Nowe UK-GDPR i poprawiona ustawa o ochronie danych (Data Protection Act 2018), które weszły w życie 31 stycznia 2020, wpływają na to, jak właściciele stron internetowych muszą uzyskiwać i przechowywać zgody od użytkowników z Wielkiej Brytanii i Unii Europejskiej.
Wypróbuj nasz darmowy test zgodności, aby sprawdzić, czy użycie plików cookie i śledzenie na Twojej stronie spełniają wymogi RODO.
Wielka Brytania wychodzi z UE 31 stycznia 2020.
Po opuszczeniu Unii UK nie będzie już dłużej regulowane wewnętrznie poprzez europejskie Rozporządzenie o Ochronie Danych Osobowych (ang. General Data Protection Regulation – GDPR).
Zamiast tego, Brytania uchwala własną wersję prawa, znaną jako UK-GDPR (United Kingdom General Data Protection Regulation).
Wejdzie ono w życie w „Dzień Wyjścia”, 31 stycznia 2020.
W tym wpisie przyjrzymy się “nowemu” brytyjskiemu prawu dotyczącemu danych.
UK-GDPR – przedział czasowy
Niektórzy mogą się zastanawiać: czy teraz są dwa RODO? O co chodzi?
Cóż, Wielka Brytania opuszcza Unię Europejską 31 stycznia 2020 i w tym momencie umowa o wystąpieniu przyjęta w Parlamencie w grudniu 2019 r. wejdzie w życie i potrwa do 31 grudnia 2020 r.
Kiedy zakończy się umowa o wystąpieniu, UK będzie oficjalnie niezależne od UE i unijne RODO, które reguluje przetwarzanie danych osobowych we wszystkich państwach członkowskich od maja 2018 r., przestanie obowiązywać wewnętrznie w Wielkiej Brytanii.
Aby uniknąć sklasyfikowania przez Unię Europejską jako trzeci kraj (czyli np. państwo mające mniej adekwatny poziom ochrony danych, co nie pozwala im korzystać ze swobodnego przepływu danych w UE), powołano nową ustawę UK-GDPR, obowiązującą od Dnia Wyjścia, 31 stycznia 2020.
Nowe UK-GDPR będzie równe europejskiemu GDPR (RODO), które będzie wciąż obowiązywało w UK do 31 grudnia 2020.
Wszystko to oznacza, że owszem, będą dwa RODO obowiązujące jednocześnie w UK w 2020, równolegle z Ustawą o Ochronie Danych 2018 (Data Protection Act 2018), którego poprawiona wersja także wchodzi w życie 31 stycznia 2020.
Przyjrzyjmy się treści i zakresowi nowego UK-GDPR.
UK-GDPR – treść i zakres
United Kingdom General Data Protection Regulation (UK-GDPR) jest w gruncie rzeczy takim samym prawem jak europejskie RODO (GDPR), tylko lekko zmienione na potrzeby dostosowania go do brytyjskich obszarów prawa.
Było wzorowane bezpośrednio na treści unijnego GDPR i główne zmiany w nim wprowadzone to United Kingdom zamiast Union (Unia) oraz domestic law (prawo krajowe) w miejsce EU law (prawo UE).
Oznacza to, że podstawowe definicje i terminologia prawna znane z europejskiego RODO, między innymi dane osobowe, prawa osoby, której dotyczą dane, administrator danych osobowych oraz podstawy prawne do przetwarzania danych, takie jak wcześniejsza zgoda można znaleźć także w UK-GDPR.
Choć UK-GDPR rozszerza się na unijne RODO, jednocześnie odbiega od niego w znaczący sposób. Spowoduje to zmiany w brytyjskim prawie dotyczącym ochrony danych w Wielkiej Brytanii.
Te zmiany można znaleźć w rządowym rozporządzeniu w sprawie ochrony danych, prywatności i komunikacji elektronicznej (Data Protection, Privacy and Electronic Communications (EU Exit) Regulation).
Rozporządzenie to zmienia i przekształca europejskie RODO w krajowe UK-GDPR, a także koryguje Ustawę o Ochronie Danych z 2018 r.
Harmonogram Keelinga to nieoficjalny dokument, podkreślający zmiany w ustawach. Jest bardzo pomocny w precyzyjnym ujęciu tego, jak Brytania przekształca europejskie RODO w UK-GDPR – gdzie od niego odbiega, a gdzie pozostaje takie samo.
