IZVEDBENA UREDBA KOMISIJE (EU) 2021/1772

z dne 28. junija 2021

v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta o ustreznem varstvu osebnih podatkov v Združenem kraljestvu

(notificirano pod dokumentarno številko C(2021) 4800)

(Besedilo velja za EGP)

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (1), zlasti njenega člena 45(3),

ob upoštevanju naslednjega:

1. UVOD

(1) Uredba (EU) 2016/679 določa pravila o prenosu osebnih podatkov od upravljavcev ali obdelovalcev v Evropski uniji v tretje države in mednarodne organizacije, če taki prenosi spadajo na področje uporabe navedene uredbe. Pravila o mednarodnih prenosih podatkov so določena v poglavju V navedene uredbe, natančneje v členih 44 do 50. Pretok osebnih podatkov v države zunaj Evropske unije in iz njih je ključen za širitev mednarodnega sodelovanja in čezmejne trgovine, vendar je treba zagotoviti, da s takimi prenosi v tretje države ni ogrožena raven varstva osebnih podatkov, ki se zagotavlja v Evropski uniji (2).

(2) V skladu s členom 45(3) Uredbe (EU) 2016/679 lahko Komisija z izvedbenim aktom odloči, da tretja država, ozemlje ali en oziroma več določenih sektorjev v zadevni tretji državi ali mednarodna organizacija zagotavljajo ustrezno raven varstva. V skladu s temi pogoji se lahko osebni podatki v tretjo državo prenašajo brez dodatnega dovoljenja, kot je določeno v členu 45(1) in uvodni izjavi 103 navedene uredbe.

(3) Kot je navedeno v členu 45(2) Uredbe (EU) 2016/679, mora sprejetje sklepa o ustreznosti temeljiti na celoviti analizi pravnega reda tretje države, kar vključuje pravila, ki se uporabljajo glede uvoznikov podatkov, ter omejitve in zaščitne ukrepe glede dostopa javnih organov do osebnih podatkov. Komisija mora v oceni opredeliti, ali zadevna tretja država zagotavlja raven varstva, ki je „v osnovi enakovredna“ tisti, zagotovljeni v Evropski uniji (uvodna izjava 104 Uredbe (EU) 2016/679). Standard, po katerem se ocenjuje dejstvo, da je „v osnovi enakovredna“, je določen v zakonodaji EU, zlasti v Uredbi (EU) 2016/679 in sodni praksi Sodišča Evropske unije (3). V tem pogledu je pomemben tudi referenčni dokument Evropskega odbora za varstvo podatkov o ustreznosti (4).

(4) Kot je pojasnilo Sodišče Evropske unije, v ta namen ni treba zagotavljati identične ravni varstva (5). To pomeni zlasti, da se lahko sredstva, ki jih zadevna tretja država uporablja za varstvo osebnih podatkov, razlikujejo od tistih, ki jih uporablja Evropska unija, če se v praksi izkaže, da so učinkovita pri zagotavljanju ustrezne ravni varstva (6). Standard ustreznosti torej ne zahteva dobesednega prepisa pravil Unije. Bolj kot to preskus temelji na proučitvi, ali tuji sistem kot celota prek vsebine pravic do varstva podatkov ter njihovega učinkovitega izvajanja, nadzora in izvrševanja zagotavlja zahtevano raven varstva (7).

(5) Komisija je skrbno analizirala zakonodajo in prakso Združenega kraljestva. Na podlagi ugotovitev iz uvodnih izjav (8) do (270) Komisija ugotavlja, da Združeno kraljestvo zagotavlja ustrezno raven varstva osebnih podatkov, ki se v okviru Uredbe (EU) 2016/679 prenašajo iz Evropske unije v Združeno kraljestvo.

(6) Ta ugotovitev se ne nanaša na osebne podatke, ki se prenašajo za namene nadzora priseljevanja v Združeno kraljestvo ali ki sicer spadajo na področje uporabe izjeme glede nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, za namene vzdrževanja učinkovitega nadzora priseljevanja (v nadaljnjem besedilu: izjema glede priseljevanja) v skladu z odstavkom 4(1) dodatka 2 k zakonu Združenega kraljestva o varstvu podatkov. Veljavnost in razlaga izjeme glede priseljevanja v skladu s pravom Združenega kraljestva po odločbi sodišča England and Wales Court of Appeal z dne 26. maja 2021 nista določeni. Ob priznavanju, da se pravice posameznikov, na katere se nanašajo osebni podatki, načeloma lahko omejijo za namene nadzora priseljevanja kot „pomemben vidik javnega interesa“, je sodišče Court of Appeal odločilo, da je izjema glede priseljevanja v sedanji obliki nezdružljiva s pravom Združenega kraljestva, saj zakonodajni ukrep ne vsebuje posebnih določb, ki bi določale zaščitne ukrepe iz člena 23(2) splošne uredbe o varstvu podatkov, kakor se uporablja v Združenem kraljestvu (v nadaljnjem besedilu: UK GDPR) (8). Pod temi pogoji bi bilo treba prenose osebnih podatkov iz Unije v Združeno kraljestvo, za katere se lahko uporabi izjema glede priseljevanja, izključiti s področja uporabe tega sklepa (9). Ko bo nezdružljivost z zakonodajo Združenega kraljestva odpravljena, bi bilo treba ponovno oceniti izjemo glede priseljevanja in potrebo po ohranitvi omejitve področja uporabe te odločbe.

(7) Ta sklep ne bi smel vplivati na neposredno uporabo Uredbe (EU) 2016/679 s strani organizacij, ustanovljenih v Združenem kraljestvu, če so izpolnjeni pogoji glede ozemeljske veljavnosti iz člena 3 navedene uredbe.

2. PRAVILA, KI SE UPORABLJAJO ZA OBDELAVO OSEBNIH PODATKOV

2.1 Ustavni okvir

(8) Združeno kraljestvo je parlamentarna demokracija, katere vodja je ustavni monarh. Ima neodvisen parlament, ki je nadrejen vsem drugim vladnim institucijam, izvršilno vejo oblasti, ki izhaja iz parlamenta in je temu tudi odgovorna, ter neodvisno sodstvo. Izvršilna veja oblasti, katere pristojnosti temeljijo na zmožnosti, da uživa zaupanje izvoljenega spodnjega doma parlamenta Združenega kraljestva, je odgovorna obema domovoma parlamenta, ki sta odgovorna za pregled dela vlade ter razpravo o zakonih in njihovo sprejemanje.

(9) Parlament Združenega kraljestva je pravice za sprejemanje zakonodaje o lokalnih vprašanjih na Škotskem, v Walesu in na Severnem Irskem, ki jih ni zadržal zase, prenesel na škotski parlament, valižanski parlament (Senedd Cymru) in skupščino Severne Irske. Vprašanje varstva podatkov ni delegirano, tj. ista zakonodaja se uporablja po vsej državi, druga področja politike, ki se nanašajo na ta sklep, pa so delegirana. Urejanje sistemov kazenskega pravosodja na Škotskem in Severnem Irskem, vključno s policijskim delom, je na primer delegirano škotskemu parlamentu oziroma skupščini Severne Irske. Združeno kraljestvo nima kodificirane ustave v smislu uzakonjenega konstitutivnega dokumenta. Ustavna načela so se razvijala počasi, zlasti na podlagi sodne prakse in običajev. Sodišča so priznala ustavnopravno vrednost nekaterih listin, kot so Magna Carta, Bill of Rights iz leta 1689 in zakon o človekovih pravicah iz leta 1998 (Human Rights Act 1998). Kot del ustave so se z občim pravom, navedenimi listinami in mednarodnimi pogodbami, zlasti Evropsko konvencijo o varstvu človekovih pravic, ki jo je Združeno kraljestvo ratificiralo leta 1951, razvile temeljne pravice posameznikov. Združeno kraljestvo je leta 1987 ratificiralo tudi Konvencijo Sveta Evrope o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov (Konvencija št. 108) (10).

(10) Z zakonom o človekovih pravicah iz leta 1998 so pravice iz Evropske konvencije o varstvu človekovih pravic vključene v pravo Združenega kraljestva. Zakon o človekovih pravicah vsakemu posamezniku zagotavlja temeljne pravice in svoboščine iz členov 2 do 12 in člena 14 Evropske konvencije o varstvu človekovih pravic, iz členov 1, 2 in 3 Protokola št. 1 te konvencije ter člena 1 Protokola št. 13 te konvencije, v povezavi s členi 16, 17 in 18 navedene konvencije. To vključuje pravico do spoštovanja zasebnega in družinskega življenja (ter pravico do varstva podatkov, ki je del te pravice) in pravico do poštenega sojenja (11). Natančneje, v skladu s členom 8 navedene konvencije se lahko javna oblast vmešava v izvrševanje pravice do zasebnosti le, če je to določeno z zakonom, kadar je to nujno v demokratični družbi zaradi državne varnosti, javne varnosti ali ekonomske blaginje države, zato da se prepreči nered ali kaznivo dejanje, da se zavaruje zdravje ali morala ali da se zavarujejo pravice in svoboščine drugih ljudi.

(11) V skladu z zakonom o človekovih pravicah iz leta 1998 mora biti vsak ukrep javnih organov združljiv s pravico, ki jo zagotavlja konvencija (12). Poleg tega je treba primarno in sekundarno zakonodajo razumeti in izvajati tako, da sta združljivi s pravicami iz konvencije (13).

2.2 Okvir varstva podatkov v Združenem kraljestvu

(12) Združeno kraljestvo je 31. januarja 2020 izstopilo iz Evropske unije. Na podlagi Sporazuma o izstopu Združenega kraljestva Velika Britanija in Severna Irska iz Evropske unije in Evropske skupnosti za atomsko energijo (14) se je v Združenem kraljestvu v prehodnem obdobju do 31. decembra 2020 še naprej uporabljalo pravo Unije. Pred izstopom in v prehodnem obdobju sta zakonodajni okvir o varstvu osebnih podatkov v Združenem kraljestvu sestavljali relevantna zakonodaja EU (zlasti Uredba (EU) 2016/679 in Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta (15)) in nacionalna zakonodaja, zlasti zakon o varstvu podatkov iz leta 2018 (DPA 2018) (16), ki vsebuje nacionalna pravila, kadar to omogoča Uredba (EU) 2016/679, pri čemer opredeljuje in omejuje uporabo pravil Uredbe (EU) 2016/679 ter prenaša Direktivo (EU) 2016/680 v nacionalno zakonodajo.

(13) Za pripravo na izstop iz Evropske unije je vlada Združenega kraljestva sprejela zakon o izstopu iz Evropske unije iz leta 2018 (European Union (Withdrawal) Act 2018) (17), ki v zakonodajo Združenega kraljestva vključuje zakonodajo Unije, ki se neposredno uporablja (18). To ohranjeno pravo EU v celoti vključuje Uredbo (EU) 2016/679, vključno z uvodnimi določbami (19). V skladu z navedenim zakonom morajo sodišča v Združenem kraljestvu nespremenjeno ohranjeno pravo EU razlagati v skladu z relevantno sodno prakso Sodišča EU in splošnimi načeli prava Unije, kot ta učinkujejo tik pred iztekom prehodnega obdobja (tako imenovana ohranjena sodna praksa EU in ohranjena splošna načela prava EU) (20).

(14) Na podlagi zakona o izstopu iz Evropske unije iz leta 2018 lahko nižji ministri Združenega kraljestva sprejemajo sekundarno zakonodajo v obliki aktov z zakonsko močjo, s katerimi se spreminja ohranjeno pravo EU, kot je potrebno zaradi izstopa Združenega kraljestva iz Evropske unije. To pooblastilo je bilo izvršeno s predpisi o varstvu podatkov, zasebnosti in elektronski komunikaciji (spremembe itd., izstop iz EU) iz leta 2019 (predpisi DPPEC) (21). Predpisi DPPEC spreminjajo Uredbo (EU) 2016/679, kakor je bila vključena v pravo Združenega kraljestva na podlagi zakona o izstopu iz Evropske unije iz leta 2018, zakona o varstvu podatkov iz leta 2018 in druge zakonodaje o varstvu podatkov, da ustreza nacionalnemu okviru (22).

(15) Posledično po izteku prehodnega obdobja pravni okvir o varstvu osebnih podatkov v Združenem kraljestvu sestavljata: — UK GDPR, kakor je bila vključena v pravni red Združenega kraljestva na podlagi zakona o izstopu iz Evropske unije iz leta 2018 in spremenjena na podlagi predpisov DPPEC (23), ter — zakon o varstvu podatkov iz leta 2018, kakor je bil spremenjen s predpisi DPPEC (24).

(16) Glede na to, da UK GDPR temelji na zakonodaji EU, so pravila o varstvu podatkov v Združenem kraljestvu v številnih primerih zelo podobna ustreznim pravilom, ki se uporabljajo v Evropski uniji.

(17) Poleg pooblastil, ki jih ima pristojni minister na podlagi zakona o izstopu iz Evropske unije iz leta 2018, ima na podlagi več določb zakona o varstvu podatkov iz leta 2018 tudi pristojnost za sprejemanje sekundarne zakonodaje, s katero se spreminjajo nekatere določbe navedenega zakona ali s katero so določena dopolnilna in dodatna pravila (25). Pristojni minister je do zdaj uporabil le pooblastila na podlagi člena 137 zakona o varstvu podatkov iz leta 2018 in sprejel spremembo predpisov o varstvu podatkov, pristojbinah in informacijah iz leta 2019 (Data Protection (Charges and Information) (Amendment) Regulations 2019), ki določajo okoliščine, v katerih morajo upravljavci podatkov plačati letno pristojbino informacijskemu pooblaščencu (Information Commissioner), ki je neodvisni organ za varstvo podatkov v Združenem kraljestvu.

