Projekty decyzji Zjednoczonego Królestwa stwierdzających odpowiedni stopień ochrony: EROD przyjmuje opinie

Bruksela, 20 października – Na ostatnim posiedzeniu plenarnym EROD przyjęła dwie opinie w sprawie projektów decyzji Komisji Europejskiej dotyczących przedłużenia do  grudnia 2031 r. ważności decyzji stwierdzających odpowiedni stopień ochrony wydanych przez Zjednoczone Królestwo na podstawie ogólnego rozporządzenia o ochronie danych (RODO) i dyrektywy o ochronie danych w sprawach karnych.*

Opinie EROD, o które zwróciła się Komisja zgodnie z art. 70 ust. 1 lit. s) RODO i art. 51 ust. 1 lit. g) dyrektywy o ochronie danych w sprawach karnych, dotyczą proponowanego przedłużenia o sześć lat dwóch decyzji Zjednoczonego Królestwa stwierdzających odpowiedni stopień ochrony, które mają wygasnąć w grudniu 2025 r.

Przedłużenie okresu obowiązywania decyzji stwierdzających odpowiedni stopień ochrony w Zjednoczonym Królestwie umożliwi organizacjom i właściwym organom mającym siedzibę w Europie dalsze przekazywanie danych organizacjom i organom mającym siedzibę w Zjednoczonym Królestwie bez wdrażania dodatkowych gwarancji.**

„ERODz zadowoleniem przyjmuje dalsze dostosowywanie ram ochrony danych Zjednoczonego Królestwa i Europy pomimo niedawnych zmian w ramach prawnych Zjednoczonego Królestwa.

Wzywam Komisję Europejską do zajęcia się kwestiami podniesionymi przez Radę i do zapewnienia skutecznego monitorowania po przyjęciu decyzji. Zwiększy to odporność adekwatności Zjednoczonego Królestwa i zapewni większą pewność prawa organizacjom i właściwym organom przekazującym dane osobowe z Europy do Zjednoczonego Królestwa”.

Przewodnicząca EROD Anu Talus

Opinia w sprawie RODO

Zdaniem Rady większość zmian wprowadzonych do ram ochrony danych Zjednoczonego Królestwa ma na celu wyjaśnienie i ułatwienie przestrzegania prawa.

Niektóre aspekty projektu decyzji mogłyby zostać doprecyzowane.

EROD zwraca się do Komisji Europejskiej o dalszą analizę i monitorowanie zmian w ustawie z 2023 r. o uchyleniu i reformie zachowanego prawa UE, znanej również jako ustawa REUL, w szczególności zniesienia zasady pierwszeństwa prawa UE i zniesienia bezpośredniego stosowania zasad prawa UE.

EROD zauważa, że sekretarzowi stanu przyznano nowe uprawnienia do wprowadzania zmian w nowych ramach ochrony danych w drodze rozporządzeń wtórnych, które wymagają mniejszej kontroli parlamentarnej. Dotyczy to międzynarodowego przekazywania danych, zautomatyzowanego podejmowania decyzji oraz zarządzania Biurem Komisarza ds. Informacji (ICO). EROD zwraca się do Komisji o zajęcie się ewentualnym ryzykiem rozbieżności poprzez wskazanie w ostatecznej decyzji stwierdzającej odpowiedni stopień ochrony obszarów, które zamierza uważnie monitorować.

EROD zachęca również Komisję do dalszego opracowywania oceny i monitorowania przepisów dotyczących przekazywania osób ze Zjednoczonego Królestwa do państw trzecich. Nowy test adekwatności, wprowadzony ustawą o danych (wykorzystaniu i dostępie) z 2025 r., wymaga, aby poziom ochrony państwa trzeciego nie był istotnie niższy niż poziom przewidziany dla osób, których dane dotyczą, w ramach Zjednoczonego Królestwa, ale test ten nie odnosi się do ryzyka dostępu rządowego, istnienia środków odwoławczych dla osób fizycznych ani potrzeby niezależnego organu nadzorczego.

Komisja powinna również dalej oceniać i monitorować rzekome stosowanie przez rząd Zjednoczonego Królestwa zawiadomień dotyczących zdolności technicznych, zobowiązujących przedsiębiorstwa do obchodzenia szyfrowania, ponieważ stworzyłoby to podatności systemowe i stanowiłoby ryzyko dla integralności i poufności łączności elektronicznej.

