Smlouva Reform UK cílí na britské GDPR

Reform UK zveřejnila dokument s politikou zaměřený na 5,7 milionu malých podniků v zemi a jedním z jejích hlavních slibů je úplné zrušení britského GDPR. Dokument navrhuje zrušit současný rámec ochrany osobních údajů a nahradit jej pravidly inspirovanými novozélandským zákonem o soukromí, který je postaven na 13 širokých principech namísto britského systému „právních základů" pro zpracování osobních údajů.

Není to poprvé, co Reform UK přišla s myšlenkou roztrhat GDPR. Strana již dříve navrhla „odlehčenou" alternativu ke stávajícímu rámci, což experti na ochranu osobních údajů a právní analytici již kritizovali jako neproveditelné. Nová smlouva pro malé podniky tuto ambici začleňuje do širší nabídky na snížení regulatorní zátěže pro firmy, které tvoří drtivou většinu britského soukromého sektoru.

Principy versus právní základy: Co se skutečně mění

Britské GDPR, převzaté z verze EU po brexitu, vyžaduje, aby organizace před zpracováním osobních údajů kohokoli identifikovaly konkrétní „právní základ" – možnosti jako souhlas, smluvní nezbytnost, právní povinnost nebo oprávněný zájem. Každý základ má své vlastní podmínky a požadavky na dokumentaci a firmy musí svou volbu odůvodnit, pokud jsou zpochybněny.

Novozélandský zákon o soukromí zaujímá odlišný přístup. Místo toho, aby nutil organizace zařazovat zpracování dat do předem definovaných právních kategorií, stanoví 13 principů informačního soukromí pokrývajících věci jako shromažďování, uchovávání, používání a zveřejňování osobních informací. Soulad se posuzuje podle těchto širších standardů namísto kontrolního seznamu právních základů a maximální sankce podle novozélandského modelu jsou poměrně mírné.

Zastánci tohoto přístupu tvrdí, že snižuje papírování a právní nejistotu pro menší organizace, které nemají vyhrazené týmy pro compliance. Kritici namítají, že systémy založené na principech mohou být obtížněji vymahatelné konzistentně a mohou jednotlivcům zanechat menší jasno o jejich právech, protože neexistuje jediný právní základ, na který by se člověk mohl odvolat při dotazu, proč byly jeho údaje zpracovány určitým způsobem.

Otázka adequacy vůči EU visí ve vzduchu

Nejzávažnější otázka v návrhu Reform UK ve skutečnosti není o domácích nákladech na compliance. Jde o to, co se stane s dohodou o adekvátnosti dat mezi Spojeným královstvím a Evropskou unií, pokud se základní zákon tak dramaticky změní.

Spojené království v současnosti disponuje rozhodnutím o adekvátnosti od Evropské komise, které umožňuje volný tok osobních údajů mezi Spojeným královstvím a členskými státy EU bez dodatečných právních záruk. Toto rozhodnutí existuje proto, že pravidla ochrany osobních údajů Spojeného království po brexitu byla posouzena jako dostatečně podobná standardům EU. Nahrazení systému právních základů modelem principů ve stylu Nového Zélandu by představovalo významný odklon od tohoto základu a rozhodnutí o adekvátnosti jsou přezkoumávána pravidelně, nikoli udělována trvale.

Pokud by Spojené království ztratilo status adekvátnosti, firmy, které přenášejí osobní údaje do EU nebo z EU – což zahrnuje velký podíl britských společností obchodujících s evropskými zákazníky nebo využívajících evropské cloudové služby – by se musely spolehnout na alternativní právní mechanismy, jako jsou standardní smluvní doložky. To by přidalo složitost a náklady, což by potenciálně podkopalo právě to zjednodušení, které Reform UK malým firmám slibuje.

Co to znamená pro vás

Prozatím jde o politický slib ve smlouvě opoziční strany, nikoli o platný zákon. Nic se okamžitě nemění na tom, jak jsou vaše osobní údaje shromažďovány, uchovávány nebo sdíleny britskými firmami. Britské GDPR zůstává plně v platnosti a společnosti jsou stále povinny splňovat jeho současné požadavky týkající se souhlasu, práv subjektů údajů a oznamování porušení.

Nicméně tato debata stojí za sledování, pokud provozujete malý podnik nebo vám záleží na tom, jak jsou vaše data zpracovávána online. Zrušení tohoto rozsahu by se dotklo téměř každého webu, aplikace a služby, které zpracovávají informace obyvatel Spojeného království, a jakékoli přechodné období by pravděpodobně přineslo vlastní zmatek, když se firmy přizpůsobují novým pravidlům, zatímco společnosti orientované na EU čekají, zda adekvátnost přežije.

Pokud vás zajímá, jak jsou vaše osobní údaje používány bez ohledu na to, který rámec nakonec bude platit, nástroje jako renomované VPN, prohlížeče zaměřené na soukromí a pečlivá kontrola oprávnění aplikací zůstávají užitečnými způsoby, jak omezit zbytečné vystavení datům. Právní rámce stanovují minimum toho, co společnosti musí dělat, ale na tom ještě záleží na individuálních návycích v oblasti soukromí.

Klíčové poznatky

Slib Reform UK zrušit GDPR pro malé firmy je politický návrh, nikoli platný zákon, takže neplatí žádné okamžité změny v compliance. Model ve stylu Nového Zélandu by nahradil právní základy 13 širšími principy, což je posun, který experti již označili za obtížně čistě proveditelný. Největší riziko není domácí byrokracie, ale zda by Spojené království mohlo udržet svůj status adekvátnosti vůči EU podle podstatně odlišného zákona o soukromí. Každý, kdo provozuje britskou firmu s zákazníky v EU, nebo kdokoli, kdo jednoduše sleduje britskou politiku soukromí, by měl sledovat, jak se tato debata vyvíjí, místo aby předpokládal, že britské GDPR někam zmizí.