(18) Nazadnje, nadaljnje smernice glede zakonodaje Združenega kraljestva o varstvu podatkov vsebujejo kodeks ravnanja in druge smernice, ki jih je sprejel informacijski pooblaščenec. Čeprav navedene smernice niso uradno pravno zavezujoče, pa so pomembne za razlago in prikazujejo, kako informacijski pooblaščenec v praksi uporablja in izvršuje zakonodajo o varstvu podatkov. Natančneje, na podlagi členov 121 do 125 zakona o varstvu podatkov iz leta 2018 mora informacijski pooblaščenec pripraviti kodekse ravnanja o izmenjavi podatkov, neposrednem trženju, starosti primernem oblikovanju, varstvu podatkov in novinarstvu.

(19) Po svoji strukturi in glavnih sestavinah je pravni okvir Združenega kraljestva, ki se uporablja za podatke, ki se prenašajo na podlagi tega sklepa, torej zelo podoben tistemu, ki se uporablja v Evropski uniji. To vključuje dejstvo, da navedeni okvir ne temelji le na obveznostih iz notranjega prava, na katere je vplivalo pravo EU, temveč tudi na obveznostih, kot so določene v mednarodnem pravu, zlasti s pristopom Združenega kraljestva k EKČP in Konvenciji št. 108, ter njegovem priznavanju pristojnosti Evropskega sodišča za človekove pravice. Te obveznosti, ki izhajajo iz pravno zavezujočih mednarodnih instrumentov, ki se nanašajo zlasti na varstvo osebnih podatkov, so torej še posebno pomemben element pravnega okvira, ki se obravnava v tem sklepu.

2.3 Stvarno področje uporabe in ozemeljska veljavnost

(20) Po vzoru Uredbe (EU) 2016/679 se UK GDPR uporablja za obdelavo osebnih podatkov, ki v celoti ali delno poteka avtomatizirano, ali za druge vrste obdelav, če so osebni podatki del zbirke (26). Opredelitve pojmov „osebni podatki“, „posameznik, na katerega se nanašajo osebni podatki“ in „obdelava“ so v UK GDPR enaki kot v Uredbi (EU) 2016/679 (27). Poleg tega se UK GDPR uporablja za obdelavo neavtomatiziranih in nestrukturiranih osebnih podatkov (28), ki jih hranijo nekateri javni organi v Združenem kraljestvu (29), čeprav se načela in pravice iz UK GDPR, ki se ne nanašajo na take osebne podatke, na podlagi členov 24 in 25 zakona o varstvu podatkov iz leta 2018 ne uporabljajo. Podobno kot na podlagi Uredbe (EU) 2016/679 tudi na podlagi UK GDPR velja, da se ta ne uporablja, kadar osebne podatke obdeluje fizična oseba zgolj med izvajanjem popolnoma osebne ali domače dejavnosti (30).

(21) Področje uporabe UK GDPR vključuje tudi obdelavo v okviru dejavnosti, ki je bila tik pred iztekom prehodnega obdobja zunaj področja uporabe prava Evropske unije (npr. nacionalna varnost) (31) ali ki je spadala na področje uporabe poglavja 2 naslova 5 Pogodbe o Evropski uniji (dejavnosti skupne zunanje in varnostne politike) (32). Tako kot v sistemu Evropske unije se UK GDPR ne uporablja za obdelavo osebnih podatkov, ki jo izvaja pristojni organ z namenom preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem (tako imenovani namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj) – tako obdelavo ureja del 3 zakona o varstvu podatkov iz leta 2018, tako kot Direktiva (EU) 2016/680 v okviru prava Evropske unije – ali za obdelavo osebnih podatkov s strani obveščevalnih služb (varnostna služba (Security Service), tajna obveščevalna služba (Secret Intelligence Service) in vladna obveščevalna služba GCHQ), ki jo ureja del 4 zakona o varstvu podatkov iz leta 2018 (33).

(22) Ozemeljska veljavnost UK GDPR je navedena v členu 3 UK GDPR (34) in vključuje obdelavo osebnih podatkov (ne glede na to, kje se ta izvaja) v okviru dejavnosti ustanovitve upravljavca ali obdelovalca v Združenem kraljestvu ter obdelavo osebnih podatkov posameznikov, na katere se nanašajo osebni podatki in ki so v Združenem kraljestvu, kadar so dejavnosti obdelave povezane z nudenjem blaga ali storitev takim posameznikom ali s spremljanjem njihovega vedenja (35) To odraža pristop iz člena 3 Uredbe (EU) 2016/679.

2.4 Opredelitev pojma osebni podatki ter pojmov upravljavec in obdelovalec

(23) V UK GDPR so brez bistvenih posegov ohranjene opredelitve pojmov osebni podatki, obdelava, upravljavec, obdelovalec ter psevdonimizacija iz Uredbe (EU) 2016/679 (36). Nadalje, posebne vrste podatkov so v členu 9(1) UK GDPR opredeljene enako kot v Uredbi (EU) 2016/679 („ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo“). Člen 205 zakona o varstvu podatkov iz leta 2018 vsebuje opredelitev pojma „biometričnih podatkov“ (37), „podatkov o zdravstvenem stanju“ (38) in „genetskih podatkov“ (39).

2.5 Zaščitni ukrepi, pravice in obveznosti

2.5.1 Zakonitost in poštenost obdelave

(24) Osebni podatki se morajo obdelovati zakonito in pošteno.

(25) Načela zakonitosti, poštenosti in preglednosti ter razlogi, na podlagi katerih je obdelava zakonita, so v zakonodaji Združenega kraljestva zagotovljeni na podlagi člena 5(1)(a) in člena 6(1) UK GDPR, ki sta enaka zadevnima določbama iz Uredbe (EU) 2016/679 (40). Člen 8 zakona o varstvu podatkov iz leta 2018 dopolnjuje člen 6(1)(e), saj določa, da obdelava osebnih podatkov na podlagi člena 6(1)(e) UK GDPR (ki je potrebna za izvajanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu) vključuje obdelavo osebnih podatkov, ki je potrebna za izvajanje sodne oblasti, izvrševanje nalog spodnjega ali zgornjega doma parlamenta, izvrševanje nalog, za katere je oseba pooblaščena na podlagi pravnega akta ali pravnega pravila, izvrševanje nalog države, nižjega ministra ali vladne službe, ali za izvajanje dejavnosti, ki podpira ali spodbuja demokratično udeležbo.

(26) V zvezi s privolitvijo (enem od razlogov, na podlagi katerih je obdelava zakonita) UK GDPR prav tako ohranja pogoje iz člena 7 Uredbe (EU) 2016/679 nespremenjene, tj. upravljavec mora biti zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil, predložena mora biti pisna zahteva za privolitev v jasnem in preprostem jeziku, posameznik, na katerega se nanašajo osebni podatki, mora imeti pravico, da kadar koli prekliče privolitev, pri ugotavljanju, ali je bila privolitev dana prostovoljno, pa je treba upoštevati, ali je izvajanje pogodbe pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe. Poleg tega je v skladu s členom 8 UK GDPR v zvezi z zagotavljanjem storitev informacijske družbe privolitev otroka zakonita le, če je otrok star vsaj 13 let. To spada v starostno mejo iz člena 8 Uredbe (EU) 2016/679.

2.5.2 Obdelava posebnih vrst osebnih podatkov

(27) Glede obdelave posebnih vrst podatkov bi morali veljati posebni zaščitni ukrepi.

(28) UK GDPR in zakon o varstvu podatkov iz leta 2018 vsebujeta posebna pravila glede obdelave posebnih vrst osebnih podatkov, ki so v členu 9(1) UK GDPR opredeljeni enako kot v Uredbi (EU) 2016/679 (glej uvodno izjavo (23) above). V skladu s členom 9 UK GDPR je obdelava posebnih vrst podatkov načeloma prepovedana, razen če se uporablja posebna izjema.

(29) Te izjeme (navedene v členu 9(2) in (3) UK GDPR) nikakor ne spreminjajo vsebine člena 9(2) in (3) Uredbe (EU) 2016/679. Razen če je posameznik, na katerega se nanašajo osebni podatki, izrecno privolil v obdelavo navedenih osebnih podatkov, je obdelava posebnih vrst osebnih podatkov dovoljena le v specifičnih in omejenih okoliščinah. V večini primerov mora biti obdelava občutljivih podatkov potrebna zaradi posebnega namena, opredeljenega v zadevni določbi (glej člen 9(2)(b), (c), (f), (g), (h), (i) in (j)).

(30) Poleg tega velja, da kadar izjema na podlagi člena 9(2) UK GDPR zahteva pooblastilo na podlagi zakona ali se nanaša na javni interes, člen 10 zakona o varstvu podatkov iz leta 2018 v povezavi z dodatkom 1 k navedenemu zakonu nadalje določa pogoje, ki morajo biti izpolnjeni za uporabo izjeme. Na primer pri obdelavi občutljivih podatkov za namen varstva javnega zdravja (glej člen 9(2)(i) UK GDPR) točka 3(b) dela 1 dodatka 1 zahteva, da je poleg pogoja preskusa potrebnosti izpolnjen tudi pogoj, da tako obdelavo izvaja „zdravstveni delavec ali da se izvaja v okviru njegove pristojnosti“ ali da jo izvaja „druga oseba, ki je dolžna varovati zaupnost na podlagi pravnega akta ali pravnega pravila“, tudi na podlagi uveljavljene obveznosti varovanja zaupnosti na podlagi občega prava.

(31) Kadar se občutljivi podatki obdelujejo zaradi bistvenega javnega interesa (člen 9(2)(g) UK GDPR), del 2 dodatka 1 k zakonu o varstvu podatkov iz leta 2018 določa izčrpen seznam namenov, ki se lahko štejejo za bistven javni interes, ter za vsakega od navedenih namenov določa posebne dodatne pogoje. Na primer spodbujanje rasne in etnične raznolikosti v višjih ravneh organizacij se šteje za bistven javni interes. Glede obdelave občutljivih podatkov za ta specifični namen veljajo podrobne zahteve, vključno z zahtevo, da se obdelava izvaja kot del postopka identifikacije primernih posameznikov za najvišja mesta, če je treba spodbujati rasno in etnično raznolikost in če ni verjetno, da bi to posamezniku, na katerega se nanašajo osebni podatki, povzročilo znatno škodo ali stisko.

(32) Člen 11(1) zakona o varstvu podatkov iz leta 2018 določa pogoje, na podlagi katerih je mogoče obdelovati osebne podatke v okoliščinah, opisanih v členu 9(3) UK GDPR), ki se nanašajo na ohranjanje tajnosti. To vključuje okoliščine, v katerih obdelavo izvaja zdravstveni ali socialni delavec ali druga oseba, ki mora v zadevnih okoliščinah varovati zaupnost na podlagi pravnega akta ali pravnega pravila, ali kadar se obdelava izvaja v okviru pristojnosti take osebe.

(33) Poleg tega številne izjeme, navedene v členu 9(2) UK GDPR za uporabo zahtevajo ustrezne in specifične zaščitne ukrepe. Odvisno od vrste obdelave in stopnje tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, so s pogoji za obdelavo iz dodatka 1 k zakonu o varstvu podatkov iz leta 2018 vzpostavljeni različni zaščitni ukrepi. Dodatek 1 določa pogoje za vsak primer okoliščin obdelave posamezno.

(34) V nekaterih primerih zakon o varstvu podatkov iz leta 2018 ureja in omejuje vrsto občutljivih podatkov, ki jih je mogoče obdelovati, da se zagotovi skladnost s specifično pravno podlago. Na primer točka 8 dodatka 1 dovoljuje obdelavo občutljivih podatkov za namene spodbujanja enakih možnosti ali enake obravnave. Ta pogoj za obdelavo je mogoče uporabiti le, če podatki razkrivajo raso ali narodnost, versko ali filozofsko prepričanje, spolno usmerjenost ali če gre za podatke o zdravstvenem stanju.

(35) V nekaterih primerih zakon o varstvu podatkov iz leta 2018 omejuje vrsto upravljavca, ki lahko uporablja izjemo glede obdelave. Na primer točka 23 dodatka 1 določa obdelavo občutljivih podatkov v zvezi z odzivi izvoljenih predstavnikov javnosti. Ta izjema glede obdelave se lahko uporabi le, če je upravljavec izvoljeni predstavnik ali druga oseba, ki deluje na podlagi njegovih pristojnosti.

(36) V nekaterih drugih primerih zakon o varstvu podatkov iz leta 2018 glede pogoja obdelave, ki se uporabi, določa omejitve glede kategorij posameznikov, na katere se nanašajo osebni podatki. Na primer točka 21 dodatka 1 ureja obdelavo občutljivih podatkov za namene shem poklicnih pokojnin. Ta pogoj je mogoče uporabiti le, če je zadevni posameznik, na katerega se nanašajo osebni podatki, sorojenec, starš, stari starš ali starš starega starša člana sheme.

(37) Poleg tega velja, da kadar se uporabi izjema iz člena 9(2) UK GDPR, ki je nadalje opredeljena v členu 10 zakona o varstvu podatkov iz leta 2018, v povezavi z dodatkom 1 k navedenemu zakonu, mora upravljavec v večini primerov sestaviti dokument o ustrezni politiki (Appropriate Policy Document). V njem morajo biti orisani postopki upravljavca za zagotavljanje skladnosti z načeli iz člena 5 UK GDPR. Vsebovati mora tudi politike za hrambo in izbris ter navedbo verjetnega obdobja hrambe. Upravljavci morajo navedeni dokument po potrebi pregledati in posodobiti. Upravljavec mora dokument o politiki hraniti še šest mesecev po koncu obdelave in ga predložiti na zahtevo informacijskega pooblaščenca (41).

(38) V skladu s točko 41 dodatka 1 k zakonu o varstvu podatkov iz leta 2018 mora biti dokumentu o politiki vedno priložena posodobljena evidenca obdelave. Ta evidenca mora vsebovati zaveze iz dokumenta o politiki, tj. ali se podatki brišejo oziroma hranijo v skladu s politikami. Če se politike ne upoštevajo, mora biti v dnevniku naveden razlog za to. V evidencah mora biti tudi opisano, kako se zagotavlja skladnost obdelave s členom 6 UK GDPR (zakonitost obdelave) in z zadevnimi posebnimi pogoji iz dodatka 1 k zakona o varstvu podatkov iz leta 2018.

