Komisja Europejska odnowiła w grudniu 2024 roku decyzje o adekwatności poziomu ochrony danych osobowych dla Wielkiej Brytanii, gwarantując swobodny i bezpieczny przepływ informacji między Unią Europejską a Zjednoczonym Królestwem przez kolejne sześć lat – do 27 grudnia 2031 roku.
Kontynuacja współpracy po Brexicie
Oryginalne decyzje o adekwatności przyjęte 28 czerwca 2021 roku miały obowiązywać przez cztery lata i wygasały 27 czerwca 2025 roku. Ze względu na trwające w Wielkiej Brytanii prace legislacyjne nad ustawą Data (Use and Access) Act, w marcu 2025 roku Komisja Europejska zaproponowała najpierw techniczne przedłużenie o sześć miesięcy – do 27 grudnia 2025 roku. Ostatecznie w grudniu 2024 roku podjęto decyzję o pełnym odnowieniu na okres sześciu lat.
Decyzje dotyczą dwóch kluczowych przepisów: ogólnego rozporządzenia o ochronie danych (RODO) oraz dyrektywy o ochronie danych w sprawach karnych. Dzięki tym rozstrzygnięciom przedsiębiorstwa i instytucje z krajów Europejskiego Obszaru Gospodarczego mogą przekazywać dane osobowe do Wielkiej Brytanii bez konieczności stosowania dodatkowych zabezpieczeń czy uzyskiwania specjalnych zezwoleń.
Znaczenie dla przedsiębiorstw i obywateli
Komisarz UE do spraw demokracji, wymiaru sprawiedliwości, praworządności i ochrony konsumentów Michael McGrath podkreślił, że decyzje o adekwatności stanowią centralny filar partnerstwa z Wielką Brytanią. Umożliwiają swobodny przepływ danych osobowych, co ma kluczowe znaczenie dla wymiany handlowej oraz współpracy w dziedzinie wymiaru sprawiedliwości i egzekwowania prawa.
Wiceprzewodnicząca wykonawcza Komisji Europejskiej ds. suwerenności technologicznej, bezpieczeństwa i demokracji Henna Virkkunen zwróciła uwagę, że odnowienie decyzji przynosi korzyści przedsiębiorstwom i obywatelom po obu stronach kanału La Manche. Zapewnia swobodny przepływ danych osobowych między EOG a Wielką Brytanią przy pełnej zgodności z przepisami o ochronie danych, jednocześnie zmniejszając koszty i obciążenia administracyjne.
Ocena systemu ochrony danych
Komisja Europejska przeprowadziła kompleksową ocenę brytyjskiego systemu ochrony danych osobowych, w tym analizę niedawno uchwalonej ustawy Data (Use and Access) Act, która weszła w życie 20 sierpnia 2025 roku. Według dokumentów Komisji poziom ochrony w Wielkiej Brytanii pozostaje zasadniczo równoważny z tym, który gwarantują przepisy unijne.
Europejska Rada Ochrony Danych (EDPB), która wydała opinię w październiku 2024 roku, z zadowoleniem przyjęła kontynuację dostosowania systemów ochrony danych Wielkiej Brytanii i Europy, mimo ostatnich zmian w brytyjskim porządku prawnym. Rada zauważyła jednak, że niektóre aspekty wymagają dalszego monitorowania, w tym nowe uprawnienia Sekretarza Stanu do wprowadzania zmian w systemie ochrony danych oraz zasady dotyczące przekazywania danych do państw trzecich.
Ograniczenia i mechanizmy kontrolne
Decyzja o adekwatności nie obejmuje przekazywania danych w celach kontroli migracyjnej Wielkiej Brytanii. To ograniczenie wynika z wcześniejszych orzeczeń brytyjskich sądów dotyczących interpretacji ograniczeń praw z zakresu ochrony danych w tym obszarze.
Komisja Europejska będzie na bieżąco monitorować brytyjski system ochrony danych osobowych, w tym warunki dalszego przekazywania danych, wykonywanie praw indywidualnych oraz zasady dostępu organów publicznych do danych. Oznacza to, że jakiekolwiek przyszłe zmiany w brytyjskim prawie dotyczącym ochrony danych będą mogły skutkować ponowną oceną lub nawet zawieszeniem decyzji o adekwatności.
Precedensowe rozwiązanie
Przedłużenie decyzji na określony czas – najpierw na cztery lata w 2021 roku, a teraz na sześć lat – stanowi precedensowe rozwiązanie. Komisja Europejska po raz pierwszy zastosowała mechanizm zwany „sunset clause” (klauzula zachodzącego słońca), który umożliwia elastyczne dostosowanie się do zmian w systemie prawnym państwa trzeciego, jakim po Brexicie stała się Wielka Brytania.
Takie podejście pozwala na utrzymanie bezpieczeństwa prawnego dla przedsiębiorstw i instytucji, które codziennie przekazują dane osobowe między UE a Wielką Brytanią, jednocześnie dając Komisji narzędzia do reagowania na ewentualne problematyczne zmiany w brytyjskim systemie ochrony danych.
Praktyczne konsekwencje
Dla polskich przedsiębiorców i instytucji odnowienie decyzji o adekwatności oznacza kontynuację możliwości swobodnego przekazywania danych osobowych do Wielkiej Brytanii bez konieczności wdrażania standardowych klauzul umownych czy innych dodatkowych mechanizmów ochronnych, które byłyby wymagane przy transferze danych do krajów bez decyzji o adekwatności.
Eksperci zwracają uwagę, że organizacje powinny jednak nadal monitorować sytuację i być przygotowane na ewentualne zmiany. Warto regularnie sprawdzać, czy decyzja o adekwatności pozostaje w mocy, szczególnie w kontekście planowanych reform brytyjskiego systemu ochrony danych.
Źródła:
- Komisja Europejska – komunikat prasowy IP/25/3059, dostępny na: https://ec.europa.eu/commission/presscorner/
- Europejska Rada Ochrony Danych (EDPB) – opinia ws. przedłużenia decyzji o adekwatności dla Wielkiej Brytanii, październik 2024
- Ministerstwo Cyfryzacji – Portal Gov.pl, artykuł „W samą porę! Jest decyzja o transferze danych do Wielkiej Brytanii”
- Urząd Ochrony Danych Osobowych – informacje o przekazywaniu danych do państw trzecich, https://uodo.gov.pl
- Portal Brexit.gov.pl – sekcja „Dane osobowe”
- Computer Weekly – „European Commission renews UK data adequacy agreement”, grudzień 2024
