Source: https://www.e-regulaminy.pl/2019/01/11/brexit-a-rodo/
Timestamp: 2020-06-04 18:05:49
Legal References Found: art. 45
 art. 49
 art. 46
 art. 45
 art. 13
 art. 45

Document Content:
BREXIT a RODO - e-Regulaminy.pl
W dniu 3 stycznia 2018 r. w siedzibie Ministerstwa Cyfryzacji odbyło się posiedzenie planarne Grupy Roboczej ds. Ochrony Danych Osobowych, której członkiem jest członek naszego zespołu – Anna Mrozowska. Głównym tematem dyskusji były konsekwencje wystąpienia Wielkiej Brytanii z Unii Europejskiej w kontekście RODO oraz transferu danych.
Jak wskazał prowadzący spotkanie dr Maciej Kawecki (Dyrektor Departamentu Zarządzania Danymi MC), BREXIT zbliża się nieubłaganie i należy przygotować się na tzw. „twarde wyjście”, bez umowy regulującej późniejsze relacje między Wielką Brytanią w Unią Europejską. Przypomnijmy, że ma ona opuścić wspólnotę 30 marca 2019 o godz. 00:00 (29 marca 2019 o godzinie 23.00 wg czasu brytyjskiego). Jeżeli nie nastąpi przedłużenie negocjacji lub umowa nie zostanie zawarta powstanie chaos prawny, również w aspekcie danych osobowych.
W momencie wystąpienia z UE Wielka Brytania stanie się państwem trzecim w rozumieniu rozporządzenia ogólnego o ochronie danych 2016/679 (dalej „RODO”) ze wszystkimi konsekwencjami wynikającymi z tego aktu prawnego. Znajdziemy się w nowej rzeczywistości prawnej – często korzystamy bowiem z hostingu, aplikacji oraz innych usług elektronicznych dostarczanych przez podmioty brytyjskie. Szereg problemów pojawi się również np. na gruncie usług turystycznych, ubezpieczeniowych czy pośrednictwa pracy.
RODO w rozdziale 5 wymienia warunki, jakie muszą zostać spełnione, aby można było legalnie przekazać dane osobowe do państwa trzeciego. Konstrukcja przepisów ma charakter „kaskadowy”. Po kolejne rozwiązania należy sięgać w przypadku gdy nie można spełnić warunków uregulowanych w przepisach wcześniejszych – począwszy od art. 45, który wskazuje, że podstawą przekazania może być decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony. Komisja wydała szereg takich decyzji, uznając za kraje bezpieczne: Andorę, Argentynę, Australię, Izrael, Kanadę, Nową Zelandię, Szwajcarię oraz tereny częściowo zależne – Jersey, Wyspy Owcze, Wyspę Man oraz Guernsey. W dniu 12 lipca 2016 r. Komisja Europejska wydała również decyzję wykonawczą (UE) 2016/1250 w sprawie adekwatności ochrony zapewnianej przez Tarczę Prywatności UE-USA, która umożliwia przekazywanie danych osobowych importerom, którzy przystąpią do tego programu. Obecnie Komisja Europejska nie pracuje nad decyzją, która stwierdzałaby odpowiedni stopień ochrony Wielkiej Brytanii po opuszczeniu przez nią wspólnoty europejskiej. Po 30 marca należy zatem szukać innego rozwiązania prawnego.
W razie braku decyzji administrator lub podmiot przetwarzający mogą przekazać dane osobowe do państwa trzeciego lub organizacji międzynarodowej wyłącznie, gdy zapewnią właściwe zabezpieczenia, i pod warunkiem, że obowiązują egzekwowalne prawa osób, których dane dotyczą, i skuteczne środki ochrony prawnej (art. 46 RODO).
Właściwe zabezpieczenia, można zapewnić – bez konieczności uzyskania specjalnego zezwolenia ze strony organu nadzorczego – za pomocą:
W razie uzyskania zezwolenia właściwego organu nadzorczego, odpowiednie zabezpieczenia, o których mowa powyżej, można także zapewnić w szczególności za pomocą:
Zgodnie z art. 49 ust. 1 RODO, w sytuacji braku decyzji stwierdzającej odpowiedni stopień ochrony, jak i braku odpowiednich zabezpieczeń uregulowanych w art. 46 RODO, jednorazowe lub wielokrotne przekazanie danych osobowych do państwa trzeciego (lub organizacji międzynarodowej) może nastąpić tylko pod warunkiem, że:
Jeżeli przekazanie nie może się opierać na art. 45 ani 46 RODO, w tym na przepisach dotyczących wiążących reguł korporacyjnych, i nie ma zastosowania ani jeden z wyjątków mających zastosowanie w szczególnych sytuacjach opisanych powyżej, przekazanie do państwa trzeciego może nastąpić wyłącznie, gdy przekazanie nie jest powtarzalne, dotyczy tylko ograniczonej liczby osób, których dane dotyczą, jest niezbędne ze względu na ważne prawnie uzasadnione interesy realizowane przez administratora, wobec których charakteru nadrzędnego nie mają interesy ani prawa i wolności osoby, której dane dotyczą a administrator ocenił wszystkie okoliczności przekazania danych i na podstawie tej oceny zapewnił odpowiednie zabezpieczenia w zakresie ochrony danych osobowych. Administrator informuje organ nadzorczy o przekazaniu. Poza informacjami, o których mowa w art. 13 i 14 RODO, administrator podaje osobie, której dane dotyczą, także informacje o przekazaniu i o ważnych prawnie uzasadnionych interesach realizowanych przez niego.
W najgorszym wypadku – czyli wyjściu Wielkiej Brytanii z Unii Europejskiej bez zawartej umowy (na zasadzie „twardego wyjścia”, „no deal Brexit”) oprócz legalizacji transferu danych na zasadach opisanych powyżej, administratorzy i podmioty przetwarzające muszą pamiętać o innych obowiązkach wynikających z RODO. W szczególności konieczna będzie odpowiednia aktualizacja obowiązków informacyjnych (art. 13 i 14 RODO) oraz zmiany w rejestrze czynności i kategorii czynności przetwarzania (art. 30 RODO).
Najbardziej korzystnym i najprostszym rozwiązaniem byłoby bez wątpienia uznanie decyzją Komisji Europejskiej, że Wielka Brytania jest krajem o odpowiednim stopniu ochrony danych (zgodnie z art. 45 RODO). W takim przypadku jedyne co przedsiębiorcy musieliby zrobić to zaktualizować obowiązki informacyjne oraz wewnętrzną dokumentację. Nie byłoby problemu w przypadku wynegocjowania porozumienia. Dwuletni okres przejściowy dałby Komisji czas na wydanie stosownej decyzji. „Twarde wystąpienie” z UE (na które niestety się zanosi) spowoduje jednak, iż przez co najmniej kilka miesięcy przedsiębiorstwa będą musiały sobie jednak radzić bez takiej decyzji, na podstawie wskazanych w artykule przesłanek legalizujących transfer (art. 46 – 49 RODO).
← „Znaki ochronne ®, ©, TM, SM – co oznaczają?”	„Gdzie szukać informacji na temat ogólnego rozporządzenia o ochronie danych (RODO)?” →