Osnutka sklepov o ustreznosti za Združeno kraljestvo: EDPB sprejel mnenji

Na svojem zadnjem plenarnem zasedanju je EDPB sprejel dve mnenji o osnutkih sklepov Evropske komisije glede podaljšanja veljavnosti odločb o ustreznosti za Združeno kraljestvo po GDPR in po Direktivi o kazenskem pregonu (LED) do decembra 2031.

Mnenji EDPB, ki ju je Komisija zahtevala na podlagi člena 70(1)(s) GDPR in člena 51(1)(g) LED, obravnavata predlagano šestletno podaljšanje obeh odločb o ustreznosti, katerih veljavnost se izteče decembra 2025.

Podaljšanje veljavnosti odločb o ustreznosti za Združeno kraljestvo bo organizacijam in pristojnim organom s sedežem v Evropi omogočilo nadaljnji prenos podatkov v Združeno kraljestvo brez uvedbe dodatnih zaščitnih ukrepov.

»Odbor pozdravlja nadaljnjo usklajenost med britanskim in evropskim okvirom varstva podatkov, kljub nedavnim spremembam v britanski zakonodaji. Pozivam Evropsko komisijo, naj se odzove na točke, ki jih je odbor izpostavil, in zagotovi učinkovito spremljanje po sprejetju odločb. To bo okrepilo trdnost britanske ustreznosti in zagotovilo večjo pravno gotovost za organizacije in organe, ki prenašajo osebne podatke iz Evrope v Združeno kraljestvo,«
Anu Talus, predsednica EDPB

O mnenju glede GDPR

Po mnenju odbora so večina sprememb, uvedenih v britanski okvir varstva podatkov, namenjene pojasnitvi in olajšanju skladnosti z zakonodajo. Kljub temu obstajajo področja, ki bi jih bilo po mnenju EDPB treba dodatno pojasniti.

Odbor poziva Evropsko komisijo, naj še naprej analizira in spremlja spremembe, ki izhajajo iz Zakona o ohranjeni zakonodaji EU (REUL Act, 2023), zlasti odpravo načela prednosti prava EU in prenehanje neposredne uporabe načel prava EU.

EDPB ugotavlja, da ima britanski minister (Secretary of State) po novem širša pooblastila za uvajanje sprememb novega okvira varstva podatkov prek sekundarne zakonodaje, ki zahteva manj parlamentarne kontrole – na primer na področju mednarodnih prenosov, avtomatiziranega odločanja in upravljanja Urada informacijskega pooblaščenca (ICO).

Odbor zato Komisijo poziva, naj v končni odločbi o ustreznosti jasno navede področja, ki jih namerava posebej spremljati.

EDPB prav tako spodbuja Komisijo, naj dodatno pojasni svojo oceno pravil o prenosih osebnih podatkov iz Združenega kraljestva v tretje države. Novi test ustreznosti, uveden z Zakonom o uporabi in dostopu do podatkov (Data Use and Access Act 2025), zahteva, da raven varstva v tretji državi ni bistveno nižja od tiste, ki jo zagotavlja britanski okvir, vendar ne vključuje presoje glede dostopa vladnih organov, možnosti pravnega varstva posameznikov in obstoja neodvisnega nadzornega organa.

Komisija bi morala dodatno oceniti in spremljati tudi uporabo tehničnih odredb (Technical Capability Notices – TCN), s katerimi bi lahko britanska vlada podjetjem naložila obveznost obiti šifriranje. Takšna praksa bi po oceni EDPB lahko ustvarila sistemske ranljivosti in ogrozila zaupnost elektronskih komunikacij.

Nazadnje EDPB poziva Komisijo, naj nadalje oceni spremembe v strukturi ICO in pri izvajanju njegovih pooblastil, pri čemer pozitivno izpostavlja politiko preglednosti ICO in dostopnost statističnih ter analitičnih podatkov o njegovih nadzornih dejavnostih.

