Although the UK withdrew from the European Union in February this year, EU law will continue to apply to the British Isles until the end of the year. Even though not every detail has been agreed upon, the relationship between EU countries and the UK will change radically from 2021 onwards. In the fourth part of the article series summarising the legal changes caused by Brexit, experts from our Budapest office answer questions concerning data protection rules.

Visszasírhatják a GDPR-t a brit partnerekkel üzletelő magyar vállalkozások

Bár az Egyesült Királyság idén februárban kilépett az Európai Unióból, az év végéig továbbra is alkalmazandó az uniós jog a brit szigeteken. 2021-től azonban gyökeresen meg fog változni a kapcsolatunk az Egyesült Királysággal, ezekre a változásokra pedig a magyar vállalkozásoknak is érdemes figyelniük. A Brexit miatt életbe lépő jogi változásokat összegző cikksorozat negyedik részében a Taylor Wessing Budapest ügyvédi iroda szakértői az adatvédelmet érintő kérdéseket válaszolták meg.

Az átmeneti időszak lezárulta különösen nagy terhet ró majd azokra a cégekre, amelyek az Egyesült Királyságban lévő kapcsolt vállalkozásaik vagy szerződéses partnereik számára személyes adatokat továbbítanak.

A kilépésről rendelkező megállapodás értelmében azok a személyes adatok, melyeket az átmeneti időszak végéig az Egyesült Királyságba továbbítanak, az EU Általános Adatvédelmi Rendelete (GDPR) szerinti védelemben részesülnek az átmeneti időszak lezárulta után is. Ez azt jelenti, hogy az ilyen adatokat kezelő brit cégeknek továbbra is meg kell felelniük a GDPR szigorú követelményeinek.

Az átmeneti időszakot követően személyes adatoknak az Egyesült Királyságba történő továbbítása azonban cselekvést igényelhet a magyar adattovábbítóktól. Ha az Európai Bizottság nem ad ki az Egyesült Királyságra vonatkozóan megfelelőségi határozatot, amellyel elismeri, hogy a brit jogrendszer megfelelő védelmet nyújt a személyes adatoknak, akkor az oda adatot továbbító magyar cégeknek alapvetően két választási lehetőségük lesz:

Az ugyanabba a cégcsoportba tartozó vállalkozások kötelező erejű vállalati szabályokat vezethetnek be (ún. BCR), ezt azonban a magyar adatvédelmi hatóságnak egy hosszadalmas eljárás keretében jóvá kell hagynia, így az erre irányuló eljárást már jóval az átmeneti időszak vége előtt meg kell indítani.
Egyéb esetekben a brit partnerrel a Bizottság által elfogadott általános adatvédelmi kikötéseket (ún. SCC) tartalmazó szerződést kell kötni az adattovábbításra. Az SCC-k jogi helyzete azonban az Európai Unió Bíróságának nemrégi, Schrems II néven elhíresült döntése miatt igencsak bizonytalan, és állandó felülvizsgálat tárgyát képezik.