(39) Nazadnje, tako kot Uredba (EU) 2016/679 tudi UK GDPR določa splošne zaščitne ukrepe za nekatera dejanja obdelave posebnih vrst podatkov. Člen 35 UK GDPR določa, da mora biti izvedena ocena učinka v zvezi z varstvom podatkov, kadar se v velikem obsegu obdelujejo posebne vrste podatkov. V skladu s členom 37 UK GDPR mora upravljavec ali obdelovalec imenovati pooblaščeno osebo za varstvo podatkov, kadar njegova temeljna dejavnost vključuje obsežno obdelavo posebnih vrst podatkov.

(40) Glede osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški je člen 10 UK GDPR enak členu 10 Uredbe (EU) 2016/679. Ta omogoča obdelavo osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški le pod nadzorom uradnega organa ali če obdelavo dovoljuje notranje pravo, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki.

(41) Kadar se obdelava podatkov v zvezi s kazenskimi obsodbami in prekrški ne izvaja pod nadzorom uradnega organa, člen 10(5) zakona o varstvu podatkov iz leta 2018 določa, da je taka obdelava mogoča le za posebne namene oziroma v posebnih okoliščinah, navedenih v delih 1, 2 in 3 dodatka 1 k zakonu o varstvu podatkov iz leta 2018, zanjo pa veljajo posebne zahteve, ki so določene za vsakega od navedenih namenov oziroma okoliščin. Podatke o kazenskih obsodbah lahko na primer obdelujejo nepridobitni organi, če (a) obdelavo pri svojih zakonitih dejavnostih z ustreznimi zaščitnimi ukrepi izvaja ustanova, združenje ali drug nepridobitni organ s političnim, filozofskim, verskim ali sindikalnim ciljem in (b) pod pogojem, da (i) se obdelava nanaša samo na člane oziroma nekdanje člane organa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, in (ii) da se podatki ne posredujejo tretji osebi brez privolitve posameznikov, na katere se nanašajo.

(42) Nadalje, del 3 dodatka 1 k zakonu o varstvu podatkov iz leta 2018 določa nadaljnje okoliščine, v katerih je mogoče uporabiti podatke o kazenskih obsodbah in ki ustrezajo pravnim razlogom za obdelavo občutljivih podatkov iz člena 9(2) Uredbe (EU) 2016/679 in UK GDPR (npr. privolitev posameznika, na katerega se nanašajo osebni podatki; življenjski interesi takega posameznika, če ta pravno ali fizično ne more izraziti privolitve; če je posameznik, na katerega se nanašajo osebni podatki, te že očitno sam objavil; če je obdelava potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov itd.).

2.5.3 Omejitev namena, točnost, najmanjši obseg podatkov, omejitev hrambe in varstvo podatkov

(43) Osebni podatki bi se morali obdelovati za določen namen in se nato uporabljati samo, če to ni nezdružljivo z namenom obdelave.

(44) To načelo je določeno v členu 5(1)(b) Uredbe (EU) 2016/679 in je nespremenjeno ohranjeno v členu 5(1)(b) UK GDPR. Pogoji nadaljnje združljive obdelave na podlagi člena 6(4) Uredbe (EU) 2016/679 so bili prav tako brez bistvenih sprememb ohranjeni v členu 6(4)(a) do (e) UK GDPR.

(45) Še več, podatki morajo biti točni in po potrebi posodobljeni. Prav tako morajo biti osebni podatki ustrezni in relevantni ter ne smejo presegati namenov, za katere se obdelujejo; načeloma se jih ne sme hraniti dlje, kot je potrebno za namene, za katere se obdelujejo.

(46) Ta načela najmanjšega obsega podatkov, točnosti in omejitve hrambe so opredeljena v členu 5(1)(c) do (e) Uredbe (EU) 2016/679 ter so brez sprememb ohranjena v členu 5(1)(c) do (e) UK GDPR.

(47) Osebni podatki se morajo tudi obdelovati tako, da se zagotavlja njihovo varstvo, vključno z zaščito pred nepooblaščeno ali nezakonito obdelavo in pred nenamerno izgubo, uničenjem ali poškodovanjem. Zato morajo poslovni subjekti sprejeti ustrezne tehnične ali organizacijske ukrepe za varstvo osebnih podatkov pred morebitnimi grožnjami. Navedene ukrepe je treba presojati glede na najsodobnejšo tehnologijo in zadevne stroške.

(48) Varstvo podatkov je v pravu Združenega kraljestva zagotovljeno na podlagi načela celovitosti in zaupnosti iz člena 5(1)(f) UK GDPR ter v členu 32 UK GDPR o varnosti obdelave. Navedene določbe so enake relevantnim določbam v Uredbi (EU) 2016/679. Poleg tega UK GDPR pod enakimi pogoji, kot so določeni v členih 33 in 34 Uredbe (EU) 2016/679, zahteva obveščanje nadzornega organa o kršitvi varstva osebnih podatkov (člen 33 UK GDPR) in sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varstva osebnih podatkov (člen 34 UK GDPR).

2.5.4 Preglednost

(49) Posamezniki, na katere se nanašajo osebni podatki, morajo biti obveščeni o glavnih značilnostih obdelave svojih osebnih podatkov.

(50) To zagotavljata člena 13 in 14 UK GDPR, ki poleg splošnega načela preglednosti določata pravila o informacijah, ki se morajo zagotoviti posamezniku, na katerega se nanašajo osebni podatki (42). UK GDPR ne uvaja nobenih bistvenih sprememb teh pravil v primerjavi z ustreznimi členi Uredbe (EU) 2016/679. Vendar pa za zahteve glede preglednosti v navedenih členih tako kot na podlagi Uredbe (EU) 2016/679 velja več izjem, ki so določene v zakona o varstvu podatkov iz leta 2018 (glej uvodne izjave (55) do (72)).

2.5.5 Pravice posameznikov

(51) Posamezniki, na katere se nanašajo osebni podatki, bi morali imeti določene pravice, ki jih lahko uresničujejo zoper upravljavca ali obdelovalca, zlasti pravico do dostopa do podatkov, pravico ugovarjati obdelavi in pravico do popravka in izbrisa podatkov. Hkrati so te pravice lahko omejene, če so take omejitve potrebne in sorazmerne za zaščito javne varnosti ali za doseganje drugih pomembnih ciljev splošnega javnega interesa.

2.5.5.1 Materialne pravice

(52) UK GDPR posameznikom priznava enake izvršljive pravice kot Uredba (EU) 2016/679. Določbe o pravicah posameznikov so v UK GDPR ohranjene brez bistvenih sprememb.

(53) Navedene pravice vključujejo pravico posameznika, na katerega se nanašajo osebni podatki, do dostopa do takih podatkov (člen 15 UK GDPR), pravico do popravka (člen 16 UK GDPR), pravico do izbrisa (člen 17 UK GDPR), pravico do omejitve obdelave (člen 18 UK GDPR), obveznost obveščanja o popravku ali izbrisu osebnih podatkov ali o omejitvi obdelave (člen 19 UK GDPR), pravico do prenosljivosti podatkov (člen 20 UK GDPR) ter pravico do ugovora (člen 21 UK GDPR) (43). Slednja vključuje tudi pravico posameznika, na katerega se nanašajo osebni podatki, ugovarjati obdelavi osebnih podatkov za namene neposrednega trženja, kot je določeno v členu 21(2) in (3) Uredbe (EU) 2016/679. Nadalje, na podlagi člena 122 zakona o varstvu podatkov iz leta 2018 mora informacijski pooblaščenec pripraviti kodeks ravnanja v zvezi z izvajanjem neposrednega trženja v skladu z zahtevami zakonodaje o varstvu podatkov (ter predpisov o zasebnosti in elektronskih komunikacijah iz leta 2003 (direktiva ES) (Privacy and Electronic Communications (EC Directive) Regulations 2003)) ter druge smernice za spodbujanje dobrih praks pri neposrednem trženju, za katere informacijski pooblaščenec meni, da so ustrezne. Urad informacijskega pooblaščenca trenutno pripravlja kodeks neposrednega trženja (44).

(54) V UK GDPR je bila brez vsebinskih sprememb ohranjena tudi pravica posameznika, na katerega se nanašajo osebni podatki, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva, kakor je določeno v členu 22 splošne uredbe o varstvu podatkov. Dodan pa je bil nov odstavek 3A s sklicem na člen 14 zakona o varstvu podatkov iz leta 2018, ki določa zaščitne ukrepe glede pravic, svoboščin in zakonitih interesov posameznikov, na katere se nanašajo osebni podatki, kadar se obdelava izvaja na podlagi člena 22(2)(b) UK GDPR. To se uporablja le, kadar je temelj za tako odločitev pooblastilo ali zahteva na podlagi prava Združenega kraljestva, ne uporablja pa se, kadar je odločitev potrebna na podlagi pogodbe ali sprejeta na podlagi izrecne privolitve posameznika, na katerega se nanašajo osebni podatki. Kadar se uporablja člen 14 zakona o varstvu podatkov iz leta 2018, mora upravljavec posameznika, na katerega se nanašajo osebni podatki, v najkrajšem možnem času pisno obvestiti, da je bila odločitev sprejeta le na podlagi avtomatizirane obdelave. Posameznik, na katerega se nanašajo osebni podatki, ima pravico zahtevati, da upravljavec v enem mesecu od prejema obvestila odločitev ponovno prouči, ali pa sprejme novo odločitev, ki ne temelji zgolj na podlagi avtomatizirane obdelave. Pristojni minister lahko sprejema nadaljnje zaščitne ukrepe glede avtomatiziranega odločanja. Ta pristojnost še ni bila izkoriščena.

2.5.5.2 Omejitve pravic posameznikov in druge določbe

(55) Zakon o varstvu podatkov iz leta 2018 določa več omejitev pravic posameznikov, ki ustrezajo okviru člena 23 UK GDPR. Okvir ne vsebuje omejitev pravice do ugovora neposrednemu trženju, kot je določena v členu 21(2) in (3) UK GDPR, ali pravice, da za posameznika ne velja odločitev, ki bi temeljila zgolj na avtomatizirani obdelavi, kakor je določena v členu 22 UK GDPR.

(56) Omejitve so navedene v dodatkih 2 do 4 k zakonu o varstvu podatkov iz leta 2018. Organi Združenega kraljestva so pojasnili, da morajo upoštevati dve načeli: načelo specifičnosti (vprašanja je treba obravnavati podrobno in razdeliti široke omejitve v več bolj specifičnih določb) ter načelo pogojenosti (vsako določbo spremljajo zaščitni ukrepi v obliki omejitev ali pogojev, da se preprečijo zlorabe) (45).

(57) Namen omejitev iz člena 23(1) UK GDPR je zagotoviti, da se uporabljajo le v specifičnih okoliščinah, kadar je to v demokratični družbi potrebno in kadar je sorazmerno glede na zakoniti cilj omejitve. Poleg tega v skladu z uveljavljeno sodno prakso o razlagi omejitev velja, da se lahko izjema od ureditve varstva podatkov v posameznem primeru uporabi le, če je to potrebno in sorazmerno (46). Preskus, ali je izjema potrebna, mora biti „strog, saj mora biti vsak poseg v pravice posameznika sorazmeren resnosti grožnje javnemu interesu. To torej zahteva klasično analizo sorazmernosti (47).“

(58) Cilj teh omejitev ustreza omejitvam v členu 23 Uredbe (EU) 2016/679, razen glede omejitev v zvezi z nacionalno varnostjo in obrambo, ki so urejene v členu 26 zakona o varstvu podatkov iz leta 2018, vendar zanje veljajo enake zahteve glede potrebnosti in sorazmernosti (glej uvodne izjave (63) do (66)).

(59) Nekatere od omejitev, na primer tiste, ki se nanašajo na preprečevanje ali odkrivanje kaznivih dejanj, prijetje ali pregon storilcev ter izračun ali zbiranje davkov ali dajatev (48), dovoljujejo omejitve vseh pravic posameznikov in obveznosti glede preglednosti (razen pravic na podlagi člena 21(2) in člena 22). Obseg drugih omejitev je omejen na obveznosti glede preglednosti in pravic do dostopa, na primer omejitev, ki se nanašajo na varovanje zaupnosti sporazumevanja med odvetnikom in stranko (49), na pravico, da posamezniku ni treba izpovedati zoper sebe (50), in na financiranje podjetja, predvsem trgovanje na podlagi notranjih informacij (51). Nekaj omejitev omogoča omejevanje obveznosti upravljavca glede obveščanja posameznika, na katerega se nanašajo osebni podatki, o kršitvi varstva podatkov ter načel omejevanja namena, zakonitosti, poštenosti in preglednosti obdelave (52).

(60) Nekatere omejitve se samodejno v celoti uporabljajo za nekatere vrste obdelave osebnih podatkov (uporaba obveznosti v zvezi s preglednostjo in pravic posameznikov je na primer izključena, kadar se osebni podatki obdelujejo za namene presoje primernosti posameznika za sodno funkcijo ali kadar osebne podatke obdeluje sodišče ali posameznik, ki izvršuje sodno pristojnost).

(61) Vendar pa v večini primerov zadevna točka v dodatku 2 k zakonu o varstvu podatkov iz leta 2018 določa, da se omejitve uporabljajo le, kadar in kolikor bi uporaba določb „verjetno posegala“ v zakoniti cilj zadevne omejitve: navedene določbe UK GDPR se na primer ne uporabljajo za osebne podatke, ki se obdelujejo zaradi preprečevanja ali odkrivanja kaznivih dejanj, prijetja ali pregona storilcev ali zaradi izračuna oziroma zbiranja davkov oziroma dajatev, „če bi uporaba navedenih določb verjetno posegala“ v katero koli od navedenih zadev (53).

(62) Standard, „da bi verjetno posegalo“ so sodišča Združenega kraljestva razlagala tako, da obstaja „znatna in pomembna verjetnost poseganja v opredeljene javne interese“ (54). Na omejitev, za katero je treba izvesti preskus glede poseganja, se je torej mogoče sklicevati le, če je zelo verjetno, da bi podelitev določene pravice škodovala zadevnemu javnemu interesu. Upravljavec mora za vsak primer posebej oceniti, ali so ti pogoji izpolnjeni (55).

