Kontrakt Reform UK wymierzony w brytyjskie RODO

Reform UK opublikowała dokument polityczny skierowany do 5,7 miliona małych przedsiębiorstw w kraju, a jedną z jego głównych obietnic jest całkowite uchylenie brytyjskiego RODO. Dokument proponuje likwidację obecnych ram ochrony danych i zastąpienie ich przepisami wzorowanymi na nowozelandzkim prawie o ochronie prywatności, które opiera się na 13 szerokich zasadach, a nie na brytyjskim systemie „podstaw prawnych" przetwarzania danych osobowych.

Nie jest to pierwszy raz, gdy Reform UK rozważa rozmontowanie RODO. Partia już wcześniej proponowała „lekkie" alternatywne rozwiązanie wobec istniejących ram, które eksperci ds. ochrony danych i analitycy prawni określili jako niewykonalne. Nowy kontrakt dla małych firm wpisuje tę ambicję w szerszą propozycję ograniczenia obciążeń regulacyjnych dla firm stanowiących zdecydowaną większość brytyjskiego sektora prywatnego.

Zasady kontra podstawy prawne: co właściwie się zmienia

Brytyjskie RODO, odziedziczone po wersji unijnej po brexicie, wymaga od organizacji zidentyfikowania konkretnej „podstawy prawnej" przed przetwarzaniem czyichkolwiek danych osobowych — opcji takich jak zgoda, konieczność umowna, obowiązek prawny czy uzasadniony interes. Każda podstawa wiąże się z własnymi warunkami i wymogami dokumentacyjnymi, a przedsiębiorstwa muszą uzasadnić swój wybór w razie zakwestionowania.

Nowozelandzka ustawa o ochronie prywatności przyjmuje inne podejście. Zamiast zmuszać organizacje do przypisywania przetwarzania danych do z góry określonych kategorii prawnych, ustanawia 13 zasad ochrony informacji obejmujących takie kwestie jak gromadzenie, przechowywanie, wykorzystywanie i ujawnianie danych osobowych. Zgodność jest oceniana według tych szerszych standardów, a nie listy kontrolnej podstaw prawnych, a maksymalne kary w nowozelandzkim modelu są stosunkowo niewielkie.

Zwolennicy tego podejścia argumentują, że zmniejsza ono biurokrację i niepewność prawną dla mniejszych organizacji, które nie mają dedykowanych zespołów ds. zgodności. Krytycy odpowiadają, że systemy oparte na zasadach mogą być trudniejsze do konsekwentnego egzekwowania i mogą pozostawiać jednostkom mniejszą jasność co do ich praw, ponieważ nie istnieje jedna podstawa prawna, na którą można się powołać, pytając, dlaczego dane zostały przetworzone w określony sposób.

Kwestia adekwatności wobec UE nabiera znaczenia

Najistotniejsza kwestia w propozycji Reform UK nie dotyczy tak naprawdę krajowych kosztów zgodności. Chodzi o to, co stanie się z umową o adekwatności danych między Wielką Brytanią a Unią Europejską, jeśli podstawowe prawo zmieni się tak drastycznie.

Wielka Brytania posiada obecnie decyzję o adekwatności od Komisji Europejskiej, która pozwala na swobodny przepływ danych osobowych między Wielką Brytanią a państwami członkowskimi UE bez dodatkowych zabezpieczeń prawnych. Decyzja ta istnieje, ponieważ brytyjskie przepisy o ochronie danych po brexicie uznano za wystarczająco podobne do standardów UE. Zastąpienie systemu podstaw prawnych modelem zasad wzorowanym na Nowej Zelandii stanowiłoby znaczące odejście od tego punktu odniesienia, a decyzje o adekwatności są poddawane okresowym przeglądom, a nie przyznawane na stałe.

Gdyby Wielka Brytania utraciła status adekwatności, przedsiębiorstwa przekazujące dane osobowe do lub z UE — co dotyczy dużej części brytyjskich firm handlujących z europejskimi klientami lub korzystających z europejskich usług chmurowych — musiałyby polegać na alternatywnych mechanizmach prawnych, takich jak standardowe klauzule umowne. Dodałoby to złożoności i kosztów, potencjalnie podważając samo uproszczenie, które Reform UK obiecuje małym firmom.

Co to oznacza dla Ciebie

Na razie to obietnica polityczna w kontrakcie partii opozycyjnej, a nie obowiązujące prawo. Nic nie zmienia się natychmiast w sposobie, w jaki brytyjskie firmy gromadzą, przechowują lub udostępniają Twoje dane osobowe. Brytyjskie RODO pozostaje w pełni w mocy, a firmy są nadal zobowiązane do spełniania jego obecnych wymogów dotyczących zgody, praw osób, których dane dotyczą, oraz zgłaszania naruszeń.

Mimo to debata jest warta obserwowania, jeśli prowadzisz małą firmę lub zależy Ci na tym, jak Twoje dane są przetwarzane online. Uchylenie tej skali dotknęłoby niemal każdej strony internetowej, aplikacji i usługi przetwarzającej informacje mieszkańców Wielkiej Brytanii, a ewentualny okres przejściowy prawdopodobnie przyniósłby własne zamieszanie, gdy firmy dostosowują się do nowych przepisów, a przedsiębiorstwa działające na rynku UE czekają, czy adekwatność przetrwa.

Jeśli niepokoisz się o to, jak wykorzystywane są Twoje dane osobowe, niezależnie od tego, które ramy ostatecznie będą obowiązywać, narzędzia takie jak renomowane VPN-y, przeglądarki skoncentrowane na prywatności i staranna weryfikacja uprawnień aplikacji pozostają użytecznymi sposobami ograniczania niepotrzebnego ujawniania danych. Ramy prawne wyznaczają minimum tego, co firmy muszą robić, ale indywidualne nawyki dotyczące prywatności wciąż mają znaczenie dodatkowo.

Najważniejsze wnioski

Obietnica uchylenia RODO przez Reform UK dla małych firm to propozycja polityczna, a nie obecne prawo, więc nie mają zastosowania żadne natychmiastowe zmiany w zakresie zgodności. Model wzorowany na Nowej Zelandii zastąpiłby podstawy prawne 13 szerszymi zasadami — zmiana, którą eksperci już określili jako trudną do czystego wdrożenia. Największe ryzyko nie dotyczy krajowej biurokracji, lecz tego, czy Wielka Brytania mogłaby utrzymać status adekwatności danych wobec UE w ramach zasadniczo odmiennego prawa o ochronie prywatności. Każdy, kto prowadzi brytyjską firmę z klientami w UE, lub ktokolwiek po prostu śledzący brytyjską politykę prywatności, powinien obserwować, jak rozwija się ta debata, zamiast zakładać, że brytyjskie RODO wkrótce zniknie.