Nove odločbe o ustreznosti bodo dopustile nadaljnjo uporabo odločb iz leta 2021, ki ostajajo veljavne za področja, ki niso zajeta v osnutkih iz leta 2025.
EDPB se pri tem sklicuje na svoji prejšnji mnenji št. 14/2021 in 15/2021, v katerih je bila poudarjena tesna usklajenostmed okvirjem GDPR in britanskim pravnim redom, kar po mnenju odbora še vedno velja (npr. na področjih preglednosti, pravic posameznikov in posebnih kategorij podatkov).

O mnenju glede LED (Direktive o kazenskem pregonu)

EDPB pozdravlja nadaljnjo skladnost med evropskim in britanskim okvirom varstva podatkov, hkrati pa spodbuja Komisijo, naj svojo oceno dopolni z vidika izjem, povezanih z nacionalno varnostjo.
Takšne izjeme lahko v praksi izključijo večino načel varstva podatkov in nekatera pravila o mednarodnih prenosih za organe pregona ter omejijo pooblastila ICO za nadzor in preiskave.

Odbor poziva Komisijo, naj analizira britanska pravila o prenosih osebnih podatkov v tretje države, predvsem novi test ustreznosti, in to na enak način kot v mnenju glede GDPR.

Odbor opozarja tudi na bolj permisiven pristop k avtomatiziranemu odločanju in nova pooblastila ministra (Secretary of State) na tem področju.
Poudarja pomen vsebinskega človeškega pregleda pri avtomatiziranih odločitvah in poziva Komisijo, naj pojasni in spremlja morebitne izjeme od pravice posameznika do človeškega posredovanja.

Na koncu EDPB ugotavlja, da nadzorni sistem nad organi kazenskega pregona ter mehanizmi pravnega varstva za posameznike v britanskem okviru v veliki meri ostajajo nespremenjeni, zato Komisijo poziva k nadaljnjemu spremljanju njihovega dejanskega izvajanja.

Kaj to pomeni?

Iz mnenja EDPB je razvidno, da odbor načeloma podpira podaljšanje veljavnosti odločb o ustreznosti za Združeno kraljestvo, saj ugotavlja, da britanski okvir varstva podatkov kljub spremembam ostaja v veliki meri usklajen z evropskim. Vendar pa EDPB svojo podporo pogojuje z nadaljnjim spremljanjem in ocenjevanjem posameznih zakonodajnih sprememb v Združenem kraljestvu, zlasti glede pooblastil ministra, pravil o mednarodnih prenosih ter morebitnih posegov v šifriranje. Gre torej za pozitivno, a previdno mnenje, ki dopušča podaljšanje, hkrati pa opozarja Komisijo, naj zagotovi stalno preverjanje skladnosti britanskega sistema z zahtevami prava EU.

Opombe

* 22. julija 2025 je Evropska komisija sprejela dva osnutka izvedbenih sklepov o ustrezni zaščiti osebnih podatkov v Združenem kraljestvu na podlagi člena 45(3) GDPR in člena 36(3) LED. Namen teh osnutkov je podaljšati veljavnost odločb o ustreznosti, ki sta bili prvotno sprejeti 28. junija 2021.

Maja 2025 je Komisija sprejela sklep o šestmesečnem podaljšanju veljavnosti odločb o ustreznosti za Združeno kraljestvo – od junija do decembra 2025.
EDPB je takrat sprejel mnenje o tem podaljšanju.

** Odločba o ustreznosti je ključen mehanizem v zakonodaji EU o varstvu podatkov. Evropski komisiji omogoča, da ugotovi, ali tretja država ali mednarodna organizacija zagotavlja ustrezno raven varstva osebnih podatkov.
Postopek sprejema odločbe o ustreznosti vključuje:

1. predlog Evropske komisije,
2. mnenje Evropskega odbora za varstvo podatkov (EDPB),
3. odobritev predstavnikov držav članic EU,
4. sprejetje odločbe s strani Komisije.

Želite, da iz tega prevoda pripravim uradni povzetek v pravnem jeziku (npr. za univerzitetni dopis ali mnenje po 45. členu GDPR)?