P9_TA(2021)0262

Primeraná ochrana osobných údajov zo strany Spojeného kráľovstva

Uznesenie Európskeho parlamentu z 21. mája 2021 o primeranej ochrane osobných údajov zo strany Spojeného kráľovstva (2021/2594(RSP))

(2022/C 15/23)

Európsky parlament,

—	so zreteľom na Chartu základných práv Európskej únie (ďalej len „charta“), najmä na jej články 7, 8, 16, 47 a 52,

—	so zreteľom na rozsudok Súdneho dvora Európskej únie zo 16. júla 2020 vo veci C-311/18, Data Protection Commissioner proti Facebook Ireland Limited a Maximillianovi Schremsovi (ďalej len „rozsudok vo veci Schrems II“) (1),

—	so zreteľom na rozsudok Súdneho dvora Európskej únie zo 6. októbra 2015 vo veci C-362/14, Maximillian Schrems proti Data Protection Commissioner (ďalej len „rozsudok vo veci Schrems I“) (2),

—	so zreteľom na rozsudok Súdneho dvora Európskej únie zo 6. októbra 2020 vo veci C-623/17, Privacy International proti Secretary of State for Foreign and Commonwealth Affairs (3),

—

so zreteľom na svoje uznesenie z 12. marca 2014 o programe sledovania Národnej bezpečnostnej agentúry Spojených štátov amerických, orgánoch sledovania v jednotlivých členských štátoch a ich vplyve na základné práva občanov EÚ a na transatlantickú spoluprácu v oblasti spravodlivosti a vnútorných vecí (4),

—	so zreteľom na uznesenie z 5. júla 2018 o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA (5),

—	so zreteľom na svoje uznesenie z 25. októbra 2018 o využívaní údajov používateľov Facebooku spoločnosťou Cambridge Analytica a dosahu na ochranu údajov (6),

—	so zreteľom na svoje uznesenie z 20. mája 2021 o rozsudku Súdneho dvora Európskej únie zo 16. júla 2020 – Data Protection Commissioner/Facebook Ireland Limited, Maximillian Schrems (Schrems II) – vec C-311/1 (7);

—	so zreteľom na svoje uznesenie z 26. novembra 2020 o preskúmaní obchodnej politiky EÚ (8),

—	so zreteľom na Dohodu o obchode a spolupráci z 31. decembra 2020 medzi Európskou úniou a Európskym spoločenstvom pre atómovú energiu na jednej strane a Spojeným kráľovstvom Veľkej Británie a Severného Írska na strane druhej (9),

—	so zreteľom na svoje uznesenie z 28. apríla 2021 o výsledku rokovaní medzi EÚ a Spojeným kráľovstvom (10),

—	so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (11) (všeobecné nariadenie o ochrane údajov),

—

so zreteľom na smernicu Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov (12) (smernica o presadzovaní práva v oblasti ochrany údajov),

—	so zreteľom na smernicu Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcu sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (13),

—	so zreteľom na návrh Komisie z 10. januára 2017 na nariadenie Európskeho parlamentu a Rady o rešpektovaní súkromného života a ochrane osobných údajov v elektronických komunikáciách (COM(2017)0010) a na pozíciu Európskeho parlamentu k nemu, prijatú 20. októbra 2017 (14),

—

so zreteľom na odporúčania Európskeho výboru pre ochranu údajov (EDPB) vrátane jeho vyhlásenia z 9. marca 2021 o nariadení o súkromí a elektronických komunikáciách a odporúčaní č. 01/2020 z 10. novembra 2020 o opatreniach, ktoré dopĺňajú nástroje na prenos s cieľom zabezpečiť súlad s úrovňou ochrany osobných údajov v EÚ,

—	so zreteľom na referenčné kritérium primeranosti, ktoré 6. februára 2018 prijala pracovná skupina pre ochranu údajov zriadená podľa článku 29 a ktoré schválil EDPB,

—	so zreteľom na odporúčania EDPB č. 01/2021 z 2. februára 2021 týkajúce sa referenčného kritéria primeranosti podľa smernice o presadzovaní práva v oblasti ochrany údajov,

—	so zreteľom na návrhy rozhodnutí o primeranosti, ktoré Komisia uverejnila 19. februára 2021 a z ktorých jeden bol prijatý podľa všeobecného nariadenia o ochrane údajov (15) a druhý podľa smernice o presadzovaní práva v oblasti ochrany údajov (16),

—	so zreteľom na stanoviská EDPB č. 14/2021 a 15/2021 z 13. apríla 2021 k návrhu vykonávacieho rozhodnutia Európskej komisie podľa smernice (EÚ) 2016/680 o primeranej ochrane osobných údajov v Spojenom kráľovstve,

—	so zreteľom na Európsky dohovor o ľudských právach (EDĽP) a Dohovor Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov, ako aj na jeho pozmeňujúci protokol („dohovor 108+“), ktorého je Spojené kráľovstvo zmluvnou stranou,

