Ugovor Reform UK-a cilja na UK GDPR
Reform UK objavio je dokument o politici namijenjen 5,7 milijuna malih tvrtki u zemlji, a jedno od njegovih glavnih obećanja je potpuno ukidanje UK GDPR-a. Dokument predlaže odbacivanje trenutnog okvira zaštite podataka i njegovu zamjenu pravilima po uzoru na novozelandski zakon o privatnosti, koji se temelji na 13 širokih načela umjesto britanskog sustava "pravnih osnova" za obradu osobnih podataka.
Ovo nije prvi put da Reform UK predlaže ukidanje GDPR-a. Stranka je ranije predložila "laganu" alternativu postojećem okviru, prijedlog koji su stručnjaci za zaštitu podataka i pravni analitičari već kritizirali kao neprovediv. Novi ugovor za mala poduzeća uklapa tu ambiciju u širu ponudu za smanjenje regulatornih opterećenja za tvrtke koje čine veliku većinu privatnog sektora Ujedinjenog Kraljevstva.
Načela protiv pravnih osnova: što se zapravo mijenja
UK GDPR, naslijeđen iz EU verzije nakon Brexita, zahtijeva od organizacija da utvrde konkretnu "pravnu osnovu" prije obrade bilo čijih osobnih podataka, opcije poput privole, ugovorne nužnosti, zakonske obveze ili legitimnog interesa. Svaka osnova dolazi s vlastitim uvjetima i zahtjevima za dokumentaciju, a od tvrtki se očekuje da opravdaju svoj izbor ako budu izazvane.
Novozelandski zakon o privatnosti zauzima drugačiji pristup. Umjesto da prisiljava organizacije da smjeste obradu podataka u unaprijed definirane pravne kategorije, on postavlja 13 načela informacijske privatnosti koja pokrivaju stvari poput prikupljanja, pohrane, korištenja i otkrivanja osobnih podataka. Usklađenost se procjenjuje prema tim širim standardima, a ne prema kontrolnom popisu pravnih osnova, a maksimalne kazne prema novozelandskom modelu su relativno skromne.
Zagovornici ovog pristupa tvrde da smanjuje papirologiju i pravnu nesigurnost za manje organizacije koje nemaju namjenske timove za usklađenost. Kritičari uzvraćaju da je sustave temeljene na načelima teže dosljedno provoditi i da mogu pojedincima ostaviti manje jasnoće o njihovim pravima, budući da ne postoji jedinstvena pravna osnova na koju se osoba može pozvati kada pita zašto su njezini podaci obrađeni na određeni način.
Pitanje adekvatnosti EU-a nadvisuje sve
Najvažnije pitanje u prijedlogu Reform UK-a zapravo nije o domaćim troškovima usklađenosti. Radi se o tome što se događa s sporazumom o adekvatnosti podataka Ujedinjenog Kraljevstva s Europskom unijom ako se temeljni zakon ovako dramatično promijeni.
Ujedinjeno Kraljevstvo trenutno ima odluku o adekvatnosti Europske komisije, koja omogućuje slobodan protok osobnih podataka između Ujedinjenog Kraljevstva i država članica EU-a bez dodatnih pravnih zaštitnih mjera. Ta odluka postoji jer su britanska pravila o zaštiti podataka nakon Brexita ocijenjena dovoljno sličnima standardima EU-a. Zamjena sustava pravnih osnova novozelandskim modelom načela predstavljala bi značajno odstupanje od te osnove, a odluke o adekvatnosti pregledavaju se periodično, ne dodjeljuju se trajno.
Ako bi Ujedinjeno Kraljevstvo izgubilo status adekvatnosti, tvrtke koje prenose osobne podatke u EU ili iz EU, što uključuje velik udio britanskih kompanija koje trguju s europskim kupcima ili koriste europske usluge u oblaku, morale bi se osloniti na alternativne pravne mehanizme poput standardnih ugovornih klauzula. To bi dodalo složenost i troškove, potencijalno potkopavajući upravo ono pojednostavljenje koje Reform UK obećava malim tvrtkama.
Što to znači za vas
Za sada je ovo političko obećanje u ugovoru oporbene stranke, a ne doneseni zakon. Ništa se ne mijenja odmah u načinu na koji britanske tvrtke prikupljaju, pohranjuju ili dijele vaše osobne podatke. UK GDPR ostaje u potpunosti na snazi, a tvrtke su još uvijek obvezne ispunjavati njegove trenutne zahtjeve u vezi s privolom, pravima ispitanika i obavješćivanjem o kršenju.
Ipak, raspravu je vrijedno pratiti ako vodite malu tvrtku ili vam je važno kako se vaši podaci obrađuju na internetu. Ukidanje ovakvih razmjera dotaknulo bi gotovo svaku web stranicu, aplikaciju i uslugu koja obrađuje podatke stanovnika Ujedinjenog Kraljevstva, a svako prijelazno razdoblje vjerojatno bi donijelo vlastitu zbrku dok se tvrtke prilagođavaju novim pravilima, a one okrenute EU-u čekaju da vide hoće li adekvatnost preživjeti.
Ako ste zabrinuti zbog načina na koji se vaši osobni podaci koriste neovisno o tome koji će se okvir na kraju primjenjivati, alati poput renomiranih VPN-ova, preglednika usmjerenih na privatnost i pažljivog pregleda dopuštenja aplikacija ostaju korisni načini za ograničavanje nepotrebnog izlaganja podataka. Pravni okviri postavljaju minimalne zahtjeve za ono što tvrtke moraju činiti, ali osobne navike vezane uz privatnost i dalje su važne povrh toga.
Ključni zaključci
Obećanje Reform UK-a o ukidanju GDPR-a za male tvrtke politički je prijedlog, a ne važeći zakon, pa se ne primjenjuju nikakve neposredne promjene u usklađenosti. Model po uzoru na Novi Zeland zamijenio bi pravne osnove s 13 širih načela, promjena koju su stručnjaci već označili kao tešku za čistu provedbu. Najveći rizik nije domaća birokracija, već može li Ujedinjeno Kraljevstvo zadržati status adekvatnosti podataka s EU-om pod znatno drugačijim zakonom o privatnosti. Svatko ko vodi britansku tvrtku s kupcima u EU-u, ili bilo koga tko jednostavno prati britansku politiku privatnosti, trebao bi pripaziti na razvoj ove rasprave umjesto da pretpostavlja da UK GDPR uskoro nigdje ne ide.
