Nowa podstawa transferu danych osobowych w Wielkiej Brytanii – niezbędna aktualizacja klauzul i rejestrów

Komisja Europejska potwierdziła odpowiedni poziom ochrony danych osobowych w Zjednoczonym Królestwie Wielkiej Brytanii i Irlandii Północnej w ostatnim możliwym momencie. Podmioty dokonujące transferu danych do tych krajów mogą więc oprzeć się na decyzji o adekwatności, ale muszą zweryfikować aktualność swoich klauzul informacyjnych i rejestrów.

 

Wielka Brytania jako państwo trzecie

W związku z Brexitem, Wielka Brytania stała się tzw. państwem trzecim z perspektywy transferu danych poza Unię Europejską. W praktyce oznacza to, że przekazanie danych osobowych musi opierać się na odpowiedniej podstawie prawnej. Zgodnie z “Umową wystąpieniową” swobodny przepływ danych między EOG a Wielką Brytanią miał być możliwy maksymalnie do 1 lipca 2021 r.

Decyzja potwierdzająca odpowiedni poziom ochrony danych osobowych została przyjęta przez Komisję Europejską 28 czerwca 2021 r., a więc tuż przed upływem okresu przejściowego i tego samego dnia weszła w życie.

 

Decyzja o adekwatności  co oznacza w praktyce?

Podmioty z UE mogą swobodnie przekazywać dane osobowe do Wielkiej Brytanii, bez konieczności wdrażania dodatkowych zabezpieczeń / zezwoleń przewidzianych w 5. rozdziale RODO, których wymaga się w przypadku braku zapewnienia przez państwo trzecie odpowiedniej ochrony.

Po raz pierwszy też decyzja o adekwatności została ograniczona czasowo – będzie ona obowiązywać przez okres 4 lat, a więc do 27 czerwca 2025 r. W trakcie tego okresu Komisja Europejska będzie monitorować sytuację prawną w Zjednoczonym Królestwie  – jeżeli zapewniony będzie odpowiedni poziom ochrony danych osobowych, Komisja może przedłużyć obowiązywanie wydanej decyzji.

 

Obowiązek weryfikacji dokumentów i klauzul informacyjnych

Administratorzy przewidujący transfer danych do Zjednoczonego Królestwa powinni odpowiednio dostosować stosowane klauzule informacyjne oraz pozostałą dokumentację dotyczącą przetwarzania danych osobowych i wskazać w nich nową podstawę transferu.

Zgodnie z obowiązkami wynikającymi z RODO, powinni oni przekazywać podmiotom danych informacje o tym, czy ich dane przekazywane są poza Europejski Obszar Gospodarczy oraz na jakiej podstawie.

Nie należy zapominać o tym, że wydanie decyzji w zakresie swobodnego przekazywania danych do Zjednoczonego Królestwa nie zwalnia z konieczności zapewnienia zgodności z pozostałymi przepisami prawa dotyczącymi ochrony danych osobowych.

 

Magdalena Kaleta-Maniak
Manager | Adwokat
magdalena.kaleta@olesinski.com

Anita Nowicka
Associate | Dział prawny
anita.nowicka@olesinski.com