(63) Poleg omejitev iz dodatka 2 k zakonu o varstvu podatkov iz leta 2018 člen 26 navedenega zakona določa izjemo, ki jo je mogoče uporabiti pri nekaterih določbah UK GDPR in zakona o varstvu podatkov iz leta 2018, če je taka izjema potrebna za zagotavljanje nacionalne varnosti ali v obrambne namene. Ta izjema se nanaša na načela o varstvu podatkov (razen na načelo zakonitosti), na obveznost preglednosti, pravice posameznikov, na katere se nanašajo osebni podatki, obveznost obveščanja o kršitvi varstva podatkov, pravila o mednarodnih prenosih, nekatere obveznosti in pristojnosti informacijskega pooblaščenca ter na pravila o pravnih sredstvih, odgovornosti in sankcijah, razen glede določbe o splošnih pogojih za uvedbo upravnih glob iz člena 83 UK GDPR in določbe o sankcijah iz člena 84 UK GDPR. Nadalje, člen 28 zakona o varstvu podatkov iz leta 2018 spreminja uporabo člena 9(1), da se omogoči obdelava posebnih vrst podatkov iz člena 9(1) UK GDPR, če se obdelava izvaja za zagotavljanje nacionalne varnosti ali v obrambne namene ter ob upoštevanju ustreznih zaščitnih ukrepov za varstvo pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki (56).

(64) Izjema se lahko uporabi le, kolikor je potrebno za zagotavljanje nacionalne varnosti ali obrambe. Tako kot velja tudi pri drugih izjemah na podlagi zakona o varstvu podatkov iz leta 2018, mora upravljavec to izjemo proučiti in uporabiti za vsak primer posebej. Nadalje, vsaka uporaba izjeme mora biti v skladu s standardi, ki veljajo za človekove pravice (na podlagi zakona o človekovih pravicah iz leta 1998), v skladu s katerimi mora biti v demokratični družbi vsak poseg v pravice do zasebnosti potreben in sorazmeren (57).

(65) To razlago izvzetja potrjuje urad informacijskega pooblaščenca, ki je izdal podrobne smernice o uporabi izjeme glede nacionalne varnosti in obrambe, pri čemer je jasno, da jo mora upravljavec obravnavati in uporabiti za vsak primer posebej (58). V smernicah je poudarjeno, da ne gre za splošno izjemo in da se nanjo ni mogoče sklicevati samo zato, ker se podatki obdelujejo za namene nacionalne varnosti. Upravljavec mora pri sklicevanju nanjo dokazati, da obstaja resnična možnost negativnega učinka za nacionalno varnost, in od njega se po po potrebi pričakuje, da bo [uradu informacijskega pooblaščenca] predložil dokaze o tem, zakaj jo je uporabil. Smernice vsebujejo kontrolni seznam in vrsto primerov za nadaljnjo pojasnitev pogojev, pod katerimi se to izvzetje lahko uveljavlja.

(66) Zgolj dejstvo, da se podatki obdelujejo za namene nacionalne varnosti ali obrambe, torej samo po sebi ne zadošča za uporabo izjeme. Upravljavec mora proučiti dejanske posledice za nacionalno varnost, če bi moral upoštevati posamezno določbo o varstvu podatkov. Izjema se lahko uporabi le pri posebnih določbah, za katere je bilo ugotovljeno, da pomenijo tveganje, in jo je treba uporabiti kolikor je mogoče omejujoče (59).

(67) Ta pristop je potrdilo tudi sodišče Information Tribunal (60). V zadevi Baker v Secretary of State for the Home Department (v nadaljnjem besedilu: Baker proti Secretary of State) je ugotovilo, da je nezakonito uporabiti izjemo zaradi nacionalne varnosti kar na splošno glede vseh zahtev za dostop do podatkov, ki jih prejmejo obveščevalne službe. Namesto tega je treba izjemo uporabiti v vsakem primeru posebej in vsako zahtevo vsebinsko proučiti, tudi z vidika pravice posameznikov do spoštovanja njihovega zasebnega življenja (61).

2.5.6 Omejitve glede osebnih podatkov, ki se obdelujejo za novinarske, umetniške, akademske in književne namene ter za namene arhiviranja in raziskav

(68) Člen 85(2) UK GDPR omogoča, da se obdelava osebnih podatkov za novinarske umetniške , akademske,in književne namene izvzame iz uporabe več določb UK GDPR. Del 5 dodatka 2 k zakonu o varstvu podatkov iz leta 2018 določa izjeme glede obdelave za navedene namene. Določa izjeme od načel o varstvu podatkov (razen od načela celovitosti in zaupnosti), pravno podlago za obdelavo (vključno s posebnimi vrstami podatkov in podatki v zvezi s kazenskimi obsodbami ipd.), pogoje privolitve, obveznosti glede preglednosti, pravice posameznikov, na katere se nanašajo osebni podatki, obveznost obveščanja o kršitvi varstva podatkov, zahtevo glede posvetovanja z informacijskim pooblaščencem pred izvedbo visoko tvegane obdelave podatkov in pravila o mednarodnih prenosih (62). V tem smislu se UK GDPR vsebinsko ne razlikuje od Uredbe (EU) 2016/679, ki v členu 85 prav tako omogoča izjemo glede obdelave v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja od zahtev Uredbe (EU) 2016/679. Določbe zakona o varstvu podatkov iz leta 2018, predvsem del 5 dodatka 2, so skladne z UK GDPR.

(69) Ključna presoja, ki jo je treba izvesti na podlagi člena 85 UK GDPR, se nanaša na vprašanje, ali je izjema od pravil o varstvu podatkov iz uvodne izjave (68) „potrebna za uravnoteženje pravice do varstva osebnih podatkov s svobodo izražanja in obveščanja“ (63). Na podlagi točke 26(2) in (3) dodatka 2 k zakonu o varstvu podatkov iz leta 2018 Združeno kraljestvo pri taki presoji uporablja preskus „razumne domneve“. Izjema je upravičena, če upravljavec razumno domneva (i) da je objava v javnem interesu, in (ii) da uporaba zadevnih določb UK GDPR ne bi bila skladna z obdelavo za novinarske, akademske, umetniške in književne namene. V skladu s sodno prakso (64) ima preskus „razumne domneve“ subjektivno in objektivno komponento: ne zadošča, če upravljavec dokaže, da je sam osebno domneval, da upoštevanje ne bi bilo skladno. Njegova domneva mora biti utemeljena, tj. enako mora domnevati vsaka razumna oseba, ki pozna zadevna dejstva. Upravljavec mora torej pri odločanju ravnati s potrebno skrbnostjo, da lahko dokaže razumnost. Iz pojasnil organov Združenega kraljestva izhaja, da je treba preskus „razumne domneve“ izvesti pri uporabi vsake izjeme posebej (65). Če so pogoji izpolnjeni, se šteje, da je izjema potrebna in sorazmerna na podlagi prava Združenega kraljestva.

(70) Na podlagi člena 124 zakona o varstvu podatkov iz leta 2018 mora urad informacijskega pooblaščenca pripraviti kodeks ravnanja glede varstva podatkov na področju novinarstva. Navedeni kodeks je v pripravi. Izdane so bile smernice o vprašanjih v zvezi z zakonom o varstvu podatkov iz leta 1998, v katerih je poudarjeno predvsem, da za uporabo navedene izjeme ne zadošča zgolj navesti, da bi zagotavljanje skladnosti povzročalo nevšečnosti pri izvajanju novinarskih dejavnosti, ampak mora obstajati jasen argument, da zadevna določba pomeni oviro odgovornemu novinarstvu (66). Smernice glede uporabe preskusa javnega interesa in glede tehtanja javnega interesa z interesom posameznika do zasebnosti sta objavila tudi britanski regulator telekomunikacij OFCOM in BBC v okviru svojih uredniških smernic (67). Smernice vsebujejo predvsem primere informacij, za katere se lahko šteje, da so v javnem interesu, ter pojasnjujejo, da je treba dokazati, da v okviru posebnih okoliščin primera javni interes prevlada nas pravicami do zasebnosti.

(71) Podobno kot na podlagi člena 89 UK GDPR je mogoče iz uporabe več določb UK GDPR izvzeti tudi osebne podatke, ki se obdelujejo za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene (68). V zvezi z raziskovalnimi in statističnimi nameni so izjeme mogoče glede določb UK GDPR, ki se nanašajo na potrditev obdelave, dostop do podatkov in zaščitne ukrepe za prenos v tretje države, pravico do popravka, omejitev obdelave in ugovor obdelavi. Glede arhiviranja v javnem interesu so izjeme mogoče tudi glede obveznosti obveščanja o popravku ali izbrisu osebnih podatkov ali glede omejitve obdelave, pa tudi glede pravice do prenosljivosti podatkov.

(72) V skladu s točkama 27(1) in 28(1) dodatka 2 k zakonu o varstvu podatkov iz leta 2018 so izjeme od določb, navedenih v UK GDPR, mogoče, kadar bi uporaba določbe „onemogočila ali resno ovirala doseganje“ zadevnih namenov (69).

(73) Glede na njihov pomen za učinkovito uveljavljanje pravic posameznikov se bodo v okviru stalnega spremljanja tega sklepa ustrezno upoštevale vse pomembne spremembe v zvezi z razlago in uporabo navedenih izjem v praksi (poleg tistih, ki se nanašajo na ohranjanje učinkovitega nadzora priseljevanja, kot je pojasnjeno v uvodni izjavi (6)), vključno z nadaljnjim razvojem sodne prakse ter smernic in izvršilnih ukrepov urada informacijskega pooblaščenca (70).

2.5.7 Omejitve nadaljnjih prenosov podatkov

(74) Raven varstva, ki se zagotavlja osebnim podatkom, prenesenim iz Evropske unije upravljavcem ali obdelovalcem v Združenem kraljestvu, se ne sme poslabšati z nadaljnjim prenosom takih podatkov prejemnikom v tretji državi. Taki „nadaljnji prenosi“ podatkov, ki z vidika upravljavca ali obdelovalca iz Združenega kraljestva pomenijo mednarodni prenos iz Združenega kraljestva, bi morali biti dovoljeni le, kadar tudi za nadaljnjega prejemnika zunaj Združenega kraljestva veljajo pravila, ki zagotavljajo podobno raven varstva, kot je zagotovljena v okviru pravnega reda Združenega kraljestva. Zato je uporaba pravil iz UK GDPR in iz zakona o varstvu podatkov iz leta 2018 o mednarodnih prenosih osebnih podatkov pomemben dejavnik za zagotavljanje nadaljnjega varstva v primeru, ko se na podlagi tega sklepa prenašajo osebni podatki iz Evropske unije v Združeno kraljestvo.

(75) Ureditev mednarodnega prenosa osebnih podatkov iz Združenega kraljestva je določena v členih 44 do 49 UK GDPR, kakor je bila dopolnjena z zakonom o varstvu podatkov iz leta 2018, in odraža ureditev iz poglavja V Uredbe (EU) 2016/679 (71). Osebni podatki se lahko prenašajo v tretjo državo ali mednarodno organizacijo le na podlagi predpisov o ustreznosti (instrument, ki je v Združenem kraljestvu enak sklepu o ustreznosti na podlagi Uredbe (EU) 2016/679), če takih predpisov o ustreznosti ni, pa kadar upravljavec ali obdelovalec zagotovi ustrezne zaščitne ukrepe, v skladu s členom 46 UK GDPR. Če ne obstajajo niti predpisi o ustreznosti, niti ustrezni zaščitni ukrepi, se lahko podatki prenašajo le na podlagi odstopanj iz člena 49 UK GDPR.

(76) Predpisi o ustreznosti, ki jih izda pristojni minister, lahko določajo, da tretja država (ali ozemlje oziroma področje znotraj tretje države), mednarodna organizacija ali opis (72) take države, ozemlja, področja ali organizacije zagotavlja ustrezno raven varstva osebnih podatkov. Pri presoji ustreznosti ravni varstva mora pristojni minister upoštevati iste elemente, kot jih mora proučiti Komisija na podlagi člena 45(2)(a) do (c) Uredbe (EU) 2016/679, v povezavi z uvodno izjavo 104 navedene uredbe, ter ohranjene sodne prakse EU. To pomeni, da je pri presoji ustrezne ravni varstva v tretji državi zadevni standard, ali zadevna tretja država zagotavlja raven varstva, ki je „v osnovi enakovredna“ tisti, ki se zagotavlja v Združenem kraljestvu.

(77) Glede postopka se za predpise o ustreznosti uporabljajo „splošne“ procesne zahteve iz člena 182 zakona o varstvu podatkov iz leta 2018. V skladu s tem postopkom se mora pristojni minister pred sprejetjem predpisov Združenega kraljestva o ustreznosti posvetovati z informacijskim pooblaščencem (73). Ko pristojni minister sprejme navedene predpise, se jih predloži parlamentu, ki jih obravnava v postopku tako imenovane negativne potrditve, v katerem lahko oba domova parlamenta proučita predpise in jih v 40 dneh razveljavita (74).

(78) V skladu s členom 17B(1) zakona o varstvu podatkov iz leta 2018 je treba predpise o ustreznosti preverjati na največ štiri leta, pristojni minister pa mora redno spremljati dogajanje v tretjih državah in mednarodnih organizacijah, ki bi lahko vplivalo na odločitve o sprejemanju predpisov o ustreznosti, njihovem spreminjanju ali odpravi. Če pristojni minister izve, da določena država ali organizacija ne zagotavlja več ustrezne ravni varstva osebnih podatkov, mora po potrebi spremeniti ali odpraviti navedene predpise ter se z zadevno tretjo državo ali mednarodno organizacijo posvetovati o izboljšanju ravni varstva. Ti procesni vidiki odražajo ustrezne zahteve iz Uredbe (EU) 2016/679.

