Volný pohyb osobních údajů do Velké Británie pokračuje

Volný pohyb osobních údajů do Velké Británie pokračuje

29. června 2021
Předmět Tax Alert
Kategorie Právo

Zobrazit zdroje

Evropská komise vydala 28. června 2021 rozhodnutí, že Velká Británie zajišťuje odpovídající úroveň ochrany osobních údajů. I nadále tedy mohou být osobní údaje předávány do Velké Británie bez nutnosti jakýchkoli dalších opatření platných pro předávání do třetích zemí.

Situace po Brexitu

Nejpozději do konce června 2021 platil na základě dohody o budoucích vztazích uzavřené mezi EU a Velkou Británií přechodný režim, dle kterého zůstávalo nařízení o ochraně osobních údajů (GDPR) na území Velké Británie nadále v platnosti.

Těsně před uplynutím přechodného období Evropská komise dokončila přezkum právní situace ochrany osobních údajů ve Velké Británii po Brexitu. Konstatovala, že právní režim se nezměnil a Velká Británie do svého právního řádu přejala zásady, práva a povinnosti vyplývající z GDPR. Komise proto přijala rozhodnutí o odpovídající ochraně, na jehož základě mohou subjekty zpracovávající osobní údaje v režimu GDPR tyto údaje předávat do Velké Británie i bez zajištění vhodných záruk.

Rozhodnutí o odpovídající ochraně a další režimy předávání osobních údajů do třetích zemí

Stejný režim volného pohybu osobních údajů na základě rozhodnutí Evropské komise o odpovídající ochraně platí například pro Švýcarsko, Kanadu, Nový Zéland či Japonsko.

Na rozdíl od těchto rozhodnutí, která byla vydána na dobu neurčitou, však bylo rozhodnutí o odpovídající ochraně ve vztahu k Velké Británii poprvé vydáno na omezenou dobu, konkrétně na čtyři roky. Poté má být situace přezkoumána a v případě, že bude ochrana nadále dostatečná, vydáno rozhodnutí nové. Evropská komise zároveň v rozhodnutí ujišťuje, že i během této čtyřleté lhůty bude situaci ve Velké Británii pečlivě sledovat a na jakékoli případné zhoršení ochrany osobních údajů adekvátně reagovat.

K předávání osobních údajů do zemí mimo EU, pro které Evropská komise rozhodnutí o odpovídající ochraně nevydala, musí správce uzavřít s příjemcem v dané třetí zemi standardní smluvní doložky, případně musí mít příjemce schválena závazná podniková pravidla, nebo musí být uplatněny jiné vhodné záruky ochrany osobních údajů dle článku 46 GDPR (případně výjimky dle článku 49 GDPR).

V případě zájmu o podrobnější informace se prosím obraťte na autory článku nebo na další členy advokátní kanceláře EY Law či týmu EY, se kterým spolupracujete.

Autoři:

Ondřej Havránek

Barbora Suchá

  • Tax Alert - English version

    Free movement of personal data to UK continues

    On 28 June 2021 the European Commission issued a decision that UK ensures an adequate level of personal data protection. Therefore, personal data can still be transferred to the United Kingdom without the need for any further measures applicable to data transfers to third countries.

    Post-Brexit situation

    By the end of June 2021 at the latest, a transitional regime was in force under the EU-UK Future Relationship Agreement under which the Data Protection Regulation (GDPR) remained in force on the territory of the United Kingdom.

    Just before the end of the transitional period the Commission carefully assessed the UK's law and practice on personal data protection in the United Kingdom after Brexit. The Commission concluded that the legal regime has not changed and the United Kingdom has incorporated into its national law the principles, rights and obligations arising from GDPR. As a result, the Commission has adopted an adequacy decision on the grounds of which entities processing personal data in the GDPR regime may transfer the data to the United Kingdom without ensuring proper guarantees.

    Decision on adequate protection and other regimes of personal data flows to third countries

    The same regime for free movement of personal data based on the European Commission´s adequacy decision applies, for example, to Switzerland, Canada, New Zealand or Japan.

    However, unlike these decisions, which were issued for an indefinite period, the adequacy decision in relation to the United Kingdom was issued for the first time for a limited period, namely for four years. Then the situation should be reviewed and if the protection is still adequate a new decision would be issued. At the same time, the European Commission assures in its decision that, even during this four-year period, it will closely monitor the situation in the United Kingdom and respond adequately to any possible deterioration in the protection of personal data.

    For the transfer of personal data to non-EU countries for which the European Commission has not issued an adequacy decision, the controller must conclude standard contractual clauses with the recipient in the third country in question or the recipient must have binding corporate rules in place or other appropriate safeguards must be applied to protect personal data in compliance with Article 46 GDPR (or exemption under Article 49 GDPR).

    If you wish to learn more details please contact the authors of the article or other members of EY Law or your regular EY team.

    Authors:

    Ondřej Havránek

    Barbora Suchá