Harmonogram Keelinga dla stworzenia nowego UK-GDPR
UK-GDPR poszerza i zmienia europejskie RODO
Te obszary zostają rozszerzone przez UK-GDPR:
- Bezpieczeństwo narodowe
- Służby wywiadowcze
- Imigracja
Te pola są z definicji poza zakresem unijnego RODO, ponieważ odnoszą się do ściśle państwowych regulacji. UE nie ma uprawnień do zarządzania kwestiami bezpieczeństwa narodowego w państwach członkowskich.
Jednakże UK-GDPR określa pewne wyjątki, dzięki którym można ominąć regularną ochronę danych osobowych np. gdy chodzi o bezpieczeństwo narodowe lub w sprawach imigracji. Odnosi się to także to samych wymagań dla gromadzenia i przetwarzania danych osobowych przez służby wywiadowcze.
Kolejną dużą zmianą w UK-GDPR jest to, że Komisarz ds. Informacji, dotychczas wiodący organ ochrony danych w Wielkiej Brytanii stanie się głównym organem nadzoru, regulatorem i organem wykonawczym UK-GDPR.
Oznacza to, że tam, gdzie wcześniej zgodnie z unijnym RODO Europejska Rada Ochrony Danych byłaby najwyższym organem nadzorczym, ICO przejmuje teraz wszystkie sprawy związane z regulacją i egzekwowaniem UK-GDPR.
Dodatkowo Sekretarz Stanu jest uprawniony do określania lub odwoływania decyzji w sprawie adekwatności w na podstawie UK-GDPR.
W praktyce, Sekretarz może podejmować te decyzje bez konsultacji z ICO.
Z powodu eksterytorialnego zakresu UK-GDPR, każda strona internetowa lub firma na świecie, która zbiera lub przetwarza dane osobowe osób znajdujących się w UK, jest zobowiązana do zgodności z UK-GDPR.
Oznacza to także, że np. unijne firmy oferujące swoje usługi w UK powinny wskazać swojego przedstawiciela, tak jak miało to miejsce w odwrotnym przypadku europejskiego RODO.
Przedstawiciel jest zdefiniowany w UK-GDPR jako “osoba fizyczna lub prawna mająca siedzibę w Zjednoczonym Królestwie, która reprezentuje administratora lub podmiot przetwarzający”.
Ponadto, wchodząc w życie 31 stycznia 2020, UK-GDPR automatycznie uzna wszystkie państwa Unii Europejskiej za adekwatne, podobnie jak wszystkie istniejące decyzje UE w sprawie adekwatności jako odpowiednie również w Wielkiej Brytanii. (np. US Privacy Shield).
Zauważalną różnicą między europejskim RODO i nowym krajowym UK-GDPR jest wiek ważnej zgody, który został obniżony do 13 lat w UK (16 lat w UE).
UK-GDPR i Cookiebot
No dobrze, więc co to wszystko znaczy dla Twojej firmy w UK lub Twojej strony w UE oferującej usługi i zbierającej dane osób w Zjednoczonym Królestwie?
Cóż, oznacza to, że wyjście z Unii Europejskiej nie spowoduje, że zobaczymy zmniejszenie wymagań dotyczących przetwarzania danych osobowych.
W praktyce, światowy standard ustanowiony przez europejskie RODO teraz dosłownie staje się krajowym standardem w Wielkiej Brytanii. Ochrona prywatności i danych osobowych użytkowników końcowych i klientów jest nowym prawem kraju.
Oznacza to, że strona będzie musiała spełniać te same wysokie standardy RODO jak wcześniej, tylko te będą egzekwowane przez ICO w Wielkiej Brytanii i podlegają ich audytom.
Cookiebot oferuje wiodące rozwiązania w kwestii zarządzania zgodami. Zbudowaliśmy naszą oczekującą patentu technologię jeszcze zanim RODO stało się europejskim prawem i na długo przed tym, kiedy w końcu stanie się do Brytyjskim prawem.
Cookiebot skanuje Twoją stronę i znajduje wszystkie pliki cookie i moduły śledzące, blokuje wszystko, dopóki użytkownik końcowy nie udzieli swojej świadomej zgody na to, które z jego danych mogą być gromadzone na Twojej platformie.
Obecnie, Cookiebot zapewnia pełną zgodność z RODO, tak jak zapewni ją z UK-GDPR, kiedy Wielka Brytania ostatecznie opuście Unię 31 grudnia 2020.
Wypróbuj Cookiebot za darmo