(79) Če predpisi o ustreznosti niso sprejeti, se lahko mednarodni prenosi podatkov izvajajo, če upravljavec ali obdelovalec zagotovi ustrezne zaščitne ukrepe v skladu s členom 46 UK GDPR. Ti zaščitni ukrepi so podobni tistim iz člena 46 Uredbe (EU) 2016/679. Vključujejo pravno zavezujoče in izvršljive instrumente med javnimi organi ali telesi, zavezujoča poslovna pravila (75), standardne klavzule o varstvu podatkov, odobrene kodekse ravnanja, odobrene mehanizme certificiranja ter ob odobritvi informacijskega pooblaščenca pogodbene klavzule med upravljavci (ali obdelovalci) oziroma upravne dogovore med javnimi organi. Vendar pa so bila pravila s procesnega vidika spremenjena tako, da delujejo v okviru Združenega kraljestva; standardne klavzule o varstvu podatkov lahko sprejema pristojni minister (člen 17C) ali informacijski pooblaščenec (člen 119A), v skladu z zakonom o varstvu podatkov iz leta 2018.

(80) Če ne obstajajo niti sklep o ustreznosti, niti ustrezni zaščitni ukrepi, se lahko podatki prenašajo le na podlagi odstopanj iz člena 49 UK GDPR (76). UK GDPR ne uvaja nobenih bistvenih sprememb teh odstopanj v primerjavi z ustreznimi pravili iz Uredbe (EU) 2016/679. V skladu z UK GDPR in Uredbo (EU) 2016/679 se nekatera odstopanja lahko uporabijo le, če je prenos občasen (77). Nadalje, urad informacijskega pooblaščenca v svojih smernicah o mednarodnih prenosih podatkov pojasnjuje: „Uporabiti jih je treba le kot dejanske ‚izjeme‘ od splošnega pravila, da je omejeni prenos prepovedan, razen če se izvede na podlagi sklepa o ustreznosti ali če obstajajo ustrezni zaščitni ukrepi“ (78). Pristojni minister lahko glede prenosov, ki so potrebni zaradi pomembnih razlogov javnega interesa (člen 49(1)(d)), izda predpise z opredelitvijo okoliščin, v katerih je prenos osebnih podatkov v tretjo državo ali mednarodno organizacijo potreben oziroma ni potreben zaradi pomembnih razlogov javnega interesa. Nadalje, pristojni minister lahko s predpisi omeji prenos posamezne vrste osebnih podatkov v tretjo državo ali mednarodno organizacijo, kadar prenosa ni mogoče izvesti na podlagi predpisov o ustreznosti in pristojni minister meni, da je omejitev potrebna zaradi pomembnih razlogov javnega interesa. Tak predpis do zdaj še ni bil izdan.

(81) Ta okvir glede mednarodnih prenosov podatkov se je začel uporabljati ob koncu prehodnega obdobja (79). Vendar pa točka 4 dodatka 21 k zakonu o varstvu podatkov iz leta 2018 (ki je bil uveden s predpisi DPPEC) določa, da se od konca prehodnega obdobja naprej nekateri prenosi osebnih podatkov obravnavajo, kot da temeljijo na predpisih o ustreznosti. Ti prenosi vključujejo prenose v države EGP, na ozemlje Gibraltarja, v institucije, organe, urade ali agencije Unije, ustanovljene s Pogodbo EU ali na njeni podlagi, in v tretje države, glede katerih je bil ob koncu prehodnega obdobja izdan sklep EU o ustreznosti. Posledično se prenosi v navedene države lahko nadaljujejo kot pred izstopom Združenega kraljestva iz EU. Po koncu prehodnega obdobja mora pristojni minister v štirih letih opraviti pregled teh ugotovitev glede ustreznosti, tj. do konca decembra 2024. Iz pojasnila organov Združenega kraljestva izhaja, da čeprav mora pristojni minister tak pregled opraviti do konca decembra 2024, pa prehodne določbe ne vključujejo samoderogacijske klavzule in zadevne prehodne določbe ne prenehajo samodejno veljati, če pregled ni opravljen do konca decembra 2024.

(82) Kar zadeva prihodnji razvoj ureditve mednarodnega prenosa podatkov v Združenem kraljestvu – s sprejetjem novih predpisov o ustreznosti, sklepanjem mednarodnih sporazumov ali razvojem drugih mehanizmov za prenos – bo Komisija pozorno spremljala razmere, ocenila, ali se različni mehanizmi za prenos uporabljajo na način, ki zagotavlja neprekinjeno varstvo, in po potrebi sprejela ustrezne ukrepe za odpravo morebitnih škodljivih učinkov (glej uvodne izjave (278) do (287)). Ker imata EU in Združeno kraljestvo podobna pravila o mednarodnih prenosih, bi se problematičnim razlikam lahko izognili tudi s sodelovanjem ter izmenjavo informacij in izkušenj, tudi med uradom informacijskega pooblaščenca in Evropskim odborom za varstvo podatkov.

2.5.8 Odgovornost

(83) V skladu z načelom odgovornosti morajo subjekti, ki obdelujejo podatke, sprejeti ustrezne tehnične in organizacijske ukrepe, da lahko uspešno izpolnjujejo svoje obveznosti glede varstva podatkov in dokažejo tako skladnost, predvsem pristojnim nadzornim organom.

(84) Načelo odgovornosti iz Uredbe (EU) 2016/679 je ohranjeno v členu 5(2) UK GDPR brez bistvenih sprememb, enako pa velja glede člena 24 o odgovornosti upravljavca, člena 25 o vgrajenem in privzetem varstvu podatkov ter člena 30 o evidenci dejavnosti obdelave. Prav tako sta bila ohranjena člena 35 in 36 o oceni učinka v zvezi z varstvom podatkov in predhodnim posvetovanjem z nadzornim organom. Členi 37 do 39 Uredbe (EU) 2016/679 o imenovanju in nalogah pooblaščenih oseb za varstvo podatkov so bili v UK GDPR ohranjeni brez bistvenih sprememb. V UK GDPR so ohranjene tudi določbe členov 40 in 42 Uredbe (EU) 2016/679 o kodeksih ravnanja in certificiranju (80).

2.6 Nadzor in izvrševanje

2.6.1 Neodvisen nadzor

(85) Vzpostaviti bi bilo treba neodvisen nadzorni organ s pristojnostjo spremljanja in zagotavljanja skladnosti s pravili o varstvu podatkov, da se tudi v praksi zagotovi ustrezna raven varstva podatkov. Pri izvajanju svojih obveznosti in pooblastil bi moral ta organ ravnati popolnoma neodvisno in nepristransko.

(86) V Združenem kraljestvu nadzor in uveljavljanje skladnosti z UK GDPR in zakonom o varstvu podatkov iz leta 2018 izvaja informacijski pooblaščenec. Informacijski pooblaščenec je „Corporation Sole“, tj. ločen enoosebni pravni subjekt. Pri delu mu pomaga urad. Dne 31. marca 2020 je imel urad informacijskega pooblaščenca 768 stalnih članov osebja (81). Podporno ministrstvo informacijskega pooblaščenca je ministrstvo za digitalne tehnologije, kulturo, medije in šport (82).

(87) Neodvisnost informacijskega pooblaščenca je izrecno določena v členu 52 UK GDPR, ki v ničemer bistveno ne spreminja člena 52(1) do (3) splošne uredbe o varstvu podatkov. Informacijski pooblaščenec mora pri opravljanju svojih nalog in izvajanju svojih pooblastil v skladu z UK GDPR ravnati popolnoma neodvisno, ne sme biti izpostavljen niti neposrednemu niti posrednemu zunanjemu vplivu ter ne sme nikogar prositi za navodila niti jih od nikogar sprejeti. Poleg tega se mora vzdržati vsakega delovanja, ki je nezdružljivo z njegovimi dolžnostmi, in se v času svojega mandata ne sme ukvarjati z nobenim nezdružljivim delom, bodisi profitnim bodisi neprofitnim.

(88) Pogoji za imenovanje in razrešitev informacijskega pooblaščenca so določeni v dodatku 12 k zakonu o varstvu podatkov iz leta 2018. Informacijskega pooblaščenca imenuje kraljica na podlagi priporočila vlade ter na podlagi poštenega in odprtega postopka izbire. Kandidat mora imeti ustrezne kvalifikacije, izkušnje in znanje. V skladu s kodeksom upravljanja v zvezi z javnimi imenovanji (83) seznam ustreznih kandidatov pripravi svetovalni ocenjevalni odbor. Preden minister za digitalne tehnologije, kulturo, medije in šport sprejme končno odločitev, mora zadevni izbrani parlamentarni odbor opraviti preverjanje pred imenovanjem. Mnenje odbora se javno objavi (84).

(89) Mandat informacijskega pooblaščenca traja največ sedem let. Posameznik je lahko za informacijskega pooblaščenca imenovan le enkrat. Informacijskega pooblaščenca lahko s funkcije razreši kraljica, na podlagi nagovora obeh domov parlamenta (85). Predloga za razrešitev informacijskega pooblaščenca ni mogoče predložiti nobenemu od domov parlamenta brez poročila pristojnega nižjega ministra, iz katerega izhaja, da je po njegovem mnenju informacijski pooblaščenec kriv hujše kršitve dolžnega ravnanja uradnih oseb in/ali da ne izpolnjuje več pogojev za opravljanje svoje funkcije (86).

(90) Financiranje informacijskega pooblaščenca temelji na treh virih: (i) pristojbinah za varstvo podatkov, ki jih plačujejo upravljavci in so določene s predpisi pristojnega ministra (87) (Data Protection (Charges and Information) Regulations 2018 (predpisi o varstvu podatkov, pristojbinah in informacijah iz leta 2018)); te znašajo od 85 % do 90 % letnega proračuna urada (88); (ii) nepovratnih sredstvih, ki jih informacijskemu pooblaščencu nameni vlada. Ta sredstva so namenjena predvsem financiranju operativnih stroškov informacijskega pooblaščenca v zvezi z nalogami, ki se ne nanašajo na varstvo podatkov (89), in (iii) pristojbinah, ki se zaračunavajo za opravljanje storitev (90). Trenutno se take pristojbine ne zaračunavajo.

(91) Splošne naloge informacijskega pooblaščenca v zvezi z obdelavo osebnih podatkov, na katere se nanaša UK GDPR, so navedene v členu 57 UK GDPR, ki tesno odraža ustrezna pravila iz Uredbe (EU) 2016/679. Med njegovimi nalogami so spremljanje in izvrševanje UK GDPR, ozaveščanje javnosti, obravnava pritožb posameznikov, na katere se nanašajo osebni podatki, vodenje preiskav itd. Poleg tega so v členu 115 zakona o varstvu podatkov iz leta 2018 navedene druge splošne naloge informacijskega pooblaščenca, ki vključujejo obveznost svetovanja parlamentu, vladi ter drugim splošnim institucijam in organom o zakonodajnih in upravnih ukrepih, ki se nanašajo na varstvo pravic in svoboščin posameznikov glede obdelave osebnih podatkov, ter pristojnost izdati (na svojo pobudo ali na zahtevo) mnenje parlamentu, vladi ali drugim institucijam in organom ter javnosti o vseh zadevah, ki se nanašajo na varstvo osebnih podatkov. Informacijski pooblaščenec zaradi vzdrževanja neodvisnosti sodstva ne sme izvajati nalog v zvezi z obdelavo osebnih podatkov, ki jo izvaja posameznik ali sodišče v okviru svoje sodne pristojnosti. Vendar pa je nadzor nad sodstvom zagotovljen prek posebnih organov (glej uvodne izjave (99) do (103)).

2.6.2 Izvrševanje, vključno s sankcijami

(92) Pristojnosti informacijskega pooblaščenca so določene v členu 58 UK GDPR, ki ne uvaja nobenih bistvenih sprememb glede na ustrezne člene Uredbe (EU) 2016/679. Zakon o varstvu podatkov iz leta 2018 določa dodatna pravila o izvrševanju teh pristojnosti. Informacijski pooblaščenec je pristojen zlasti za to, da: (a) upravljavcu in obdelovalcu (v nekaterih primerih pa kateri koli drugi osebi) odredi, naj predloži potrebne informacije, z izdajo obvestila o predložitvi informacij (v nadaljnjem besedilu: obvestilo o predložitvi informacij) (91); (b) izvaja preiskave in preglede z izdajo obvestila o preverjanju, na podlagi katerega mora upravljavec ali obdelovalec informacijskemu pooblaščencu morda dovoliti vstop v določene prostore, pregled ali proučitev dokumentov ali opreme, razgovore z osebami, ki obdelujejo osebne podatke v imenu upravljavca itd. (v nadaljnjem besedilu: obvestilo o preverjanju (92)); (c) na drug način pridobi dostop do dokumentov itd. upravljavcev in obdelovalcev ter dostop v njihove prostore, v skladu s členom 154 zakona o varstvu podatkov iz leta 2018 (v nadaljnjem besedilu: pooblastilo za vstop in pregled); (d) izvršuje popravne pristojnosti, tudi na podlagi opozoril in opominov ali z izdajo odločb v obliki obvestil o izvršitvi, s katerimi od upravljavcev/obdelovalcev zahteva določeno ukrepanje ali prenehanje izvajanja določenih ukrepov, vključno z odredbo, da mora upravljavec ali obdelovalec storiti kar koli, kar je navedeno v členu 58(2)(c) do (g) in (j) UK GDPR (v nadaljnjem besedilu: obvestilo o izvršitvi) (93), (e) ter izreče upravne globe v obliki obvestila o plačilnem nalogu (v nadaljnjem besedilu: obvestilo o plačilnem nalogu) (94). Slednje se lahko izda tudi, če javni organ ne ravna v skladu z določbami UK GDPR (95).