Ponadto EROD wzywa Komisję do dalszej oceny i monitorowania zmian w strukturze Komisarza ds. Informacji oraz wykonywania jego uprawnień naprawczych. W tym kontekście EROD z zadowoleniem odnotowuje politykę przejrzystości ICO oraz dostępność danych statystycznych i analitycznych dotyczących jej działań w zakresie egzekwowania prawa.

Nowe decyzje stwierdzające odpowiedni stopień ochrony uzupełnią decyzje z 2021 r., które nadal będą miały zastosowanie do obszarów nieobjętych projektami decyzji na 2025 r. EROD opiera się na swoich opiniach z 2021 r. (14/2021 i 15/2021). W szczególności nadal aktualne jest ścisłe dostosowanie ram RODO do ram prawnych Zjednoczonego Królestwa dotyczących kluczowych przepisów, na które zwrócono uwagę w 2021 r. (w tym na przykład przejrzystości, praw osób, których dane dotyczą, i szczególnych kategorii danych).

Opinia na temat LED

EROD z zadowoleniem przyjmuje ciągłe dostosowywanie ram ochrony danych w Europie i Zjednoczonym Królestwie oraz zachęca Komisję do uzupełnienia swojej oceny aspektów związanych z wyłączeniami dotyczącymi bezpieczeństwa narodowego. Takie zwolnienia mogą odstąpić od większości zasad ochrony danych i niektórych międzynarodowych przepisów dotyczących przekazywania danych przez organy ścigania, atakże ograniczyć uprawnienia ICO w zakresie egzekwowania prawa i kontroli.

EROD zwraca się do Komisji o przeanalizowanie przepisów Zjednoczonego Królestwa dotyczących przekazywania danych osobowych do państw trzecich, w szczególności nowego testu adekwatności, w taki sam sposób jak w opinii w sprawie RODO.

Rada zwraca również uwagę na bardziej liberalne podejście do zautomatyzowanego podejmowania decyzji i nowe uprawnienia przyznane sekretarzowi stanu w tej sprawie. Przypomina o znaczeniu merytorycznego przeglądu przez człowieka i wzywa Komisję do wyjaśnienia i monitorowania ewentualnych wyłączeń z prawa jednostek do uzyskania interwencji człowieka.

Ponadto EROD przyznaje, że system nadzoru nad organami ścigania w sprawach karnych oraz mechanizmy dochodzenia roszczeń pozostają w dużej mierze niezmienione, i ponownie podkreśla potrzebę ścisłego monitorowania przez Komisję stosowania uprawnień naprawczych i środków zaradczych wobec osób fizycznych w ramach ochrony danych Zjednoczonego Królestwa.

Uwaga dla redaktorów:

* 22 lipca 2025 r. Komisja Europejska wydała dwa projekty zmieniających decyzji wykonawczych w sprawie odpowiedniej ochrony danych osobowych przez Zjednoczone Królestwo na podstawie art. 45 ust. 3 RODO i art. 36 ust. 3 dyrektywy o ochronie danych w sprawach karnych. Celem tych projektów decyzji jest przedłużenie obowiązywania poprzednich decyzji stwierdzających odpowiedni stopień ochrony przyjętych w dniu 28 czerwca 2021 r. 
W maju 2025 r. Komisja przyjęła decyzję o przedłużeniu obowiązywania decyzji stwierdzającej odpowiedni stopień ochrony w Zjednoczonym Królestwie o kolejne sześć miesięcy, od czerwca do grudnia 2025 r. EROD przyjęła opinię w sprawie tego przedłużenia w maju 2025 r.

** Decyzja stwierdzająca odpowiedni stopień ochrony jest kluczowym mechanizmem w prawodawstwie UE dotyczącym ochrony danych, który umożliwia Komisji Europejskiej ustalenie, czy państwo trzecie lub organizacja międzynarodowa zapewniają odpowiedni poziom ochrony danych. Komisja Europejska jest uprawniona do określenia, na podstawie art. 45 rozporządzenia (UE) 2016/679, czy państwo spoza UE zapewnia odpowiedni poziom ochrony danych.

Przyjęcie decyzji stwierdzającej odpowiedni stopień ochrony obejmuje: 1) wniosek Komisji Europejskiej; 2) opinię Europejskiej Rady Ochrony Danych; 3) zatwierdzenie przez przedstawicieli państw UE; 4) przyjęcie decyzji przez Komisję Europejską.