Rząd Wielkiej Brytanii przedstawia Parlamentowi poprawioną wersję swoich reform ochrony danych po Brexicie, które, jak twierdzi, pozwolą organizacjom zaoszczędzić 4,7 miliarda funtów w ciągu następnej dekady.
Pierwotnie przedstawiony Parlamentowi w lipcu 2022 rdrugie czytanie ustawy o ochronie danych i informacji cyfrowej miało się odbyć 5 września – w dniu zakończenia wyborów przywódczych Partii Konserwatywnej – ale zostało przesunięte, aby „ministrowie mieli czas na dalsze rozważenie ustawy”.
Rząd twierdzi teraz, że zaktualizowana ustawa wprowadzi proste, jasne i przyjazne dla biznesu ramy, które nie będą trudne ani kosztowne do wdrożenia, zapewniając firmom większą elastyczność w zakresie przestrzegania nowych przepisów dotyczących danych i dodatkowo zmniejszając ilość dokumenty wymagane przez organizacje w celu wykazania zgodności.
W wyniku ograniczenia formalności rząd stwierdził, że tylko organizacje, których działania związane z przetwarzaniem mogą stwarzać wysokie ryzyko dla praw i wolności jednostki (np. przetwarzanie dużych ilości wrażliwych danych dotyczących zdrowia ludzi) będą musiały przechowywać rejestry przetwarzania.
„Ten nowy projekt ustawy, opracowany wspólnie z biznesem od samego początku, gwarantuje, że niezwykle ważny system ochrony danych jest dostosowany do potrzeb Wielkiej Brytanii i naszych zwyczajów” — powiedziała Michelle Donelan, sekretarz ds. nauki, innowacji i technologii.
„Nasz system będzie łatwiejszy do zrozumienia, łatwiejszy do przestrzegania i wykorzysta wiele możliwości Wielkiej Brytanii po Brexicie. Nasze przedsiębiorstwa i obywatele nie będą już musieli plątać się wokół europejskiego RODO opartego na barierach [General Data Protection Regulation].
„Nasze nowe przepisy zwalniają brytyjskie firmy z niepotrzebnej biurokracji, aby odblokować nowe odkrycia, rozwijać technologie nowej generacji, tworzyć miejsca pracy i pobudzać naszą gospodarkę”.
Rząd dodał, że poprawiona ustawa będzie również wspierać wzrost handlu międzynarodowego bez tworzenia dodatkowych kosztów dla przedsiębiorstw, które już przestrzegają istniejących przepisów o ochronie danych, a także zaufanie społeczne do wykorzystania technologii sztucznej inteligencji (AI). poprzez wyjaśnienie okoliczności, w których zabezpieczenia mają zastosowanie do zautomatyzowanego podejmowania decyzji.
Na przykład, jeśli zautomatyzowana decyzja została podjęta bez „znaczącego zaangażowania człowieka”, dana osoba będzie mogła zakwestionować tę decyzję i poprosić inną osobę o sprawdzenie wyniku. Jednak rząd nie określił jak wyglądałby znaczący wkład człowieka.
Rząd twierdził, że obowiązujące w Wielkiej Brytanii przepisy dotyczące ochrony danych są „skomplikowane i niejasne w przypadku wyłącznie zautomatyzowanego podejmowania decyzji i profilowania”, co utrudnia organizacjom „odpowiedzialne korzystanie z tego typu technologii”.
Nowy system zapewni również organizacjom większą pewność co do tego, kiedy mogą przetwarzać dane osobowe bez zgody osób, na przykład, gdy istnieje interes publiczny w udostępnianiu danych osobowych w celu zapobiegania przestępczości lub ochrony bezpieczeństwa narodowego.
Społeczeństwo obywatelskie reaguje
Jednak w odpowiedzi na nowelizację i ponowne wprowadzenie ustawy 26 organizacji społeczeństwa obywatelskiego – w tym m.in Otwarta Grupa Praw (ORG), tzw App Driver’s and Couriers Union, Wolność, Zegarek Wielkiego Bratai United Tech i Allied Workerspośród innych – podpisał list otwarty do Donelana wzywając do złomowania go i zabrania z powrotem na deskę kreślarską.