(93) Politika urada informacijskega pooblaščenca o regulativnih ukrepih (Regulatory Action Policy) določa okoliščine, v katerih se izdajo obvestilo o predložitvi informacij, obvestilo o preverjanju, obvestilo o izvršitvi ali obvestilo o plačilnem nalogu (96). Z obvestilom o izvršitvi, ki se izda kot odziv na pomanjkljivost upravljavca ali obdelovalca, se lahko izrečejo le zahteve, za katere informacijski pooblaščenec meni, da so ustrezne glede na namen odprave pomanjkljivosti. Obvestilo o izvršitvi ali o plačilnem nalogu se lahko izda le upravljavcu ali obdelovalcu v zvezi s kršitvami poglavja II UK GDPR (načela obdelave), členov 12 do 22 UK GDPR (pravice posameznika, na katerega se nanašajo osebni podatki), členov 25 do 39 UK GDPR (obveznosti upravljavcev in obdelovalcev) in členov 44 do 49 UK GDPR (mednarodni prenosi). Obvestilo o izvršitvi se lahko izda tudi, če upravljavec ne zagotovi skladnosti z zahtevo za plačilo pristojbine, kakor je določena v predpisih, izdanih na podlagi člena 137 zakona o varstvu podatkov iz leta 2018. Poleg tega se lahko organu za spremljanje na podlagi člena 41 ali ponudniku certificiranja izda obvestilo o izvršitvi, če ne izpolnjujeta svojih obveznosti na podlagi UK GDPR. Obvestilo o plačilnem nalogu se lahko izda tudi osebi, ki ni izvršila obvestila o predložitvi informacij, obvestila o preverjanju ali obvestila o izvršitvi.

(94) Na podlagi obvestila o plačilnem nalogu mora oseba informacijskemu pooblaščencu plačati znesek, naveden v obvestilu. Pri odločanju o tem, ali osebi izdati obvestilo o plačilnem nalogu in kako visoka naj bo globa, mora informacijski pooblaščenec upoštevati, kar je navedeno v členu 83(1) in (2) UK GDPR, ki je enak ustreznim pravilom iz Uredbe (EU) 2016/679 (97). V skladu s členom 83(4) in (5) sta najvišja zneska upravne globe v primeru neizpolnjevanja obveznosti iz navedenih določb 8700000 GBP oziroma 17500000 GBP. V primeru podjetij lahko informacijski pooblaščenec izreče globo tudi v obliki deleža svetovnega letnega prometa, če je ta višja. Tako kot pri enakovrednih določbah Uredbe (EU) 2016/679 so ti zneski v členu 83(4) in (5) določeni kot 2 % oziroma 4 %. V primeru neizpolnitve obvestila o predložitvi informacij, obvestila o preverjanju ali obvestila o izvršitvi je najvišji znesek kazni, ki se lahko izreče na podlagi obvestila o plačilnem nalogu, 17500000 GBP oziroma v primeru podjetja 4 % svetovnega letnega prometa, odvisno od tega, kateri znesek je višji.

(95) Z UK GDPR in zakonom o varstvu podatkov iz leta 2018 so se okrepile tudi druge pristojnosti informacijskega pooblaščenca. Informacijski pooblaščenec lahko zdaj na primer izvaja obvezne preglede upravljavcev in obdelovalcev na podlagi obvestil o preverjanju, pri čemer je na podlagi predhodne zakonodaje (zakona o varstvu podatkov iz leta 1998) imel to pristojnost le glede osrednje vlade in zdravstvenih organizacij, ostali subjekti pa so morali s pregledi soglašati.

(96) Od sprejetja Uredbe (EU) 2016/679 urad informacijskega pooblaščenca na leto obravnava približno 40000 pritožb posameznikov, na katere se nanašajo osebni podatki (98), poleg tega pa opravi tudi približno 2000 preiskav po uradni dolžnosti (99). Večina pritožb se nanaša na pravice do dostopa do podatkov in do razkritja podatkov. Na podlagi preiskav informacijski pooblaščenec sprejema izvršilne ukrepe v raznih sektorjih. Natančneje, iz zadnjega letnega poročila informacijskega pooblaščenca (2019–2020) (100) izhaja, da je v zadevnem obdobju poročanja izdal 54 obvestil o predložitvi informacij, 8 obvestil o preverjanju, 7 obvestil o izvršitvi, 4 opozorila, 8 pregonov in 15 glob (101).

(97) To vključuje več pomembnih denarnih kazni, ki so bile izrečene na podlagi Uredbe (EU) 2016/679 in zakona o varstvu podatkov iz leta 2018. Natančneje, informacijski pooblaščenec je oktobra 2020 izrekel globo britanski letalski družbi v višini 20 milijonov GBP zaradi kršitve varstva podatkov, ki je prizadela več kot 400000 strank. Ob koncu oktobra 2020 je bila mednarodni hotelski verigi izrečena globa v višini 18,4 milijona GBP, ker ni zagotovila varstva osebnih podatkov milijonov strank, novembra 2020 pa je bila britanskemu ponudniku storitev, ki je prek spleta prodajal vstopnice za dogodke, izrečena globa v višini 1,25 milijona GBP, ker ni zagotovil varstva podatkov o plačilih strank (102).

(98) Poleg pooblastil, ki jih ima informacijski pooblaščenec za izvrševanje in so opisana v uvodni izjavi (92), se nekatere kršitve zakonodaje o varstvu podatkov štejejo za kazniva dejanja, zato se lahko zanje izrečejo kazenske sankcije (člen 196 zakona o varstvu podatkov iz leta 2018). To se na primer nanaša na namerno ali malomarno pridobitev ali razkritje osebnih podatkov brez privolitve upravljavca, zagotovitev razkritja osebnih podatkov drugi osebi brez privolitve upravljavca (103), ponovno identifikacijo informacij v primeru anonimizacije osebnih podatkov brez privolitve upravljavca, ki je odgovoren za anonimizacijo osebnih podatkov (104), namerno oviranje informacijskega pooblaščenca pri izvrševanju njegovih pristojnosti v zvezi s preverjanjem osebnih podatkov v skladu z mednarodnimi obveznostmi (105), dajanje neresničnih izjav v odgovor na obvestilo o predložitvi informacij, ali uničenje informacij v zvezi z obvestilom o predložitvi informacij ali obvestilom o preverjanju (106).

2.6.3 Nadzor nad sodstvom

(99) Nadzor nad obdelavo osebnih podatkov, ki jo izvajajo sodišča in sodstvo, je dvostranski. Kadar nosilec sodne funkcije ali sodišče ne deluje v okviru svoje sodne pristojnosti, nadzor izvaja urad informacijskega pooblaščenca. Kadar pa upravljavec deluje v okviru svoje sodne pristojnosti, urad informacijskega pooblaščenca ne more izvajati svoje nadzorne funkcije (107), zato jo izvajajo posebni organi. To odraža pristop iz Uredbe (EU) 2016/679 (člen 55(3)).

(100) Natančneje, v drugem primeru glede sodišč Anglije in Walesa ter glede prvostopenjskih in višjih sodišč Anglije in Walesa tak nadzor zagotavlja sodni svet za varstvo podatkov (Judicial Data Protection Panel) (108). Poleg tega sta vodja sodstva Anglije in Walesa (Lord Chief Justice) in vodja sodišč Tribunals (Senior President of Tribunals) izdala obvestilo o zasebnosti (109), ki določa, kako sodišča v Angliji in Walesu obdelujejo osebne podatke za namene opravljanja sodne funkcije. Podobni obvestili sta izdali tudi sodstvo Severne Irske (110) in sodstvo Škotske (111).

(101) Še več, na Severnem Irskem je vodja sodstva Severne Irske sodnika sodišča High Court imenoval za sodnika, pristojnega za nadzor podatkov (Data Supervisory Judge) (112). Poleg tega so izdali smernice za sodstvo Severne Irske o tem, kako ravnati v primeru izgube ali potencialne izgube podatkov ter kako obravnavati vsa vprašanja, ki iz tega izhajajo (113).

(102) Na Škotskem je vodja sodstva (Lord President) imenoval sodnika za nadzor podatkov (Data Supervisory Judge) za obravnavo vseh pritožb s področja varstva podatkov. Ta sistem je vzpostavljen na podlagi pravil o pritožbah v sodstvu, ki so podobna tistim v Angliji in Walesu (114).

(103) Nazadnje, eden od sodnikov pri sodišču Supreme Court je pooblaščen za nadzor nad varstvom podatkov.

2.6.4 Pravna sredstva

(104) Posameznik, na katerega se nanašajo osebni podatki, mora imeti na voljo učinkovito upravno in sodno varstvo, vključno z odškodnino za škodo, da se zagotovita ustrezno varstvo in zlasti uresničevanje pravic posameznika.

(105) Prvič, posameznik, na katerega se nanašajo osebni podatki, ima pravico vložiti pritožbo pri informacijskem pooblaščencu, če meni, da je v zvezi z osebnimi podatki, ki se nanašajo nanj, prišlo do kršitve UK GDPR (115). V UK GDPR so brez bistvenih sprememb ohranjena pravila iz člena 77 Uredbe (EU) 2016/679 o navedeni pravici. Enako velja za člen 57(1)(f) in (2), ki določa naloge informacijskega pooblaščenca v zvezi z obravnavo pritožb. Kot je opisano v uvodnih izjavah (92) do (98) above, lahko informacijski pooblaščenec preverja zagotavljanje skladnosti upravljavca in obdelovalca z UK GDPR in zakonom o varstvu podatkov iz leta 2018, od njiju zahteva, da v primeru neskladnosti sprejmeta potrebne ukrepe ali se vzdržita določenih ukrepov ter izreče globe.

(106) Drugič, UK GDPR in zakon o varstvu podatkov iz leta 2018 določata pravico do pravnega sredstva zoper odločitev informacijskega pooblaščenca. Na podlagi člena 78(1) UK GDPR ima posameznik pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev informacijskega pooblaščenca v zvezi z njim. V okviru sodne presoje sodnik prouči v zahtevku izpodbijano odločbo in odloči, ali je informacijski pooblaščenec ravnal zakonito. Nadalje, iz člena 78(2) UK GDPR izhaja, da če informacijski pooblaščenec pritožbe posameznika, na katerega se nanašajo osebni podatki, ne obravnava ustrezno (116), ima pritožnik na voljo pravno sredstvo. Od sodišča prve stopnje lahko zahteva, naj informacijskemu pooblaščencu naloži ustrezne ukrepe v odgovor na pritožbo ali da pritožnika obvesti o stanju zadeve (117). Poleg tega se lahko vsakdo, ki mu informacijski pooblaščenec izda eno od zgoraj navedenih obvestil (o predložitvi informacij, o preverjanju, o izvršitvi ali o plačilnem nalogu), pritoži pri sodišču prve stopnje (First Tier Tribunal) (118). Če sodišče ugotovi, da odločba informacijskega pooblaščenca ni v skladu s pravom ali da bi moral informacijski pooblaščenec odločiti drugače, mora sodišče pritožbo dovoliti ali obvestilo oziroma odločbo informacijskega pooblaščenca nadomestiti z drugo.

(107) Tretjič, posamezniki lahko pravna sredstva zoper upravljavce in obdelovalce uveljavljajo neposredno pred sodiščem v skladu s členom 79 UK GDPR in členom 167 zakona o varstvu podatkov iz leta 2018. Če sodišče na podlagi vloge posameznika, na katerega se nanašajo osebni podatki, ugotovi, da so bile kršene njegove pravice s področja zakonodaje o varstvu podatkov, lahko upravljavcu, ki je zadolžen za obdelavo takih podatkov, ali obdelovalcu, ki deluje v njegovem imenu, odredi sprejetje ali opustitev določenih ukrepov, navedenih v odločbi.

(108) Poleg tega ima v skladu s členom 82 UK GDPR in členom 168 zakona o varstvu podatkov iz leta 2018 vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve UK GDPR, pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo. Pravila o odškodnini in odgovornosti iz člena 82(1) do (5) UK GDPR so enaka ustreznim pravilom iz Uredbe (EU) 2016/679. V skladu s členom 168 zakona o varstvu podatkov iz leta 2018 nepremoženjska škoda vključuje tudi stisko. V skladu s členom 80 UK GDPR ima posameznik, na katerega se nanašajo osebni podatki, tudi pravico, da pooblasti zastopnika ali organizacijo, da v njegovem imenu vloži pritožbo pri informacijskem pooblaščencu (v skladu s členom 77 UK GDPR) in pravico, da v njegovem imenu uresničuje pravice iz člena 78 (pravica do učinkovitega pravnega sredstva zoper informacijskega pooblaščenca), člena 79 (pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca) in člena 82 (pravica do odškodnine in odgovornost) UK GDPR.

(109) Četrtič, poleg zgornjih možnosti za uveljavljanje pravnih sredstev lahko vsakdo, ki meni, da so javni organi kršili njegove pravice, vključno s pravico do zasebnosti in varstva podatkov, uveljavlja pravna sredstva pred sodišči Združenega kraljestva na podlagi zakona o človekovih pravicah iz leta 1998 (119). Posameznik, ki trdi, da je javni organ ravnal (ali predlaga ravnanje) neskladno s pravico iz konvencije, kar je posledično nezakonito na podlagi člena 6(1) zakona o človekovih pravicah iz leta 1998, lahko pri pristojnem sodišču začne postopek zoper tak organ ali se na zadevne pravice sklicuje v vsakem pravnem postopku, če je (ali bo postal) žrtev nezakonitega dejanja.

(110) Če sodišče ugotovi, da je katero koli dejanje javnega organa nezakonito, lahko odobri odškodnino ali pravno sredstvo ali izda odločbo, kot meni, da je pravično in ustrezno ter v skladu s svojimi pristojnostmi (120). Sodišče lahko odloči tudi, da določba primarne zakonodaje ni skladna s pravico na podlagi konvencije.

(111) Nazadnje, ko posameznik izčrpa nacionalna pravna sredstva, se lahko obrne na Evropsko sodišče za človekove pravice zaradi kršitev pravic, zagotovljenih na podlagi Evropske konvencije o varstvu človekovih pravic.

