Transfer danych do Wielkiej Brytanii po brexicie

Przedsiębiorcy lub inne podmioty przekazujące takie dane do Wielkiej Brytanii w okresie do 1 lipca 2021 r. nie będą więc musieli spełniać dodatkowych wymogów:

• przewidzianych w art. 44-49 RODO,
• dodatkowych wymogów dotyczących międzynarodowych transferów danych określonych w rozdziale 3a ustawy z 16 września 2011 r. o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej, państw trzecich, agencjami Unii Europejskiej oraz organizacjami międzynarodowymi, który wdraża w polskim porządku prawnym rozdział V dyrektywy (UE) 2016/680.

Wynika to z tzw. klauzuli pomostowej, którą przewidziano w postanowieniach końcowych Umowy o handlu i współpracy między Unią Europejską  i Europejską Wspólnotą Energii Atomowej z jednej strony a Zjednoczonym Królestwem Wielkiej Brytanii i Irlandii Północnej z drugiej. Art. 10A tej umowy przewiduje bowiem, że przepływ danych nie będzie traktowany jako ich transfer do państwa trzeciego.

Po 1 lipca 2021 r. transfer danych do Wielkiej Brytanii będzie już wymagał spełnienia jednego z dodatkowych wymogów RODO. Na szczęście Komisja Europejska zadeklarowała zamiar szybkiego p przyjęcia decyzji w sprawie odpowiedniego poziomu ochrony w odniesieniu do Wielkiej Brytanii. Decyzja taka zapewni możliwość przekazywania danych do Wielkiej Brytanii bez konieczności realizacji dodatkowych wymogów. Najpierw jednak konieczna będzie ocena brytyjskiego prawa ochrony danych osobowych i praktyki jego stosowania w świetle orzecznictwa Trybunału Sprawiedliwości UE.

Jeżeli zaś nie dojdzie do wydania decyzji, wówczas transfer danych do Wielkiej Brytanii będzie wymagał legalizacji za pomocą innych przesłanek np. standardowych klauzul umownych lub wiążących reguł korporacyjnych.

Warto pamiętać, że przedsiębiorcy zlokalizowani na terenie Wielkiej Brytanii zostaną objęci RODO, jeżeli będą przetwarzali dane osób przebywających w Unii Europejskiej. Stanie się tak, jeżeli czynności te będą wiązały się z:

• oferowaniem towarów lub usług takim osobom znajdującym się w UE – niezależnie od tego, czy wymaga się od tych osób zapłaty; lub
• monitorowaniem ich zachowania, o ile do zachowania tego dochodzi w UE.

Będą oni zobligowani do wyznaczenia na piśmie w UE w tym państwie członkowskim, w którym przebywają podmioty danych w związku z oferowaniem im towarów lub usług lub których zachowanie jest monitorowane.