—	so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) č. 182/2011 zo 16. februára 2011, ktorým sa ustanovujú pravidlá a všeobecné zásady mechanizmu, na základe ktorého členské štáty kontrolujú vykonávanie vykonávacích právomocí Komisie,

—	so zreteľom na článok 132 ods. 2 rokovacieho poriadku,

—	so zreteľom na návrh uznesenia Výboru pre občianske slobody, spravodlivosť a vnútorné veci,

keďže schopnosť prenášať osobné údaje cez hranice môže byť kľúčovou hnacou silou inovácií, produktivity a hospodárskej konkurencieschopnosti a má kľúčový význam z hľadiska účinnej spolupráce v boji proti cezhraničnej organizovanej a závažnej trestnej činnosti, ako aj v boji proti terorizmu, ktorý čoraz viac závisí od výmeny osobných údajov;

keďže Súdny dvor Európskej únie vo svojom rozsudku vo veci Schrems I poukázal na to, že nediferencovaný prístup spravodajských orgánov k obsahu elektronických komunikácií porušuje podstatu práva na dôvernosť komunikácií, ako sa stanovuje v článku 7 charty, a že Spojené štáty neposkytujú dostatočné právne prostriedky nápravy pre osoby, ktoré nie sú občanmi USA, proti hromadnému sledovaniu, čo je v rozpore s článkom 47 charty;

keďže Spojené kráľovstvo je oddávna dôležitým obchodným partnerom mnohých členských štátov EÚ, ako aj blízkym spojencom v oblasti bezpečnosti; keďže EÚ a Spojené kráľovstvo by mali pokračovať v tejto úzkej spolupráci napriek vystúpeniu Spojeného kráľovstva z EÚ, pretože to bude prospešné pre obe strany;

keďže európske podniky potrebujú právnu zrozumiteľnosť a istotu, pretože schopnosť prenášať osobné údaje cez hranice sa stáva čoraz dôležitejšou pre všetky typy spoločností, ktoré dodávajú tovar a poskytujú služby na medzinárodnej úrovni; keďže rozhodnutie o primeranosti týkajúce sa Spojeného kráľovstva podľa všeobecného nariadenia o ochrane údajov je mimoriadne dôležité, pretože mnohé európske podniky uskutočňujú obchod cez Lamanšský prieliv, najmä vzhľadom na skutočnosť, že k brexitu došlo len nedávno a toky údajov v rámci Únie nepodliehajú obmedzeniam; keďže neprijatie spoľahlivého rámca primeranosti by mohlo viesť k narušeniu komerčných cezhraničných prenosov osobných údajov medzi EÚ a Spojeným kráľovstvom, ako aj k vysokým nákladom na dodržiavanie predpisov;

keďže dohoda o obchode a spolupráci obsahuje niekoľko záruk a podmienok týkajúcich sa výmeny relevantných osobných údajov v kontexte presadzovania práva; keďže rokovania o toku osobných údajov sa viedli súbežne s rokovaniami o dohode o obchode a spolupráci, ale do konca prechodného obdobia 31. decembra 2020 sa ich nepodarilo ukončiť; keďže do dohody o obchode a spolupráci bola ako dočasné riešenie zahrnutá premosťovacia doložka podmienená tým, že Spojené kráľovstvo sa zaviaže nezmeniť svoj súčasný režim ochrany údajov, s cieľom zabezpečiť neprerušený tok osobných údajov medzi Spojeným kráľovstvom a EÚ až do prijatia rozhodnutia o primeranosti; keďže počiatočné štvormesačné obdobie bolo predĺžené a uplynie koncom júna 2021;

keďže posúdenie, ktoré vykonala Komisia pred predložením svojho návrhu vykonávacieho rozhodnutia, nebolo úplné ani v súlade s požiadavkami Súdneho dvora Európskej únie na posudzovanie primeranosti, čo výbor EDPB zdôraznil vo svojich stanoviskách k primeranosti, v ktorých Komisii radí, aby ďalej posudzovala konkrétne aspekty práva a praxe Spojeného kráľovstva týkajúce sa hromadného zberu informácií, ich zverejňovania v zahraničí a medzinárodných dohôd v oblasti výmeny spravodajských informácií, ďalšieho využívania informácií zhromaždených na účely presadzovania práva a nezávislosti súdnych komisárov;

