Brak porozumienia w sprawie wyjścia Wielkiej Brytanii z Unii poważnie utrudni życie polskim firmom transferującym dane osobowe do tego kraju.
Opublikowana w ostatnich dniach przez przewodniczącego Rady Europejskiej Donalda Tuska na Twitterze wiadomość o rozmowie przeprowadzonej z premier Wielkiej Brytanii Theresą May została odczytana przez komentatorów jako sugestia rysującego się porozumienia w sprawie brexitu. Wciąż jednak nierozwiązana została najważniejsza kwestia – granicy z Irlandią. Nadal trzeba brać więc pod uwagę najbardziej czarny scenariusz – twardy brexit. Ten zaś, poza licznymi innymi problemami oznacza jeden, o którym mało się mówi. Wielka Brytania stanie się wówczas tzw. państwem trzecim, jeśli chodzi o transfer danych osobowych. Z dnia na dzień zostanie więc zrównana z Chinami czy Wenezuelą.
Koniec swobody
– Oznaczałoby to olbrzymią przeszkodę dla polskich firm działających na rynku brytyjskim. Przedsiębiorstwa transferujące dane, a więc chociażby te z branży informatycznej i finansowej, będą miały dodatkowe obowiązki, których dzisiaj ich nie dotyczą – ubolewa Michael Dembinski z Brytyjsko-Polskiej Izby Handlowej.
Wielka Brytania przestanie być traktowana jak kraj bezpieczny dla transferu danych osobowych. Zostanie zrównana z Chinami.
Dziś dane osobowe mogą swobodnie wędrować między Polską a Wielką Brytanią. Jeśli dojdzie do twardego brexitu, to również będzie to możliwe, ale tylko po spełnieniu dodatkowych warunków. Wielka Brytania, choć powszechnie uznawana za kraj o wyjątkowo wysokiej kulturze ochrony danych osobowych, przestałaby bowiem być traktowana jako kraj bezpieczny. Miałaby więc status gorszy niż chociażby USA, do których transfer jest możliwy na podstawie przyjętej przez Komisję Europejską decyzji Privacy Shield (Tarcza Prywatności) o ile dana firma uzyska stosowną certyfikację.
Legalizacja transferu
Wszystkich potencjalnych kłopotów uda się uniknąć, jeśli dojdzie do porozumienia między UE a Wielką Brytanią.
– Ustalenia dotyczące ochrony danych są od dawna wynegocjowane. Z informacji przekazanych przez Komisję Europejską wynika, że przez dwa lata od wyjścia Wielkiej Brytanii z Unii Europejskiej obowiązywałyby dotychczasowe zasady. Innymi słowy, dane osobowe między Polską a Wielką Brytanią mogłyby wciąż bez problemu być przekazywane – tłumaczy Piotr Drobek, dyrektor Zespołu Strategii i Analiz Urzędu Ochrony Danych Osobowych.
– Problem w tym, że ustalenia te są częścią ogólnego porozumienia. Jeśli do niego nie dojdzie i nastąpi twardy brexit, to od 29 marca 2019 r. Wielka Brytania będzie traktowana jak każdy inny kraj trzeci i transfer danych osobowych będzie mógł się odbywać tylko po spełnieniu warunków określonych w rozdziale V RODO – zaznacza ekspert.
Firmy z Polski działające na rynku brytyjskim i współpracujące z tamtejszymi przedsiębiorstwami będą więc nadal mogły to robić, ale na innych warunkach.
– Twardy brexit nie zablokuje możliwości transferu danych z Polski do Wielkiej Brytanii, ale będzie oznaczał dodatkowe obowiązki i koszty obsługi prawnej w tym zakresie – tłumaczy dr Grzegorz Sibiga, adwokat w kancelarii Traple Konarski Podrecki i Wspólnicy, kierownik Zakładu Prawa Administracyjnego w Instytucie Nauk Prawnych Państwowej Akademii Nauk.
Tłumaczy, że przedsiębiorca będzie przede wszystkim musiał wskazać przesłankę legalizacyjną transferu, ponieważ Wielka Brytania stanie się państwem trzecim.
– Może oprzeć eksport danych chociażby na standardowych klauzulach umownych wprowadzonych decyzjami Komisji Europejskiej, oczywiście jeśli procesor czy administrator z Wielkiej Brytanii zgodzi się na ich wprowadzenie do kontraktu – tłumaczy prawnik.
Standardowe klauzule umowne to gotowy pakiet postanowień, które mają gwarantować odpowiedni stopień ochrony danych. Należy je po prostu wpisać do umowy zawieranej z podmiotem z państwa trzeciego, któremu zostaną przekazane dane (czy to jako administratorowi, czy procesorowi). Gwarantują one nie tylko odpowiedni sposób postępowania z danymi, ale także przesądzają w zakresie rozstrzygania ewentualnych sporów.
Innym sposobem na legalizację transferu mogą być tzw. wiążące reguły korporacyjne. Chodzi o wewnętrzne regulacje stosowane np. w ramach międzynarodowego koncernu. Muszą one zostać zatwierdzone przez właściwe organy nadzorcze (w Polsce byłby to prezes Urzędu Ochrony Danych Osobowych).
Decyzja Komisji Europejskiej
W przypadku twardego brexitu najkorzystniejszym rozwiązaniem byłoby bez wątpienia uznanie, że Wielka Brytania jest krajem bezpiecznym, jeśli chodzi o ochronę danych osobowych. Dzięki temu transfer danych mógłby się odbywać praktycznie na tych samych zasadach jak do krajów z UE. Formalną decyzję w tej sprawie może podjąć jedynie Komisja Europejska.
– Zgodnie z RODO jedynie KE może stwierdzić, że dane państwo, w tym przypadku Wielka Brytania, zapewnia odpowiedni stopień ochrony. Poszczególne państwa członkowskie nie mają tu nic do powiedzenia. Choć więc powszechnie uznaje się, że Wielka Brytania jest krajem bezpiecznym, w którym przestrzega się zasad ochrony danych, to potwierdzić to musiałaby Komisja, co oczywiście nie nastąpi z dnia na dzień – zauważa Piotr Drobek.
Nie będzie problemu, jeśli zostanie wynegocjowane porozumienie. Dwuletni okres przejściowy dałby Komisji czas na wydanie decyzji o zapewnieniu odpowiedniego stopnia ochrony przez Wielką Brytanię. Przy twardym brexicie co najmniej przez kilka miesięcy firmy będą musiały sobie jednak radzić bez takiej decyzji, na podstawie wskazanych wcześniej przesłanek legalizujących transfer.
Szczególne przypadki
W wyjątkowych sytuacjach, gdy przedsiębiorca nie spełni żadnego ze wskazanych warunków, może jeszcze szukać ratunku w art. 49 RODO. Przepis ten wskazuje na sytuacje, gdy transfer danych jest możliwy ze względu na interes osoby, o której dane chodzi. Będzie to możliwe po poinformowaniu jej o ryzyku i wyrażeniu wyraźnej zgody, ale także wtedy, gdy przekazanie jest niezbędne do wykonania umowy czy ze względu na ważny interes publiczny.