3. DOSTOP DO OSEBNIH PODATKOV, KI JIH IZ EVROPSKE UNIJE PRENESEJO JAVNI ORGANI V ZDRUŽENEM KRALJESTVU, IN NJIHOVA UPORABA

(112) Komisija je presojala tudi pravni okvir Združenega kraljestva glede zbiranja in posledične uporabe osebnih podatkov, ki jih v javnem interesu javni organi v Združenem kraljestvu prenesejo poslovnim subjektom v Združenem kraljestvu, zlasti za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj in nacionalne varnosti (v nadaljnjem besedilu: vladni dostop). Komisija je pri oceni pogojev, na podlagi katerih vladni dostop do podatkov, prenesenih v Združeno kraljestvo, na podlagi tega sklepa izpolnjuje preskus „osnovne enakovrednosti“ na podlagi člena 45(1) Uredbe (EU) 2016/679, kakor ga razlaga Sodišče EU glede na Listino o temeljnih pravicah, upoštevala zlasti naslednja merila.

(113) Prvič, vsaka omejitev pravice do varstva osebnih podatkov mora biti določena v zakonu, pravna podlaga, ki dovoljuje tak poseg v uresničevanje pravice, pa mora že sama opredeljevati obseg omejitve izvrševanja zadevne pravice (121).

(114) Drugič, da se izpolni zahteva glede sorazmernosti, v skladu s katero se lahko odstopanja od in omejitve varstva osebnih podatkov uporabljajo le, kolikor je nujno potrebno v demokratični družbi, da se dosežejo specifični cilji splošnega interesa, ki so enakovredni interesom, priznanim v Uniji, morajo biti z zakonodajo zadevne tretje države, s katero se ureja poseg, določena jasna in natančna pravila, ki urejajo obseg in uporabo zadevnega ukrepa ter minimalne zahteve, tako da imajo osebe, katerih podatki so bili preneseni, na voljo zadostna jamstva, ki omogočajo učinkovito varovanje njihovih osebnih podatkov pred tveganjem zlorab (122). V zakonodaji mora biti zlasti navedeno, v kakšnih okoliščinah in pod katerimi pogoji je mogoče sprejeti ukrep, ki določa obdelavo takih podatkov (123), izpolnjevanje teh zahtev pa mora biti podvrženo neodvisnemu nadzoru (124).

(115) Tretjič, navedena zakonodaja mora biti pravno zavezujoča na podlagi notranjega prava, za te pravne zahteve pa mora veljati, da ne zavezujejo le organov, ampak so tudi sodno izvršljive zoper organe zadevne tretje države (125). Posamezniki, na katere se nanašajo osebni podatki, morajo zlasti imeti možnost uveljavljanja pravnih sredstev pred neodvisnim in nepristranskim sodiščem, da bi si tako zagotovili dostop do osebnih podatkov, ki se nanje nanašajo, ali dosegli popravo oziroma izbris takih podatkov (126).

3.1 Splošni pravni okvir

(116) V okviru izvajanja pooblastil javnega organa mora biti vladni dostop v Združenem kraljestvu izveden ob popolnem upoštevanju zakona. Združeno kraljestvo je ratificiralo Evropsko konvencijo o varstvu človekovih pravic (glej uvodno izjavo (9)), zato morajo vsi javni organi v Združenem kraljestvu ravnati v skladu z navedeno konvencijo (127). Člen 8 konvencije določa, da mora biti vsak poseg v zasebnost v skladu s pravom, v interesu enega od ciljev iz člena 8(2) in sorazmeren glede na cilj. Člen 8 določa tudi, da mora biti poseg „predvidljiv“, tj. da ima jasno in dostopno pravno podlago in da pravo vsebuje ustrezne zaščitne ukrepe za preprečevanje zlorab.

(117) Poleg tega je Sodišče EU v svoji sodni praksi navedlo, da mora biti vsak poseg v pravico do zasebnosti in varstva podatkov podvržen učinkovitemu, neodvisnemu in nepristranskemu nadzornemu sistemu, ki ga zagotavlja sodnik ali drug neodvisni organ (128) (na primer upravni ali parlamentarni organ).

(118) Poleg tega morajo imeti posamezniki učinkovita pravna sredstva, Evropsko sodišče za človekove pravice pa je pojasnilo, da mora pravno sredstvo zagotavljati neodvisen in nepristranski organ, ki sprejme svoj poslovnik, sestavljati ga morajo člani, ki imajo ali so imeli visoko sodno funkcijo ali ki so izkušeni odvetniki, hkrati pa ne sme obstajati dokazno breme, ki bi ga bilo treba premagati za vložitev vloge pri takem organu. Pri obravnavi pritožb posameznikov mora imeti neodvisen in nepristranski organ dostop do vseh zadevnih informacij, vključno s tajnim gradivom. Nazadnje, organ mora imeti pristojnost odpraviti neskladnost (129).

(119) Združeno kraljestvo je leta 2018 ratificiralo tudi Konvencijo Sveta Evrope o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov (Konvencija št. 108) ter podpisalo protokol o spremembi navedene konvencije (znan kot Konvencija št. 108+) (130). Člen 9 Konvencije št. 108 določa, da so odstopanja od splošnih načel o varstvu podatkov (člen 5, Kakovost podatkov), pravil o posebnih vrstah podatkov (člen 6, Posebne vrste podatkov) in od pravic posameznikov, na katere se nanašajo osebni podatki (člen 8, Dodatni zaščitni ukrepi za posameznika, na katerega se nanašajo osebni podatki), dovoljena le, kadar je tako odstopanje določeno v zakonu podpisnice in če gre za ukrep, ki je v interesu zaščite nacionalne varnosti, javne varnosti, monetarnih interesov države, zatiranja kaznivih dejanj ali varstva posameznika, na katerega se nanašajo osebni podatki, oziroma pravic in svoboščin drugih potreben v demokratični družbi (131).

(120) Združeno kraljestvo torej na podlagi članstva v Svetu Evrope, zavezanosti Evropski konvenciji o varstvu človekovih pravic ter priznanja pristojnosti Evropskega sodišča za človekove pravice zavezuje več obveznosti iz mednarodnega prava, ki oblikujejo njegov sistem vladnega dostopa na podlagi načel, zaščitnih ukrepov in pravic posameznikov, ki so podobni tistim, ki so zagotovljeni na podlagi prava EU in ki se uporabljajo v državah članicah. Kot je poudarjeno v uvodni izjavi (19), je nadaljnja zavezanost takim instrumentom posebno pomemben element ocene, na kateri temelji ta sklep.

(121) Nadalje, posebne zaščitne ukrepe in pravice za varstvo podatkov zagotavlja tudi zakon o varstvu podatkov iz leta 2018, če podatke obdelujejo javni organi, vključno z organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj in organi nacionalne varnosti.

(122) Ureditev obdelave osebnih podatkov v okviru preprečevanja, odkrivanja in preiskovanja kaznivih dejanj je določena v delu 3 zakona o varstvu podatkov iz leta 2018, ki je bil sprejet za prenos Direktive (EU) 2016/680. Del 3 zakona o varstvu podatkov iz leta 2018 se nanaša na obdelavo osebnih podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem (132).

(123) Pojem „pristojni organ“ je v členu 30 zakona o varstvu podatkov opredeljen kot oseba s seznama v dodatku 7 k zakonu o varstvu podatkov iz leta 2018 oziroma katera koli druga oseba, ki ima zakonsko predpisane naloge za kateri koli namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (133). Kot je pojasnjeno v nadaljevanju (glej uvodno izjavo (139)), lahko nekateri pristojni organi (na primer National Crime Agency) pod določenimi pogoji uporabijo pooblastila iz zakona o preiskovalnih pooblastilih iz leta 2016 (Investigatory Power Act 2016). V tem primeru se bodo poleg zaščitnih ukrepov iz dela 3 zakona o varstvu podatkov iz leta 2018 uporabljali tudi zaščitni ukrepi iz zakona o preiskovalnih pooblastilih iz leta 2016. Obveščevalne službe (tajna obveščevalna služba, varnostna služba in vladna obveščevalna služba) niso „pristojni organi“ (134) iz dela 3 zakona o varstvu podatkov iz leta 2018, zato se v njem določena pravila ne uporabljajo za nobeno od njihovih dejavnosti. Specifičen del zakona o varstvu podatkov iz leta 2018 (del 4) je namenjen obdelavi osebnih podatkov s strani obveščevalnih služb (za več podrobnosti glej uvodno izjavo (125)).

(124) Po vzoru Direktive (EU) 2016/680 tudi del 3 zakona o varstvu podatkov iz leta 2018 določa načela zakonitosti in poštenosti (135), omejitve namena (136), najmanjšega obsega podatkov (137), točnosti (138), omejitve hrambe (139) in varstva (140). Zakonodaja določa posebne obveznosti glede preglednosti (141) ter posameznikom zagotavlja pravico do dostopa (142), popravka in izbrisa (143) ter pravico, da se zanje ne uporablja avtomatizirano sprejemanje odločitev (144) Pristojni organi morajo avtomatično zagotavljati varstvo podatkov, voditi evidenco dejavnosti obdelave ter glede nekaterih dejanj obdelave izvesti ocene učinka v zvezi z varstvom podatkov in se vnaprej posvetovati z informacijskim pooblaščencem (145). V skladu s členom 56 zakona o varstvu podatkov iz leta 2018 morajo dokazati skladnost. Poleg tega morajo vzpostaviti tudi ustrezne ukrepe za zagotovitev varnosti obdelave (146), v primeru kršitve varstva podatkov pa imajo tudi posebne obveznosti, vključno z obveščanjem informacijskega pooblaščenca in posameznika, na katerega se nanašajo osebni podatki, o taki kršitvi (147). Kot je navedeno v Direktivi (EU) 2016/680, mora upravljavec (razen če gre za sodišče ali drug pravosodni organ, ki izvršuje svojo sodno pristojnost) imenovati uradnika za varstvo podatkov (148), ki mu pomaga pri zagotavljanju skladnosti z obveznostmi ter pri spremljanju zagotavljanja skladnosti (149). Nadalje, zakonodaja določa posebne zahteve glede mednarodnih prenosov osebnih podatkov v tretje države ali mednarodne organizacije za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, da se zagotovi kontinuiteta varstva (150). Komisija je na isti datum sprejela ta sklep in sklep o ustreznosti na podlagi člena 36(3) Direktive (EU) 2016/680, v katerem je ugotovila, da ureditev varstva podatkov, ki se uporablja glede obdelave podatkov s strani organov Združenega kraljestva za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, zagotavlja raven varstva, ki je v osnovi enakovredna tisti, ki jo zagotavlja Direktiva (EU) 2016/680.

(125) Del 4 zakona o varstvu podatkov iz leta 2018 se uporablja za vse primere obdelave, ki jih izvajajo obveščevalne službe ali ki se izvajajo v njihovem imenu. V njem so zlasti določena glavna načela o varstvu podatkov (zakonitost, poštenost in preglednost (151), omejitev namena (152), najmanjši obseg podatkov (153), točnost (154), omejitev hrambe (155) in varstva (156)), poleg tega določa pogoje glede obdelave posebnih vrst podatkov (157), določa pravice posameznikov, na katere se nanašajo osebni podatki (158), zahteva vgrajeno varstvo podatkov (159) in ureja mednarodni prenos osebnih podatkov (160). Urad informacijskega pooblaščenca je nedavno izdal podrobne smernice o obdelavi s strani obveščevalnih agencij v skladu z delom 4 zakona o varstvu podatkov iz leta 2018 (161).

(126) Hkrati člen 110 zakona o varstvu podatkov iz leta 2018 določa izjemo od posebnih določb v delu 4 navedenega zakona (162), kadar je taka izjema potrebna za zaščito nacionalne varnosti. To izjemo je mogoče uporabiti le na podlagi analize vsakega primera posebej (163). Kot so pojasnili organi Združenega kraljestva in je bilo potrjeno s sodno prakso sodišč Združenega kraljestva, „mora upravljavec upoštevati dejanske posledice za nacionalno varnost ali obrambo, če bi moral zagotoviti skladnost s posamezno določbo za varstvo podatkov, ter ali bi razumno lahko zagotovil skladnost z običajnim pravilom brez ogrožanja nacionalne varnosti ali obrambe“ (164). O tem, ali je bila izjema ustrezno uporabljena, odloča urad informacijskega pooblaščenca (165).

(127) Nadalje, v zvezi z možnostjo omejitve uporabe navedenih posebnih določb iz člena 111 zakona o varstvu podatkov iz leta 2018 zaradi zaščite nacionalne varnosti, lahko upravljavec zaprosi za izdajo potrdila, ki ga podpiše višji minister ali generalni državni tožilec in pravni svetovalec vlade (Attorney General) in ki potrjuje, da je omejitev take pravice potreben in sorazmeren ukrep za zaščito nacionalne varnosti (166).

(128) Vlada Združenega kraljestva je izdala smernice v pomoč upravljavcem, kadar se ti odločajo, ali naj na podlagi zakona o varstvu podatkov iz leta 2018 zaprosijo za izdajo potrdila glede nacionalne varnosti; navedene smernice predvsem poudarjajo, da morajo biti vse omejitve pravic posameznikov, na katere se nanašajo osebni podatki, z namenom zaščite nacionalne varnosti sorazmerne in potrebne (167). Vsa potrdila glede nacionalne varnosti morajo biti objavljena na spletišču urada informacijskega pooblaščenca (168).

(129) Potrdilo se izda za določen čas največ pet let, da ga lahko izvršilna oblast redno preverja (169). Potrdilo opredeljuje osebne podatke ali vrste osebnih podatkov, za katere se lahko uporabi izjema, ter določbe zakona o varstvu podatkov iz leta 2018, glede katerih se lahko uporabi izjema (170).

(130) Treba je opozoriti, da potrdila glede nacionalne varnosti ne zagotavljajo dodatnega razloga za omejevanje pravic do varstva podatkov iz razlogov nacionalne varnosti. Povedano drugače se lahko upravljavec ali obdelovalec na potrdilo zanese le, če ugotovi, da je treba v posameznem primeru (kot je pojasnjeno zgoraj) uporabiti izjemo zaradi nacionalne varnosti (171). Tudi če se potrdilo glede nacionalne varnosti nanaša na posamezno zadevo, lahko urad informacijskega pooblaščenca prouči, ali je bilo v posameznem primeru sklicevanje na izjemo zaradi nacionalne varnosti upravičeno (172).

