Cum vor fi afectate de Brexit firmele din România fără o măsură de adecvare în zona GDPR

Reading Time: 4 minute

Dacă o decizie de adecvare nu va fi adoptată în următoarea săptămână, până la 30 iunie 2021, vor fi necesare garanții adecvate, cum ar fi clauzele contractuale standard, pentru a transfera datele cu caracter personal din Uniunea Europeană (UE) și Spațiul Economic European (SEE) în Regatul Unit, avertizează specialiștii Decalex.

Dacă decizia de adecvare este aprobată, Marea Britanie se va alătura listei scurte a țărilor din afara UE și SEE în care datele personale ale UE și SEE pot circula fără restricții. O decizie de adecvare permite un transfer transfrontalier de date în afara UE sau un transfer ulterior de la sau către o parte din afara UE fără o autorizație suplimentară din partea autorității naționale de supraveghere. Adică din perspectivă de business, companiile nu vor mai trebui să facă dovezi suplimentare privind transferul de date în și dinspre Marea Britanie.

“Există un scenariu mai puțin plăcut în care Marea Britanie nu va primi decizie de adecvare. Dacă va fi declarat stat terț pentru transferul de date, practic va trebui efectuat un audit asupra fiecărui transfer și va trebui semnat un set de clauze contractuale standard puse la dispoziție de Comisia Europeană, întrucât vizează toate transferurile, și cele către SUA”, a declarat Cristiana Deca, fondator Decalex.

Din perspectiva GDPR, de la momentul la care a avut loc semnarea acordului pentru Brexit și până la finalizarea perioadei de tranziție care va avea loc la 30 iunie 2021 (perioada care se aplică transferurilor de date cu caracter personal din UE / SEE în Regatul Unit) au intervenit multe schimbări ce vor afecta modul de lucru al companiilor cu activitate în UE și Marea Britanie.

La momentul actual, Comisia Europeană a emis o opinie privind nivelul de adecvare privind protecția datelor personale în Marea Britanie, document ce punctează cum cadrul de bază pentru protecția datelor din Marea Britanie este similar cu cel din UE, dar ridică îngrijorări cu privire la implementarea acestuia.

În special, regimul britanic conține derogări în domeniul securității naționale și al imigrației, care se aplică acum și cetățenilor UE care doresc să rămână sau să se stabilească în Marea Britanie. Legislația actuală a Regatului Unit permite, de asemenea, accesul și păstrarea datelor în bloc fără ca o persoană să fie suspectată de săvârșirea unei infracțiuni, iar instanța UE a considerat că accesul nediscriminatoriu este incompatibil cu prevederile GDPR.

Cum sunt afectate firmele din România care fac afaceri cu Marea Britanie

Din perspectiva GDPR și a protecției datelor personale, firmele sunt afectate în măsura în care fac afaceri în Marea Britanie (vând bunuri sau servicii către utilizatori din Marea Britanie sau monitorizează comportamentul utilizatorilor din Regat). Astfel, companiile au obligația de a desemna un reprezentant în protecția datelor în Marea Britanie. De asemenea, indiferent de scenariu în care ne aflăm cu sau fără decizie de adecvare, companiile vor trebui sa demonstreze că transferurile de date către UK respectă toate prevederile impuse de GDPR, dar și cele specifice locale din Marea Britanie.

Astfel, este necesar ca firmele să își pregătească programul de conformitate astfel încât să ia în calcul ambele scenarii, având în vedere timpul scurt care mai este până la finalul perioadei de tranziție din 30 iunie 2021.

Cum sunt influențate companiile cu sediul central în Marea Britanie

Companiile și grupurile de firme care au sediul central în Marea Britanie și desfășoară operațiuni în România supuse legislației din Marea Britanie, și dacă au activitate (vând bunuri sau servicii direct către consumatorii europeni sau monitorizează comportamentul consumatorilor europeni) în UE fără sa aibă un sediu pe teritoriu UE vor trebui să numească un reprezentant UE în protecția datelor. De asemenea, dacă au și un sediu sau subsidiară în UE, pentru aceasta reprezentanță vor trebuie sa aplice întreg programul de conformitate GDPR și să se alinieze și cu cerințele specifice ale legislației Marii Britanii pentru reprezentanțele din UE.

Companiile românești cu sedii în Marea Britanie

În ultimii ani fondatorii români a creat companii globale sediul principal în Marea Britanie, chiar dacă într-un ritm mai redus decât antreprenorii din alte țări europene. Dacă activitatea și-o desfășoară doar în Regatul Unit, aceste companii vor trebui sa se supună legislației privind prelucrarea datelor din UK, care este similar cu cel GDPR în foarte multe aspecte.

Dacă au sediul în Marea Britanie și desfășoară activități în UE, de exemplu, în România, au obligația în primul rând să numească un reprezentant UE în protecția datelor, care să îi reprezinte în faţa Autorității Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), plus o serie de acțiuni de conformare specifice acestui tip de prelucrări de date.

Efectul Brexit asupra companiile de software care lucrează cu piața din Marea Britanie

Peste 200 de companii software românești lucrează în prezent cu piața din Marea Britanie, iar provocarea mare aici este din perspectiva relațiilor și a prelucrărilor de date ce au loc în dezvoltarea și suportul de software. Astfel, firmele vor fi supuse atât regimului din Marea Britanie, cât și celui din UE, respectiv GDPR, în funcție de fluxurile de date ce curg între cele două teritorii.

Din perspectiva dezvoltării de software, arhitectural vorbind, există și aici un impact major privind localizarea stocării datelor, a suportului în mediile live și de testare și nu numai. Pentru companiile software românești, este foarte important să realizeze o analiză în detaliu a proiectelor tehnice dezvoltate strict din perspectiva protecției datelor personale.

Ce crede G7 despre localizarea datelor personale?

Deși tendința Comisiei Europene, așa cum reiese din ultima perioadă este spre o localizare a datelor cetățenilor europeni pe continent, la Summit-ul G7 în care participanții au agreat că în legătură cu evoluția viitoarelor frontiere, cooperarea pentru acest an să fie structurată în jurul unor domenii specifice printre care și promovarea fluxului liber de date, pentru a valorifica mai bine potențialul valoros tehnologii bazate pe date și colaborarea care permită organizațiilor să utilizeze registre electronice de date ce pot fi transferabile pentru eficientizarea proceselor.