A GDPR és a Brexit: Mire figyeljenek a brit partnerekkel dolgozó cégek

Az Európai Unióból való kilépése, a Brexit, nem csupán a kereskedelmi és politikai kapcsolatokat rajzolta át Nagy-Britannia és az EU között, hanem mélyrehatóan érintette az adatvédelem, azon belül is a GDPR (Általános Adatvédelmi Rendelet) szabályait is. Az Európai Gazdasági Térség (EGT) területén működő vállalatok, amelyek brit partnerekkel dolgoznak együtt, vagy brit állampolgárok személyes adatait kezelik, számos új kihívással és kötelezettséggel szembesülhetnek. Ez a cikk célja, hogy részletesen bemutassa ezeket a változásokat, és praktikus útmutatót nyújtson a felkészüléshez és a megfeleléshez.

A GDPR alapjai és a Brexit kiindulópontja

Mielőtt mélyebben belemerülnénk a Brexit okozta specifikus kérdésekbe, érdemes röviden felidézni a GDPR lényegét. Az EU 2018-ban hatályba lépett adatvédelmi rendelete alapjaiban változtatta meg a személyes adatok kezelését és védelmét. Fő célja az egyének adatvédelmi jogainak megerősítése és az adatáramlás egységes szabályozása az EGT-n belül. A rendelet hatálya extraterritoriális, azaz akkor is vonatkozik egy nem EU-s szervezetre, ha az EU-ban tartózkodó személyeknek kínál árut vagy szolgáltatást, vagy az ő viselkedésüket monitorozza.

Amikor Nagy-Britannia 2020. január 31-én hivatalosan kilépett az EU-ból, egy átmeneti időszak kezdődött, amely 2020. december 31-ig tartott. Ez idő alatt az EU jogának nagy része, így a GDPR is, továbbra is alkalmazandó volt az Egyesült Királyságban. Az átmeneti időszak lejárta után azonban az Egyesült Királyság harmadik országgá vált az EU szempontjából, ami alapvetően megváltoztatta az adatáramlás szabályait.

Az adatáramlás kérdése: Nagy-Britannia mint „harmadik ország”

Az EU adatvédelmi szabályai szerint a személyes adatok harmadik országba (azaz EGT-n kívüli országba) történő továbbítása csak akkor megengedett, ha az adott ország „megfelelő” (adekvát) szintű adatvédelmet biztosít. Az EU Bizottság adekvát döntéssel nyilvánítja ki, hogy egy harmadik ország adatvédelmi szintje lényegében egyenértékű az EU-ban biztosítottal. Enélkül az adatok továbbításához további biztosítékokra van szükség, mint például a Standard Szerződéses Klauzulák (SCC-k) vagy a Kötelező Vállalati Szabályok (BCR-ek).

A Brexit után tehát az volt a kulcskérdés, hogy az Egyesült Királyság megkapja-e ezt az adekvát minősítést. Szerencsére az EU Bizottság 2021. június 28-án elfogadott két adekvát döntést az Egyesült Királyságra vonatkozóan: egyet a GDPR, egyet pedig a bűnüldözési célú adatkezelést szabályozó jogérvényesítési irányelv (Law Enforcement Directive, LED) hatálya alá tartozó adatkezelésekre. Ezek a döntések ideiglenesen megoldották az EGT és az Egyesült Királyság közötti személyes adatok szabad áramlásának problémáját.

Az „adekvát döntés” részletei és a „sunset clause”

Az adekvát döntések azt jelentik, hogy az EGT-ből származó személyes adatok továbbra is szabadon áramolhatnak az Egyesült Királyságba anélkül, hogy további adatátviteli mechanizmusokra, például SCC-kre lenne szükség. Ez jelentős könnyebbséget jelent az EGT-beli vállalatok számára.

Fontos azonban kiemelni az adekvát döntések egyik kulcsfontosságú elemét: a „sunset clause”-t, azaz egy lejárati záradékot. Ez a záradék kimondja, hogy az adekvát döntések négyéves időtartamra szólnak, amelyet utólag felülvizsgálnak. Ha az Egyesült Királyság adatvédelmi keretrendszere továbbra is megfelelő szintű védelmet nyújt, a döntés meghosszabbítható. Ellenkező esetben az adekvát döntések hatályukat veszíthetik, ami komoly következményekkel járhat az adatfolyamokra nézve.