(131) Neposredno prizadeti zaradi izdaje potrdila (173), se lahko pritožijo pri sodišču Upper Tribunal (174), če so v potrdilu podatki opredeljeni s splošnim opisom, pa lahko izpodbija uporabo potrdila glede posameznih podatkov (175). Sodišče prouči odločitev o izdaji potrdila in odloči, ali so za izdajo potrdila obstajali utemeljeni razlogi (176). Prouči lahko več vprašanj, vključno s potrebnostjo, sorazmernostjo in zakonitostjo, pri čemer upošteva vpliv na pravice posameznikov, na katere se nanašajo podatki, in pretehta potrebo po zaščiti nacionalne varnosti. Posledično lahko sodišče ugotovi, da se potrdilo ne nanaša na specifične osebne podatke, ki so predmet pritožbe (177).

(132) Druga vrsta morebitnih omejitev se nanaša na tiste, ki se na podlagi dodatka 11 k zakonu o varstvu podatkov iz leta 2018 nanašajo na nekatere določbe dela 4 zakona o varstvu podatkov iz leta 2018 (178) za zaščito drugih pomembnih ciljev splošnega javnega interesa ali zaščitenih interesov, kot so na primer parlamentarni privilegij, varovanje zaupnosti sporazumevanja med odvetnikom in stranko, vodenje sodnega postopka ali bojna učinkovitost oboroženih sil (179). Uporaba teh določb je izključena glede nekaterih vrst informacij (izjema na podlagi vrste) ali v kolikor bi uporaba teh določb verjetno posegala v zaščitene interese (izjema na podlagi poseganja) (180). Na izjeme na podlagi poseganja se je mogoče sklicevati le, če je verjetno, da bi uporaba navedene določbe o varstvu podatkov posegala v zadevni interes. Uporaba izjeme mora biti torej vedno upravičena s sklicevanjem na zadevno poseganje, do katerega bi v posameznem primeru verjetno prišlo. Na izjeme na podlagi vrste se je mogoče sklicevati le glede specifičnih, ozko opredeljenih vrst informacij, glede katerih je uporaba izjeme mogoča. Te so glede na namen in učinek podobne več izjemam od UK GDPR (na podlagi dodatka 2 k zakonu o varstvu podatkov iz leta 2018), ki pa izražajo tiste iz člena 23 Splošne uredbe o varstvu podatkov.

(133) Iz navedenega izhaja, da so na podlagi pravnih določb Združenega kraljestva, ki se uporabljajo, vzpostavljene omejitve in pogoji, kakor jih razlagajo tudi sodišča in informacijski pooblaščenec, ki zagotavljajo, da navedene izjeme in omejitve ostajajo znotraj okvirov tega, kar je potrebno in sorazmerno za zaščito nacionalne varnosti.

3.2 Dostop in uporaba s strani javnih organov Združenega kraljestva za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj

(134) Pravo Združenega kraljestva določa več omejitev glede dostopa do in uporabe osebnih podatkov za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj ter na tem področju zagotavlja nadzorne mehanizme in mehanizme pravnih sredstev, ki so v skladu z zahtevami iz uvodnih izjav (113) do (115) tega sklepa. Pogoji, na podlagi katerih je tak dostop mogoč, in zaščitni ukrepi glede uporabe teh pooblastil so podrobneje ocenjeni v oddelkih v nadaljevanju.

3.2.1 Pravna podlaga in omejitve/zaščitni ukrepi, ki se uporabljajo

(135) V skladu z načelom zakonitosti iz člena 35 zakona o varstvu podatkov iz leta 2018 je obdelava osebnih podatkov za kateri koli namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj zakonita le, če temelji na pravu in je posameznik, na katerega se nanašajo osebni podatki, privolil v njihovo obdelavo za navedeni namen (181), ali pa je obdelava potrebna za opravljanje naloge, ki jo v ta namen izvaja pristojni organ.

3.2.1.1 Odredbe o preiskavi in o predložitvi dokazov

(136) V pravnem okviru Združenega kraljestva je zbiranje osebnih podatkov od poslovnih subjektov, tudi tistih, ki bodo obdelovali podatke, prenesene iz EU na podlagi tega sklepa o ustreznosti, za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, dovoljeno na podlagi odredbe o preiskavi (182) in odredbe o predložitvi dokazov (183).

(137) Odredbe o preiskavi izdajajo sodišča, običajno na predlog preiskovalcev. Preiskovalcem omogočajo vstop v prostore z namenom iskanja gradiva ali posameznikov, ki so pomembni za zadevno preiskavo, ter zadržanje vsega, za kar je bila preiskava odobrena, vključno z vsemi zadevnimi dokumenti ali gradivom, ki vsebuje osebne podatke (184). Na podlagi odredbe o predložitvi dokazov, ki jo mora prav tako izdati sodišče, mora oseba, ki je v njej navedena, predložiti gradivo, ki ga ima v posesti ali pod svojim nadzorom, oziroma omogočiti dostop do njega. Predlagatelj mora sodišču utemeljiti, zakaj je odredba potrebna in zakaj je v javnem interesu. V veljavi je več zakonskih pooblastil, ki omogočajo izdajo odredb o preiskavi in o predložitvi dokazov. Vsaka določba vsebuje posebne zakonske pogoje, ki morajo biti izpolnjeni za izdajo odredbe o preiskavi (185) ali odredbe o predložitvi dokazov (186).

(138) Odredbe o predložitvi dokazov in odredbe o preiskavi se lahko izpodbijajo v okviru sodne presoje (187). Glede zaščitnih ukrepov velja, da imajo vsi organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, ki spadajo na področje uporabe dela 3 zakona o varstvu podatkov iz leta 2018, dostop do osebnih podatkov (kar je oblika obdelave) le v skladu z načeli in zahtevami iz navedenega zakona (glej uvodni izjavi (122) in (124) above). Predlog katerega koli organa za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj mora biti torej v skladu z načelom, da mora biti namen obdelave opredeljen, izrecen in legitimen (188), ter da morajo biti osebni podatki, ki jih obdeluje pristojni organ, relevantni glede na namen in ne čezmerni (189).

3.2.1.2 Preiskovalna pooblastila za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj

(139) Za namene preprečevanja ali odkrivanja hudih kaznivih dejanj (190) lahko nekateri organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, na primer National Crime Agency ali načelnik policije (191), uporabijo ciljna preiskovalna pooblastila v okviru zakona o preiskovalnih pooblastilih iz leta 2016. V tem primeru se bodo poleg zaščitnih ukrepov iz dela 3 zakona o varstvu podatkov iz leta 2018 uporabljali tudi zaščitni ukrepi iz zakona o preiskovalnih pooblastilih iz leta 2016. Preiskovalna pooblastila, ki se jih lahko poslužujejo organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, so: ciljno prestrezanje (del 2 zakona o preiskovalnih pooblastilih iz leta 2016), pridobivanje komunikacijskih podatkov (del 3 zakona o preiskovalnih pooblastilih iz leta 2016), hramba komunikacijskih podatkov (del 4 zakona o preiskovalnih pooblastilih iz leta 2016) in ciljno poseganje v opremo (del 5 zakona o preiskovalnih pooblastilih iz leta 2016). Prestrezanje vključuje pridobivanje vsebine komunikacije (192), pri čemer pridobivanje in hramba komunikacijskih podatkov nista namenjena pridobivanju vsebine komunikacije, ampak podatkov o tem, kdo, kdaj, kje in kako je komuniciral. To na primer vključuje čas in trajanje komunikacije, telefonsko številko ali elektronski naslov pošiljatelja in prejemnika ter včasih lokacijo naprav, ki so bile uporabljene za komunikacijo, in naročnika telefonskih storitev ali specifikacijo računa (193). Poseganje v opremo vključuje več tehnik, ki se uporabljajo za pridobivanje raznih podatkov z opreme, kar vključuje računalnike, tablice in pametne telefone ter kable, žice in naprave za shranjevanje podatkov (194).

(140) Pooblastila za ciljno prestrezanje se lahko uporabijo tudi, kadar je to „potrebno zaradi izvrševanja določb instrumenta EU o medsebojni pomoči ali mednarodnega sporazuma o medsebojni pomoči“ (tako imenovana odredba na podlagi medsebojne pomoči (195)). Odredbe na podlagi medsebojne pomoči se izdajajo le v zvezi s prestrezanjem, ne pa tudi v zvezi s pridobivanjem komunikacijskih podatkov ali poseganjem v opremo. Ta ciljna pooblastila so urejena v zakonu o preiskovalnih pooblastilih iz leta 2016 (196), ki skupaj z zakonom o urejanju preiskovalnih pooblastil iz leta 2000, ki se uporablja v Angliji, Walesu in na Severnem Irskem (Regulation of Investigatory Powers Act 2000 (RIPA) for England, Wales and Northern Ireland), ter zakonom o urejanju preiskovalnih pooblastil iz leta 2000, ki se uporablja na Škotskem (Regulation of Investigatory Powers (Scotland) Act 2000 (RIPSA) for Scotland), pomeni pravno podlago ter določa omejitve in zaščitne ukrepe glede uporabe takih pooblastil. Zakon o preiskovalnih pooblastilih iz leta 2016 ureja tudi uporabo preiskovalnih pooblastil v večjem obsegu, čeprav ta niso na voljo organom za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj (uporabijo jih lahko le obveščevalne agencije) (197).

(141) Za izvrševanje teh pooblastil morajo organi pridobiti odredbo (198), ki jo izda pristojni organ (199) in odobri neodvisni pravosodni pooblaščenec (Judicial Commissioner) (200) (tako imenovani postopek z dvojnim varovalom). Za pridobitev take odredbe je treba opraviti preskus potrebnosti in sorazmernosti (201). Ker so ta ciljna preiskovalna pooblastila, določena v zakonu o preiskovalnih pooblastilih iz leta 2016, enaka tistim, ki so na voljo agencijam za nacionalno varnost, so pogoji, omejitve in zaščitni ukrepi, ki se uporabljajo pri takih pooblastilih, podrobneje obravnavani v oddelku o dostopu do osebnih podatkov in njihovi uporabi s strani javnih organov Združenega kraljestva za namene nacionalne varnosti (glej uvodno izjavo (177) in naslednje).

3.2.2 Nadaljnja uporaba zbranih informacij

(142) Glede izmenjave podatkov med organom za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj in drugim organom za namene, ki se razlikujejo od tistih, za katere so bili podatki prvotno zbrani (tako imenovana nadaljnja izmenjava), veljajo določeni pogoji.

(143) Podobno kot je določeno v členu 4(2) Direktive (EU) 2016/680 tudi člen 36(3) zakona o varstvu podatkov iz leta 2018 omogoča nadaljnjo obdelavo osebnih podatkov (s strani prvotnega ali drugega upravljavca), ki jih pristojni organ zbere za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, za kateri koli drug namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, če je upravljavec po zakonu pooblaščen za obdelavo podatkov za navedeni drug namen ter če je obdelava potrebna in sorazmerna glede na navedeni namen (202). V takem primeru se vsi zaščitni ukrepi iz dela 3 zakona o varstvu podatkov iz leta 2018, navedeni v uvodnih izjavah (122) in (124), uporabljajo za obdelavo, ki jo izvaja organ prejemnik.

(144) V okviru pravnega reda Združenega kraljestva različni zakoni izrecno omogočajo tako nadaljnjo izmenjavo. Zlasti (i) zakon o digitalnem gospodarstvu iz leta 2017 (Digital Economy Act 2017) omogoča izmenjavo med javnimi organi za več namenov, na primer v primeru kakršne koli goljufije zoper javni sektor, ki vključuje izgubo ali tveganje izgube za javne organe (203), ali v primeru dolga javnemu organu ali državi (204); (ii) zakon o kriminalu in sodiščih iz leta 2013 (Crime and Courts Act 2013), ki omogoča izmenjavo informacij z nacionalno agencijo za boj proti kriminalu (National Crime Agency (NCA)) (205) za namene boja proti hudim kaznivim dejanjem in organiziranemu kriminalu ter preiskovanja in pregona hudih kaznivih dejanj in organiziranega kriminala; (iii) zakon o hudih kaznivih dejanjih iz leta 2007 (Serious Crime Act 2007), ki javnim organom omogoča razkritje informacij organizacijam za boj proti goljufijam za namene preprečevanja goljufij (206).

(145) Ti zakoni izrecno določajo, da mora biti izmenjava informacij v skladu z načeli iz zakona o varstvu podatkov iz leta 2018. Poleg tega je strokovni organ uslužbencev policije (College of Policing) izdal dokument o odobreni strokovni praksi glede izmenjave informacij (207), ki je policiji v pomoč pri izpolnjevanju njenih obveznosti glede varstva podatkov na podlagi UK GDPR, zakona o varstvu podatkov in zakona o človekovih pravicah iz leta 1998. Skladnost izmenjave informacij s pravnim okvirom varstva podatkov, ki se uporablja, je seveda stvar sodne presoje (208).

(146) Nadalje, podobno kot člen 9 Direktive (EU) 2016/680 tudi zakon o varstvu podatkov iz leta 2018 določa, da se lahko osebni podatki, zbrani za kateri koli namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, obdelujejo za namene, ki ne spadajo na področje preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, če tako obdelavo omogoča zakon (209).

(147) Ta vrsta izmenjave vključuje dva primera: (1) ko organ za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj posreduje podatke organu z drugega področja, razen obveščevalni agenciji (na primer finančnemu ali davčnemu organu, organu za varstvo konkurence, socialnemu uradu za mladoletnike itd.), ter (2) ko organ za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj podatke posreduje obveščevalni agenciji. V prvem primeru obdelava osebnih podatkov spada na področje uporabe UK GDPR ter dela 2 zakona o varstvu podatkov iz leta 2018. Komisija je v uvodnih izjavah (12)–(111) ocenila zaščitne ukrepe iz UK GDPR in dela 2 zakona o varstvu podatkov iz leta 2018 ter ugotovila, da Združeno kraljestvo zagotavlja ustrezno raven varstva osebnih podatkov, ki se v okviru Uredbe (EU) 201