Príspevok sa zameriava na analýzu právneho rámca prenosu osobných údajov do Spojeného kráľovstva po 1. januári 2021 – vystúpení z Európskej únie. Článok je rozdelený do troch častí, v ktorých sa autor sústredil na minulosť a prítomnosť cezhraničných prenosov, a zároveň sa zamýšľa nad budúcim vývojom právnej úpravy týkajúcej sa danej problematiky.
MESARČÍK, M.: Cezhraničné prenosy osobných údajov do Spojeného kráľovstva po Brexite: minulosť, prítomnosť, budúcnosť; Justičná revue, 73, 2021, č. 4, s. 476 - 491.
This paper focuses on the analysis of the legal framework for the transfer of personal data to the United Kingdom after 1 January2021 - withdrawal from the European Union. The article is divided into three parts, in which the author focuses on the past and present of cross-border transmissions and also considers the future development of the legislation.
Úvod
Dňa 23. júna 2016 sa v Spojenom kráľovstve Veľkej Británie a Severného Írska (ďalej len "Spojené kráľovstvo") uskutočnilo referendum s jedinou otázkou týkajúcou sa zotrvania tohto štátu v Európskej únii (ďalej len "EÚ"). Až 51.89 % oprávnených hlasujúcich zo zúčastnených zvolilo možnosť vystúpenia
1)
z medzištátneho európskeho spoločenstva a potvrdilo novú kapitolu politických a právnych dejín ostrovnej krajiny. Nasledovalo turbulentné obdobie vnútroštátnych a medzinárodných politických diskusií, nových parlamentných volieb a vyjednávania. Vtedajšia premiérka Theresa May oficiálne aktivovala článok 50 Zmluvy o EÚ 29. marca 2017, ktorým sa z pohľadu EÚ začal proces vystúpenia člena spoločenstva.
2)
Na jeseň 2018 bola vyjednaná prvá dohoda o vystúpení medzi Spojeným kráľovstvom a EÚ. Vzhľadom na to, že parlament Spojeného kráľovstva neprijal túto verziu dohody, po troch neúspešných pokusoch nasledovalo politicky turbulentné obdobie vrátane volieb. Nová vláda na čele s Borisom Johnsonom vyjednala s EÚ novú dohodu o vystúpení na jeseň 2019 (ďalej len "Dohoda o vystúpení"),
3)
ktorá bola následne ratifikovaná britským parlamentom a európskym parlamentom.
Dňa 31. januára 2020 Spojené kráľovstvo oficiálne prestalo byť členom EÚ, avšak do konca roka 2020 trvalo prechodné obdobie, ktoré zachovávalo pôvodné vzťahy medzi EÚ a Spojeným kráľovstvom v podstate bezo zmeny. Kľúčovou je dohoda o obchode a spolupráci medzi ostrovným štátom a európskym zoskupením (Dohoda o obchode a spolupráci),
4)
ktorá upravuje vzťahy medzi nimi po Brexite a uplynutí prechodného obdobia. Táto dohoda bola predmetom tvrdého vyjednávania a uzavretá bola tesne pred koncom roka 2020.
Brexit sa prirodzene dotkol všetkých aspektov medzinárodného obchodu a práva pri obchodovaní so spoločnosťami usadenými v Spojenom kráľovstve, keďže ostrovný štát sa vystúpením z EÚ stáva treťou krajinou. Vzhľadom na to, že väčšina digitálnych služieb a produktov je založená na prenosoch osobných údajov, otázky cezhraničného prenosu osobných údajov do Spojeného kráľovstva sú veľmi aktuálnou otázkou, ktorej sa však v rámci slovenskej právnej vedy nevenuje takmer žiadna pozornosť. Práve tento článok si kladie za cieľ analyzovať podmienky cezhraničných prenosov v zmysle nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov; ďalej len "GDPR"). Zároveň sa zamýšľame nad rôznymi scenármi pre budúci vývoj cezhraničných prenosov na linke Spojené kráľovstvo - EÚ, s ohľadom na vývoj judikatúry Súdneho dvora Európskej únie (ďalej len "SDEÚ").
Prvá časť článku predstavuje základy cezhraničných prenosov a možnosti ich vykonávania v zmysle GDPR. Osobitná pozornosť je zameraná na najčastejšie používané právne základy pre cezhraničné prenosy osobných údajov do tretích krajín a to rozhodnutie o primeranosti a štandardné zmluvné doložky. V druhej časti sú charakterizované kľúčové ustanovenia regulujúce prenos osobných údajov zo Spojeného kráľovstva do EÚ v zmysle uzavretých medzinárodných dohôd. V tretej časti ponúkame úvahy o budúcom vývoji medzinárodných dohôd a možnostiach cezhraničných prenosov do Spojeného kráľovstva.
1 MINULOSŤ: ZÁKLADY CEZHRANIČNÝCH PRENOSOV PODĽA GDPR
Cezhraničné prenosy osobných údajov nemajú v GDPR svoju legálnu definíciu. Vo všeobecnosti možno konštatovať, že ide o prenos osobných údajov z krajiny, ktorý je členským štátom EÚ alebo Európskeho hospodárskeho priestoru (EHP),
5)
do tretej krajiny, prípadne naopak. O cezhraničný prenos pôjde napríklad pri prenose údajov spoločnosti zo Slovenska svojmu sprostredkovateľovi do Japonska.
Prečo sú otázky cezhraničných prenosov dôležité? Je potrebné si uvedomiť, že EÚ zodpovedá za určitý štandard ochrany osobných údajov svojich obyvateľov, ktorý reflektuje základné ľudské právo na ochranu osobných údajov. V globalizovanej spoločnosti nemožno cezhraničné prenosy údajov zakázať, keďže by došlo k silnej devalvácii ekonomických vzťahov. Z tohto pohľadu sú využívanie digitálnych služieb, ktorých prevádzkovatelia sídlia mimo EÚ, a prenos údajov prakticky nevyhnutné. To však neznamená, že možno zabudnúť na pravidlá na ochranu osobných údajov a neskúmať úroveň ochrany tretej krajiny, do ktorej sú osobného údaje posielané. Z toho dôvodu je pragmatické a vhodné, že GDPR ustanovuje pravidlá pre cezhraničné prenosy. Ak by sme ich nemali, mohlo by sa jednoducho stať, že naše osobné údaje by boli zneužitelné orgánmi verejnej moci v tretích krajinách, ktoré neposkytujú vysoký štandard ochrany osobných údajov.
Ak chce prevádzkovateľ alebo sprostredkovateľ vykonať cezhraničných prenos údajov, okrem požiadaviek GDPR na spracúvanie osobných údajov sa na tento prenos aplikuje špeciálna skupina ustanovení, ktoré sa nachádzajú v kapitole V GDPR (články 44 - 50). Tieto články upravujú aj špecifické základy pre vykonanie cezhraničných prenosov. Na tomto mieste nehovoríme o právnych základoch v zmysle článku 6 GDPR, ale o ďalšej skupine povinností pri vykonaní cezhraničného prenosu osobných údajov. To nijako neovplyvňuje povinnosť prevádzkovateľa disponovať právnym základom v zmysle článku 6 GDPR.
6)
Článok 45 GDPR explicitne ustanovuje, že
"akýkoľvek prenos osobných údajov, ktoré sa spracúvajú alebo sú určené na spracúvanie po prenose do tretej krajiny alebo medzinárodnej organizácii, sa uskutoční len vtedy, ak prevádzkovateľ a sprostredkovateľ dodržiavajú podmienky stanovené v kapitole V GDPR."
Zároveň je potrebné doplniť, že cezhraničné