Emellett az EU Bizottság fenntartja a jogot, hogy bármikor visszavonja, felfüggessze vagy módosítsa a döntéseket, ha úgy ítéli meg, hogy az Egyesült Királyság már nem biztosít megfelelő szintű védelmet. Ez a bizonytalansági tényező miatt az EGT-beli vállalatoknak továbbra is ébernek kell maradniuk.

Mire figyeljenek az EU-s cégek a brit partnerekkel dolgozva?

1. Adatfolyamok feltérképezése és dokumentálása

Minden EU-s cégnek alaposan fel kell térképeznie és dokumentálnia kell az összes adatfolyamot, amely az Egyesült Királyságba irányul, vagy onnan érkezik. Ki kinek ad át adatot? Milyen típusú adatokat? Milyen célból? Ez a folyamat elengedhetetlen a kockázatok azonosításához és a megfelelőségi követelmények teljesítéséhez.

2. A „fordított adatáramlás” – UK GDPR és az EGT

Ne feledkezzünk meg a fordított esetről sem: mi történik, ha egy brit partner küld személyes adatokat az EGT-be? Az Egyesült Királyság a Brexit után bevezette a saját, úgynevezett UK GDPR-t, amely lényegében az EU GDPR tükrözése volt az átmeneti időszak végén. Az UK GDPR szintén megköveteli, hogy a személyes adatok harmadik országba történő továbbítása megfelelő védelmi garanciákhoz legyen kötve. Az Egyesült Királyság esetében az EGT országai „adekvát” országnak minősülnek, így az EGT-be irányuló adatfolyamok általában szabadon történhetnek.

Azonban az UK GDPR is előírja, hogy ha egy EGT-beli szervezet brit állampolgárok adatait kezeli, és az Egyesült Királyságban nincsen telephelye, akkor kijelölhet egy UK képviselőt az Egyesült Királyságban. Hasonlóképpen, egy brit cégnek is szüksége lehet EGT-beli képviselőre, ha EGT-beli személyek adatait kezeli telephely nélkül.

3. Szerződéses kötelezettségek felülvizsgálata

Minden brit partnerekkel kötött szerződést (különösen az adatfeldolgozói szerződéseket, azaz DPA-kat) felül kell vizsgálni. Győződjön meg arról, hogy az adatvédelmi rendelkezések tükrözik a Brexit utáni helyzetet, és tartalmaznak-e megfelelő jogi mechanizmusokat a személyes adatok továbbítására vonatkozóan, különösen abban az esetben, ha az adekvát döntés megszűnne.

Különösen fontos a felelősségi kérdések tisztázása, valamint a szerződésekre vonatkozó jog (governing law) és joghatóság (jurisdiction) meghatározása. Az „EU-s jog” helyett gyakran pontosítani kell, hogy melyik tagállam joga alkalmazandó, vagy kifejezetten hivatkozni kell az Egyesült Királyság jogára, ahol a UK GDPR hatályos.

4. Adatvédelmi nyilvántartások és belső szabályzatok frissítése

Az adatkezelési tevékenységekről vezetett nyilvántartásokat (Records of Processing Activities – RoPA) aktualizálni kell. A nyilvántartásoknak pontosan tükrözniük kell az Egyesült Királysággal kapcsolatos adatátviteli tevékenységeket, beleértve az alkalmazott jogalapokat és biztosítékokat. Belső adatvédelmi szabályzatokat, eljárásokat és az adatvédelmi tájékoztatókat is felül kell vizsgálni és szükség esetén módosítani kell.

5. Adatvédelmi incidensek kezelése

Adatvédelmi incidens esetén (pl. adatszivárgás) az értesítési kötelezettség a releváns adatvédelmi hatóságok (EU-s Adatvédelmi Hatóság és/vagy a brit ICO – Information Commissioner’s Office) felé is fennállhat, attól függően, hogy melyik joghatóság alá tartozó adatok érintettek. Fontos tisztában lenni azzal, hogy az Egyesült Királyságban is van bejelentési kötelezettség az ICO felé.

