecie albo wznowienie negocjacji na linii Londyn-Bruksela i wypracowanie rozsądnej alternatywy dla przygotowywanej do tej pory umowy wyjścia z UE.
- Bezumowny Brexit a dalszy transfer danych osobowych
Wątpliwości nie ulega fakt, iż na skutek najnowszych wydarzeń twardy Brexit stał się bardziej prawdopodobny, niż ktokolwiek mógłby przypuszczać, przy czym jego urzeczywistnienie może okazać się katastrofalne w skutkach. Kraje UE, w których obowiązuje jednolite prawo ochrony danych osobowych, transferują dane między sobą bez konieczności uwzględniania granic państwowych. Brexit w tym scenariuszu miałby to zmienić – Wielka Brytania stałaby się „państwem trzecim” w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO) i tym samym zostałaby zrównana w tym względzie z chociażby Kazachstanem czy Peru, co z dnia na dzień obwarowałoby transfer danych do Wielkiej Brytanii dodatkowymi, często bardzo problematycznymi warunkami, które musieliby spełnić administratorzy danych.
Mowa tu przede wszystkim o konieczności uzyskania jednej z podstaw legalizujących przekazanie danych do państwa trzeciego, o których stanowi rozdział V RODO. Każdy kontrahent, usługodawca czy spółka z grupy kapitałowej, w której skład wchodzi podmiot mający siedzibę na terenie Wielkiej Brytanii, aby móc przekazać dane do brytyjskiego podmiotu zobligowany będzie przykładowo do zawarcia z nim porozumienia zawierającego standardowe klauzule umowne czy do przyjęcia wiążących reguł korporacyjnych - jeśli do przekazań danych dochodziłoby w ramach grupy przedsiębiorstw (art. 46 ust 2 RODO). Oprócz zapewnienia podstawy legalizującej samo przekazywanie danych, po stronie administratorów danych leżałaby też odpowiednia modyfikacja przygotowanej przez nich dokumentacji ochrony danych osobowych, w szczególności w zakresie klauzul informacyjnych i rejestrów czynności przetwarzania. Oznaczałoby to znaczne utrudnienie (w tym z pewnością dodatkowe koszty) dla europejskich organizacji, które działają na rynku brytyjskim.
Zobacz: RODO
- Wypracowanie nowego porozumienia ws. Brexitu
Wszyscy jednak po cichu liczą, że mimo odrzucenia dotychczasowych ustaleń dot. wyjścia Wielkiej Brytanii z Unii, brytyjski rząd dojdzie do porozumienia z Brukselą i wspólnie wypracują nową umowę, która złagodzi skutki tego wydarzenia bez precedensu w historii Unii Europejskiej. Odpowiednie postanowienia umowne umożliwiłyby zachowanie niezakłóconego przepływu danych między Wielką Brytanią a Unią, a dobra wola obu stron pozwoliłaby – tak jak było to początkowo planowane - uchwalić Wielkiej Brytanii prawo kompatybilne z unijnym prawem ochrony danych osobowych, w tym przede wszystkim z RODO. Ponadto dotychczasowe ustalenia zakładały, że transfer danych do Wielkiej Brytanii przez co najmniej dwa lata po Brexicie będzie odbywał się na dotychczasowych zasadach, dając tym samym czas Komisji Europejskiej na przeprowadzenie procedury, wskutek której Wielka Brytania mogłaby zostać uznana za kraj wobec którego stwierdzono odpowiedni stopień ochrony (art. 45 RODO). Takie rozwiązanie byłoby zdecydowanie najkorzystniejsze i dla państw członkowskich UE, i brytyjskich organizacji.
Co to oznacza dla polskich przedsiębiorców?
Na tę chwilę w dalszym ciągu oficjalnym pozostaje wyjście Wielkiej Brytanii z Unii, zaplanowane na dzień 30 marca 2019 roku. Zanim poznamy dalszy los Brexitu, przedsiębiorcy muszą działać szybko i w ciągu najbliższych dwóch tygodni powinni zidentyfikować dane osobowe przesyłane do brytyjskich organizacji i podjąć decyzję co do dalszego transferu danych w przypadku nastąpienia bezumownego Brexitu – a jeśli okaże się ona pozytywna – podjąć działania mające na celu zapewnienie podstaw prawnych przekazywania danych do państwa trzeciego i odpowiednie zmodyfikowanie dokumentacji ochrony danych osobowych. Nie zapominajmy, że zgodnie z art. 83 ust. 5 RODO naruszenie przepisów związanych z przekazywaniem danych osobowych do państw trzecich obwarowane jest administracyjną karą pieniężną sięgającą maksymalnie 20 mln euro (lub 4% całkowitego rocznego obrotu przedsiębiorstwa).
Autor: Agata Kłodzińska, specjalista ds. ochrony danych, ODO 24. Aplikant adwokacki. W ODO 24 zajmuje się przeprowadzaniem audytów, tworzeniem dokumentacji ochrony danych oraz bieżącym doradztwem z zakresu danych osobowych. Audytor wiodący ISO/IEC 27001.