Strana Reform UK Nigela Farage představila slib, že pokud se dostane k moci, roztrhá stávající rámec ochrany osobních údajů ve Spojeném království a nahradí jej tím, co strana nazývá „lehce nastaveným" zákonem o ochraně soukromí. Návrh byl široce odsouzen a kritici jej popisují jako neproveditelný a nevážný. Slib je součástí širšího příslibu strany Reform UK plošně omezit regulace, ale odborníci na ochranu osobních údajů a političtí oponenti varují, že vykuchání britských pravidel ochrany soukromí může mít vážné důsledky pro spotřebitele i podniky.

Co strana Reform UK vlastně navrhuje

Jádrem plánu je zrušení britského GDPR, tedy verze evropského obecného nařízení o ochraně osobních údajů, kterou si Británie ponechala po brexitu. Alternativa strany Reform UK by měla být údajně modelována podle novozélandského přístupu k ochraně osobních údajů, který je obecně považován za méně direktivní než rámec ve stylu EU, který Spojené království v současnosti dodržuje. Strana to rámcuje jako omezování byrokracie pro podniky, jako součást širší platformy postavené na snižování toho, co vnímá jako zatěžující regulace napříč ekonomikou.

V praxi britské GDPR v současnosti upravuje, jak organizace shromažďují, ukládají a používají osobní údaje. Vyžaduje, aby podniky před shromažďováním údajů získaly smysluplný souhlas, dává jednotlivcům práva na přístup k informacím o nich uchovávaným a jejich výmaz a ukládá sankce společnostem, které s osobními údaji zacházejí nesprávně nebo utrpí preventabilní úniky. Plán strany Reform UK by tuto strukturu z velké části omezil ve prospěch mírnějšího regulačního přístupu.

Proč kritici označují plán za neproveditelný

Odezva se soustředí na praktické i politické důsledky takového kroku. Kritici argumentují, že zrušení britského režimu ochrany osobních údajů v celém rozsahu by neznamenalo pouze snížení administrativní zátěže pro malé podniky. Mohlo by také ohrozit dohodu o přiměřenosti údajů s Evropskou unií, což je mechanismus, který umožňuje volný tok osobních údajů mezi Spojeným královstvím a členskými státy EU. Ztráta tohoto statusu přiměřenosti by mohla donutit společnosti obchodující s Evropou nebo v ní působící k zavedení nákladných náhradních opatření jen proto, aby mohly pokračovat v podnikání, což by podkopalo právě ty úspory nákladů, o kterých strana Reform UK tvrdí, že je sleduje.

Existují také obavy, co by slabší pravidla znamenala pro jednotlivce. Britské GDPR je jedním z mála konzistentních právních nástrojů, kterými běžní lidé mohou kontrolovat, jak jsou jejich osobní údaje používány – od požadavku, aby se společnosti ptaly před shromažďováním údajů, až po právo lidí vědět, co o nich organizace uchovávají. Rozmělnění těchto ochran bez jasného, podrobného náhradního rámce ponechává otevřené otázky, jaká práva, pokud vůbec nějaká, by zůstala zachována.

Tento druh napětí mezi deregulací a ochranou osobních údajů není pro Spojené království jedinečný. Jiné jurisdikce šly opačným směrem – zpřísňují vymáhání spíše než ho uvolňují. Například indický zákon o ochraně digitálních osobních údajů se přesunul od legislativní teorie ke skutečným finančním důsledkům, přičemž tamní regulátoři mohou ukládat pokuty až do výše 250 milionů rupií za závažná porušení. Tento kontrast poukazuje na to, jak daleko mimo současný globální trend by návrh strany Reform UK stál, pokud by byl realizován v popisované podobě.

Důsledky pro ochranu soukromí pro podniky a běžné uživatele

Prozatím je plán strany Reform UK politickým slibem, nikoli zákonem, a strana momentálně není ve vládě. Návrh ale zdůrazňuje širší bod, který stojí za zapamatování bez ohledu na to, kdo drží moc: regulace ochrany osobních údajů není statická a pravidla, která řídí nakládání s vašimi informacemi, se mohou měnit spolu s politickými změnami.

Podniky, zejména ty, které pracují s vzdálenými nebo distribuovanými týmy, by neměly čekat na legislativní jistotu, aby upevnily své vlastní postupy nakládání s údaji. Dobrá datová hygiena, šifrovaná připojení a jasné interní zásady přístupu k údajům jsou důležité bez ohledu na regulační minimum stanovené kteroukoli jednotlivou vládou. Organizace spravující vzdálené pracovníky najdou praktické pokyny v tomto průvodci VPN pro vzdálené týmy, který se zabývá tím, jak mohou podniky chránit data při přenosu a omezit expozici, i když se požadavky na soulad s předpisy vyvíjejí.

Co to znamená pro vás

Pokud jste obyvatel Spojeného království, tento příběh je připomínkou, že právní ochrany týkající se vašich osobních údajů nejsou zaručeny navždy. Práva, jako jsou žádosti o přístup k údajům, možnost odmítnout shromažďování údajů a právní náprava po úniku dat, všechna vycházejí ze současného rámce ochrany osobních údajů. Politický posun směrem k „lehce nastavenému" modelu by mohl znamenat méně záruk ohledně toho, jak jsou vaše informace používány, ukládány nebo prodávány.

Pro podniky je ponaučení jiné, ale příbuzné: nebudujte svou strategii ochrany osobních údajů čistě na minimálním zákonném požadavku daného okamžiku. Regulační prostředí se mění a společnosti, které přistupují k silným datovým postupům jako k základu, nikoli jako k odškrtávacímu cvičení, budou lépe připraveny bez ohledu na to, kterým směrem se budoucí politika vydá.

Klíčové poznatky

  • Strana Reform UK slíbila zrušit britské GDPR a nahradit jej mírnějším regulačním modelem, pokud se dostane do vlády, což sklidilo kritiku jako „neproveditelné a nevážné".
  • Plán by mohl ohrozit dohodu o přiměřenosti údajů s EU, což by potenciálně zvýšilo náklady pro podniky obchodující s Evropou.
  • Spotřebitelé by měli zůstat informováni o navrhovaných změnách zákona o ochraně osobních údajů, protože práva, jako je souhlas a přístup k údajům, nejsou zaručena na dobu neurčitou.
  • Podniky by měly upřednostňovat silné postupy ochrany osobních údajů nezávisle na regulačním minimu, zejména ty, které spravují vzdálené nebo distribuované týmy.