6. A jövőbeli változások nyomon követése

Az Egyesült Királyság kormánya többször is jelezte, hogy célja az UK GDPR „liberalizálása” vagy a „brit adatokra szabása”. Ez magával vonhatja azt, hogy az UK GDPR a jövőben eltérhet az EU GDPR-tól. A brit Data Protection and Digital Information Bill (adatvédelmi és digitális információs törvényjavaslat) például már tartalmaz olyan módosításokat, amelyek eltávolodhatnak az EU normáitól. Ezek a változások hatással lehetnek az adekvát döntés felülvizsgálatára és fenntartására, ezért kulcsfontosságú, hogy az EGT-beli vállalatok folyamatosan figyelemmel kísérjék a brit adatvédelmi jogszabályok alakulását.

Kihívások és bizonytalansági tényezők

A legfőbb kihívást az adekvát döntés lejárati záradéka, valamint a potenciális jogharmonizációs eltérések jelentik. Ha az Egyesült Királyság adatvédelmi normái jelentősen eltávolodnak az EU-s szinttől, az EGT-ből származó adatok továbbításához az adekvát döntés visszavonását követően újra szükség lesz alternatív mechanizmusokra, mint például az SCC-k.

Ez egyrészt adminisztratív terhet jelent, másrészt jogi bizonytalanságot szül. Az EU Bírósága (és különösen a Schrems II ítélet) rámutatott, hogy az SCC-k önmagukban nem elegendőek, ha a harmadik ország jogrendszere lehetővé teszi a tömeges adatgyűjtést vagy nem biztosít megfelelő jogorvoslati lehetőségeket. Bár az Egyesült Királyság jogrendszere a döntés idején adekvátnak bizonyult, a jövőbeni változások vagy az uniós bírósági gyakorlat befolyásolhatja ezt az értékelést.

Praktikus tanácsok és javaslatok a megfelelőséghez

Részletes adatáramlási térkép készítése: Pontosan azonosítsa, hol, hogyan és miért cserél személyes adatokat brit partnerekkel. Ez alapvető a megfelelőség biztosításához.
Kockázatértékelés elvégzése: Értékelje az adatfolyammal járó kockázatokat, különösen a „sunset clause” és a lehetséges jogszabályi eltérések fényében.
Készenléti tervek kidolgozása: Készítsen terveket arra az esetre, ha az adekvát döntést visszavonják vagy nem hosszabbítják meg. Például, már most vizsgálja meg az SCC-k bevezetésének lehetőségét brit partnereivel.
Szerződések rendszeres felülvizsgálata: Győződjön meg arról, hogy minden szerződéses megállapodás naprakész és megfelel az aktuális adatvédelmi követelményeknek.
Adatvédelmi tisztviselő (DPO) és/vagy képviselő kijelölése: Ha az Ön cége az Egyesült Királyságban élő személyek adatait kezeli telephely nélkül, érdemes megfontolnia egy UK képviselő kijelölését, ahogyan a brit cégeknek is EGT-beli képviselőre lehet szükségük.
Folyamatos tájékozottság: Kísérje figyelemmel az Európai Bizottság, az Európai Adatvédelmi Testület (EDPB) és a brit ICO iránymutatásait és ajánlásait. Iratkozzon fel releváns hírlevelekre, vegyen részt webináriumokon.
Jogi szakértő bevonása: A jogi környezet összetettsége miatt célszerű tapasztalt adatvédelmi szakjogász segítségét igénybe venni a megfelelőség biztosításához.

Összefoglalás: Éberség és alkalmazkodóképesség

A GDPR és a Brexit által létrehozott adatvédelmi táj sokrétű és folyamatosan változik. Bár az EU adekvát döntése jelentős mértékben egyszerűsítette az adatfolyamot az EGT és az Egyesült Királyság között, ez nem jelenti azt, hogy az EGT-beli vállalatok elfeledkezhetnek a kötelezettségeikről. A „sunset clause” és az Egyesült Királyság potenciális jogi divergenciája miatt elengedhetetlen a proaktív megközelítés.

A megfelelőség nem egy egyszeri feladat, hanem egy folyamatosan ellenőrzendő és frissítendő állapot. Az éberség, a részletes dokumentáció, a szerződések rendszeres felülvizsgálata és a folyamatos tájékozottság kulcsfontosságú ahhoz, hogy a brit partnerekkel dolgozó EU-s cégek biztonságban tartsák a személyes adatokat, és elkerüljék a súlyos bírságokat vagy az üzleti fennakadásokat. Az adatvédelem a bizalom alapja, és a Brexit utáni környezetben ez a bizalom még inkább felértékelődik.