Szinte az utolsó pillanating húzódtak az EU és az Egyesült Királyság közötti kereskedelmi és együttműködési megállapodással (Trade and Cooperation Agreement, TCA) kapcsolatos tárgyalások, mielőtt a Brexitet követő átmeneti időszak 2020. december 31-ével véget ér. 

A megállapodás tervezete, amely több, mint 1200 oldalas, december 26-án vált elérhetővé. A brit kormány közzétett korábban egy összefoglalót (TCA összefoglaló), amely a legfontosabb pontokat emeli ki a megállapodásból. Az alábbiakban elsősorban az Egyesült Királyságba történő adattovábbítást érintő rendelkezésekkel foglalkozom. 

Mi történik 2021. január 1-ével?

Az EU-ból történő kilépéssel az Egyesült Királyság adatvédelmi szempontból harmadik országgá vált, amely az adattovábbítások kapcsán jelentős változást eredményez. A kilépést követően az átmeneti időszakban azonban még nem történt érdemi változás a korábbiakhoz képest, azaz ugyanúgy lehetett adatot továbbítani az Egyesült Királyságba, mint korábban, csakhogy ez az időszak 2020. december 31-ével véget ér. Az Európai Adatvédelmi Testület december 15-én kiadott nyilatkozata is felhívta a figyelmet erre a változásra, hangsúlyozva, hogy az adattovábbítás - megfelelőségi határozat hiányában - elsősorban a GDPR 46. cikke szerinti valamely megfelelő garanciákon alapuló adattovábbítás keretében lehetséges (illetve különös helyzetekben a 49. cikk szerinti megoldások is alkalmazhatók, ez azonban valóban csak kivételes és alkalomszerű adattovábbítások esetén jöhet szóba). A Testület - szintén december 15-én kiadott, a 2021. január 1. utáni adattovábbítással foglalkozó jegyzete - kiemelte azt is, hogy további garanciák alkalmazására is szükség lehet, összhangban a Testület 2020/1. sz. ajánlásában foglaltakkal. Ezt követően azonban az Egyesült Királyság és az EU között létrejött a kereskedelmi és együttműködési megállapodás, amely az adattovábbítás kérdését is befolyásolja. 

Hogyan érinti a fentieket a megállapodás, beleértve az Egyesült Királyságba történő adattovábbítás kérdését?    

A TCA záró rendelkezései között (Article FINPROV.10A, lásd a 406. oldaltól) az EU és Egyesült Királyság közötti adattovábbításokra vonatkozó átmeneti rendelkezések szerepelnek. Ezek az alábbiakat rögzítik: 

az Egyesült Királyságba történő adattovábbítás nem minősül harmadik országba történő adattovábbításnak további 4 hónapig, amely - a másik fél tiltakozása hiányában - további 2 hónappal meghosszabbodik (vagy megfelelőségi határozat elfogadásáig, ha az korábbi), feltéve, hogy

• az Egyesült Királyságban a 2020. december 31-én hatályos adatvédelmi szabályok alkalmazandók, és
• az Egyesült Királyság nem él bizonyos, a TCA-ban meghatározott hatáskörök alkalmazásával ezen időszakon belül (ezeket lásd a TCA Article FINPROV.10A., 3. alpontjában).   

(A fenti adattovábbításra vonatkozó szabály alkalmazandó az Izlandról, Lichtensteinből, illetve Norvégiából az Egyesült Királyságba történő adattovábbításokra is.)

Amennyiben az Egyesült Királyság - előzetes egyeztetés és jóváhagyás nélkül a meghatározott időszakon belül (4+2 hónap, illetve a megfelelőségi határozat elfogadásáig) megváltoztatja az alkalmazandó adatvédelmi szabályozását vagy gyakorolja a meghatározott hatásköröket, az átmeneti időszak megszűnik és az Egyesült Királyságba történő adattovábbítás harmadik országba történő továbbításnak minősül a hatáskör gyakorlásának napján vagy a módosítás hatályba lépésének napján.   

A fentiek alapján egy újabb, legfeljebb 6 hónapos időszak kezdődhet, amely az Egyesült Királyság tekintetében elfogadásra kerülő megfelelőségi határozat elfogadásáig tarthat és ezalatt az adattovábbítás - a jelenlegi átmeneti időszakhoz hasonlóan - tovább folytatódhat, mintha az EU-n belül maradnának az adatok. 

A fenti megállapodás azt is sugallja, hogy a megfelelőségi határozat elfogadása folyamatban lehet, de az átmeneti időszak végéig nem sikerült azt elfogadni, így ennek elfogadásához további időre van szükség, talán nem függetlenül a Schrems II. ítélet kapcsán a harmadik országokba történő adattovábbításokkal szemben támasztott szigorúbb követelményektől. (A Schrems II. ítélettel és annak következményeivel a NAIH által szervezett adatvédelmi tisztviselők 2020-as konferenciájának egyik előadása is részletesen foglalkozott.)