„Najnowsza wersja ustawy zawierała wiele niepokojących i nieprzemyślanych propozycji, które zagrażają mieszkańcom Wielkiej Brytanii i ochronie danych w Wielkiej Brytanii” – napisali.
„W ostatnich miesiącach fala ustawodawstwa (związanego z protestami, wolnością słowa i nie tylko) próbowała skonsolidować władzę w rękach rządu i korporacji kosztem praw zwykłych ludzi. Podążając za tym trendem, proponowane zmiany w tej ustawie ograniczą właściwy nadzór nad przetwarzaniem danych, zagrożą poufnym informacjom o mieszkańcach Wielkiej Brytanii i stworzą możliwości dyskryminacji grup szczególnie wrażliwych”.
W szczególności sygnatariusze zauważyli, że ustawa zmieni proces oceny skutków dla ochrony danych, tak aby organizacje nie musiały już konsultować się z osobami, których dane dotyczą, których dotyczy przetwarzanie wysokiego ryzyka; obniżyć progi dla organizacji, które mogą odrzucić wnioski o dostęp podmiotu; i usunąć prawo osób fizycznych do niepodlegania zautomatyzowanemu podejmowaniu decyzji.
Dodali, że rząd będzie mógł również ingerować w funkcję regulacyjną kraju Biuro Rzecznika Informacji (ICO) i zezwolić sekretarzowi stanu na zatwierdzanie międzynarodowych transferów bez uwzględniania istnienia egzekwowalnych praw i skutecznych środków prawnych.
Sekretarz stanu będzie mógł też tworzyć nowe prawnie uzasadnione podstawy do przetwarzania danych, które niosą ze sobą potencjalne nadużycia.
„Klauzule 5 i 6 ustawy pozwoliłyby sekretarzowi stanu na legitymizację wykorzystywania i ponownego wykorzystywania danych za pomocą instrumentu ustawowego (SI) bez znaczącej kontroli parlamentarnej i bez należytego uwzględnienia proporcjonalności lub wpływu na prawa i wolności jednostek” – napisali .
„Współpraca ORG z organizacjami reprezentującymi grupy nadmiernie policyjne ujawniła, w jaki sposób uzasadnienia gromadzenia i przechowywania danych czają się poza zwykłymi protokołami wymiaru sprawiedliwości w sprawach karnych i są ukierunkowane na grupy mniejszościowe na bardzo subiektywnych podstawach”.
Branża reaguje
Firmy technologiczne przyjęły projekt ustawy znacznie bardziej pozytywnie. Na przykład dyrektor generalny TechUK, Julian David, powiedział, że zapewni to organizacjom przejrzystość i elastyczność podczas korzystania z danych osobowych.
„Ogłoszone dziś zmiany dadzą firmom większą pewność prawną w prowadzeniu badań, dostarczaniu podstawowych usług biznesowych i rozwijaniu nowych technologii, takich jak sztuczna inteligencja, przy jednoczesnym zachowaniu poziomu ochrony danych zgodnego z najwyższymi światowymi standardami, w tym m.in. adekwatność danych z UE— powiedział Dawid.
Chris Combemale, przewodniczący Business Advisory Group Billa i dyrektor generalny Data & Marketing Association (DMA UK), dodał: „Jesteśmy przekonani, że ustawa powinna działać jako katalizator innowacji i wzrostu, przy jednoczesnym utrzymaniu solidnej ochrony prywatności w całej Wielkiej Brytanii. – niezbędna równowaga, która zbuduje zaufanie konsumentów do gospodarki cyfrowej.”
Poprawiona ustawa została również przyjęta z zadowoleniem przez komisarza ds. Informacji, Johna Edwardsa, który powiedział, że popiera jej „ambicję umożliwienia organizacjom rozwoju i innowacji przy jednoczesnym zachowaniu wysokich standardów praw do ochrony danych. Przepisy dotyczące ochrony danych muszą dawać ludziom pewność, że mogą dzielić się swoimi informacjami w celu korzystania z produktów i usług, które napędzają naszą gospodarkę i społeczeństwo.
„Ustawa zapewni, że moje biuro będzie mogło nadal działać jako zaufany, uczciwy i niezależny organ regulacyjny. Z niecierpliwością czekamy na kontynuację konstruktywnej pracy z rządem, aby monitorować, w jaki sposób te reformy są wyrażone w ustawie, która jest kontynuowana w parlamencie”.