Περίπου 1.300 ημέρες μετά τη βρετανική ψηφοφορία για την αποχώρηση της Βρετανίας από την Ευρωπαϊκή Ένωση και έπειτα από μήνες πολιτικών διαμαρτυριών, η ημέρα του Brexit τελικά έφτασε. Διανύουμε πλέον και επίσημα την μεταβατική περίοδο, κατά τη διάρκεια της οποίας ο Boris Johnson υποσχέθηκε να διακόψει όλους τους δεσμούς της Βρετανίας με την Ευρώπη. Η Βρετανία θα συνεχίσει να υπόκειται στους νόμους της Ε.Ε. κατά την περίοδο αυτή, αλλά πλέον θα είναι ελεύθερη να εκτελεί νέες εμπορικές συμφωνίες με άλλες χώρες.
Στο πεδίο της ιδιωτικότητας, η Βρετανία μπορεί να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα και θα παραμείνει στο πλαίσιο του GDPR κατά τη μεταβατική περίοδο. Ωστόσο, μετά το πέρας της περιόδου αυτής θα πρέπει να αποκτήσει καθεστώς “επάρκειας” από τις Βρυξέλλες, εφόσον οι διασυνοριακές μεταφορές δεδομένων προσωπικού χαρακτήρα προς και από την Ε.Ε. πρόκειται να συνεχιστούν και μετά το Δεκέμβριο του 2020, όταν και θα λήξει η μεταβατική περίοδος.
Μάλιστα, νωρίτερα το 2019, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων, Wojciech Wiewiórowski, ανέφερε ότι, αν και η Βρετανία μπορεί να πετύχει μία συμφωνία για τα προσωπικά δεδομένα μετά το Brexit, θα ήταν άδικο μέχρι τότε να αφήσουμε τους Βρετανούς εκτεθειμένους.
Ο αντίκτυπος
H Βρετανία αντιμετωπίζει πλέον την προοπτική να θεωρηθεί ως τρίτη χώρα εφόσον εξήλθε της Ε.Ε. Κατά συνέπεια, η διαβίβαση δεδομένων προσωπικού χαρακτήρα από οργανισμούς εντός της Ε.Ε. σε άλλους οργανισμούς στην Βρετανία θα υπόκειται σε αυστηρούς κανόνες για την προστασία των δεδομένων που διαβιβάζονται σε τρίτες χώρες, όπως ορίζει ο GDPR. Έτσι, οι οργανισμοί της Ε.Ε. θα πρέπει να εξασφαλίσουν ότι οι διαβιβάσεις τους στην Βρετανία είναι νόμιμες και τηρούν το κατάλληλο επίπεδο επάρκειας. Αλλά… τι σημαίνει επάρκεια;
Η επάρκεια
Πρόκειται για μία ισχυρή εξασφάλιση από τις χώρες εκτός Ε.Ε. ότι διαθέτουν ισχυρούς νόμους για τα δεδομένα προσωπικού χαρακτήρα, οι οποίοι παρέχουν ισοδύναμες διασφαλίσεις με εκείνες που υπάρχουν στην Ε.Ε. Το ζήτημα είναι η Βρετανία να αποδείξει στην Ε.Ε. ότι αποτελεί ασφαλή χώρο για την επεξεργασία δεδομένων προσωπικού χαρακτήρα, έτσι ώστε να μην επιβάλλονται περιορισμοί στις μεταφορές δεδομένων και να μην απαιτούνται περαιτέρω εγγυήσεις ή όροι. Να μπορεί να εξομοιωθεί δηλαδή η διαβίβαση σε αυτή την «τρίτη χώρα» με διαβίβαση εντός Ε.Ε.
Η Ευρωπαϊκή Επιτροπή μπορεί να αξιολογήσει το επίπεδο προστασίας των προσωπικών δεδομένων των χωρών εκτός Ε.Ε., προκειμένου να διαπιστώσει αν είναι κατά βάση ισοδύναμο με εκείνο της Ε.Ε. Εάν μια χώρα «περάσει» τις αυστηρές δοκιμές, η Επιτροπή μπορεί να εκδώσει μια απόφαση Επάρκειας. Οι χώρες που διαθέτουν την επάρκεια δεν δεσμεύονται από τις κατάλληλες εγγυήσεις που ορίζονται στο άρθρο 46 και το άρθρο 47 του GDPR και τα προσωπικά δεδομένα μπορούν να κυκλοφορούν ελεύθερα μεταξύ τους και της Ε.Ε.
Η βρετανική κυβέρνηση κατέστησε σαφές ότι θα επιδιώξει την επίτευξη μίας συμφωνίας επάρκειας με την Ε.Ε., ωστόσο η διαδικασία για αυτό μπορεί να ξεκινήσει μόνο όταν η Βρετανία αποχωρήσει οριστικά από την Ένωση. Μέχρι τότε όμως, τι θα ισχύσει για τους οργανισμούς;
Οι ενέργειες των οργανισμών
Οι διαθέσιμες επιλογές για την νόμιμη και ασφαλή διαβίβαση δεδομένων προσωπικού χαρακτήρα μεταξύ Βρετανίας και Ε.Ε. είναι οι εξής:
- Απόφαση Επάρκειας
- Δεσμευτικοί Εταιρικοί Κανόνες (Binding Corporate Rules -BCRs): Οι BCRs είναι εσωτερικοί κανόνες για τη μεταφορά δεδομένων σε πολυεθνικές εταιρείες και ομίλους.
- Τυποποιημένες Συμβατικές Ρήτρες της Ε.Ε: Η Ευρωπαϊκή Επιτροπή μπορεί να αποφασίσει ότι ορισμένες τυποποιημένες συμβατικές ρήτρες παρέχουν επαρκείς εγγυήσεις για τη μεταφορά των προσωπικών δεδομένων σε διεθνές επίπεδο.
Οι οργανισμοί έχουν περάσει μήνες και -σε ορισμένες περιπτώσεις- χρόνια μέχρι να εισάγουν τον GDPR στις δραστηριότητές τους, ενώ έχουν επενδύσει σε μεγάλο βαθμό από πλευράς πόρων για να επιτύχουν κατάλληλο επίπεδο συμμόρφωσης. Το Brexit σημαίνει ότι ενδέχεται να αντιμετωπίσουν πρόσθετες προκλήσεις για να εξασφαλίσουν τη συμμόρφωση με τα νέα δεδομένα. Πολλοί οργανισμοί ή πολυεθνικοί όμιλοι με έδρα στην Ε.Ε. που επεξεργάζονται προσωπικά δεδομένα διαθέτουν ήδη κάποια μορφή συμφωνίας επεξεργασίας με συνεργάτες ή προμηθευτές της Βρετανίας ή συγκεκριμένης διαβίβασης δεδομένων προσωπικού χαρακτήρα μεταξύ των μελών του ομίλου.
Παρ’ όλα αυτά, η αβεβαιότητα που αναδύεται σε όλη την αγορά κατά την μεταβατική περίοδο αυτή είναι φανερή. Ωστόσο, η εσωτερική προετοιμασία των οργανισμών, η ενημέρωση με τις πιο πρόσφατες πληροφορίες και η σωστή καθοδήγηση δεν ήταν ποτέ πιο σημαντική, καθώς οποιαδήποτε προετοιμασία τώρα θα φέρει τον οργανισμό στην καλύτερη δυνατή θέση για να ανταποκριθεί στα νέα δεδομένα.