keďže niektoré aspekty práva a/alebo praxe Spojeného kráľovstva Komisia nezohľadnila, čo viedlo k vypracovaniu návrhov vykonávacích rozhodnutí, ktoré nie sú v súlade s právom EÚ; keďže v článku 45 všeobecného nariadenia o ochrane údajov sa uvádza, že „pri posudzovaní primeranosti úrovne ochrany zohľadňuje Komisia najmä … príslušné právne predpisy, a to všeobecné aj odvetvové, vrátane predpisov týkajúcich sa verejnej bezpečnosti, obrany, národnej bezpečnosti a trestného práva a prístupu orgánov verejnej moci k osobným údajom, ako aj vykonávanie takýchto právnych predpisov, pravidiel ochrany údajov, profesijných pravidiel a bezpečnostných opatrení vrátane pravidiel pre následný prenos osobných údajov do ďalšej tretej krajiny alebo medzinárodnej organizácii, ktoré sa v danej tretej krajine alebo medzinárodnej organizácii dodržiavajú, judikatúra“, a že „medzinárodné záväzky, ktoré dotknutá tretia krajina alebo medzinárodná organizácia prevzala, alebo iné záväzky vyplývajúce z právne záväzných dohovorov alebo nástrojov, ako aj z jej účasti na viacstranných alebo regionálnych systémoch, najmä vo vzťahu k ochrane osobných údajov“, čo zahŕňa aj medzinárodné dohody v iných oblastiach, ktorých súčasťou je prístup k údajom alebo výmena informácií, a preto je nevyhnutné vykonať posúdenie takýchto medzinárodných dohôd;

keďže Súdny dvor Európskej únie vo svojom rozsudku vo veci Schrems I jasne uviedol, že „pri skúmaní úrovne ochrany ponúkanej treťou krajinou musí Komisia posúdiť obsah pravidiel uplatniteľných v tejto krajine, ktoré vyplývajú z vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, ako aj prax smerujúcu k zabezpečeniu dodržiavania týchto pravidiel, pričom táto inštitúcia musí v súlade s článkom 25 ods. 2 smernice 95/46/ES zohľadniť všetky okolnosti týkajúce sa prenosu osobných údajov do tretej krajiny“ (odsek 75);

keďže činnosti spravodajských služieb a výmena informácií s tretími krajinami sú podľa zmlúv vylúčené z rozsahu pôsobnosti práva EÚ, pokiaľ ide o členské štáty, keďže sú zahrnuté do rozsahu nevyhnutného posúdenia primeranosti úrovne ochrany osobných údajov poskytovanej tretími krajinami, ako to potvrdil Súdny dvor Európskej únie v rozsudkoch Schrems I a Schrems II;

J.	keďže normy ochrany údajov sa opierajú nielen o platné právne predpisy, ale aj o ich uplatňovanie v praxi, a keďže Komisia pri príprave svojho rozhodnutia posúdila len tieto právne predpisy a nie ich skutočné uplatňovanie v praxi;

keďže Komisia v súčasnosti uznáva 12 tretích krajín ako krajiny poskytujúce primeranú ochranu podľa všeobecného nariadenia o ochrane údajov, a nedávno v tejto súvislosti uzavrela rozhovory s Kórejskou republikou; keďže Spojené kráľovstvo je prvou krajinou, ktorej Komisia navrhuje vydať rozhodnutie o primeranosti podľa smernice o presadzovaní práva;

keďže prípad Spojeného kráľovstva sa odlišuje od všetkých predchádzajúcich posúdení primeranosti, pretože sa týka bývalého členského štátu EÚ, ktorý začlenil ustanovenia všeobecného nariadenia o ochrane údajov do svojho vnútroštátneho práva a okrem toho stanovil, že všetky „vnútroštátne právne predpisy odvodené od práva EÚ“ vrátane právnych predpisov, ktorými sa transponuje smernica o presadzovaní práva, sa budú naďalej uplatňovať aj po skončení prechodného obdobia;

I. VŠEOBECNÉ NARIADENIE O OCHRANE ÚDAJOV

Všeobecné pripomienky

konštatuje, že Spojené kráľovstvo je signatárom EDĽP a Dohovoru Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov; očakáva, že Spojené kráľovstvo zabezpečí rovnaký minimálny rámec ochrany údajov napriek tomu, že vystúpilo z Európskej únie;

víta záväzok Spojeného kráľovstva rešpektovať demokraciu a zásadu právneho štátu a chrániť a na vnútroštátnej úrovni uplatňovať základné práva, ako sú práva stanovené v EDĽP, vrátane vysokej úrovne ochrany údajov; pripomína, že je to nevyhnutný predpoklad na spoluprácu EÚ so Spojeným kráľovstvom; pripomína, že napriek tomu, že článok 8 EDĽP o práve na súkromie je súčasťou vnútroštátneho práva Spojeného kráľovstva prostredníctvom zákona o ľudských právach z roku 1998 a súčasťou common law prostredníctvom nového deliktu zneužitia súkromných informácií, vláda hlasovala proti začleneniu základného práva na ochranu údajov;

poukazuje na to, že EÚ sa pri vypracúvaní spoľahlivých pravidiel ochrany údajov podľa všeobecného nariadenia o ochrane údajov rozhodla pre prístup zameraný na ľudské práva, a preto vyjadruje hlboké znepokojenie nad verejnými vyhláseniami predsedu vlády Spojeného kráľovstva, v ktorých uviedol, že Spojené kráľovstvo sa bude snažiť odchýliť od pravidiel ochrany údajov EÚ a zaviesť vlastné „zvrchované“ kontroly v tejto oblasti; domnieva sa, že národná dátová stratégia Spojeného kráľovstva z roku 2020 predstavuje prechod od ochrany osobných údajov k širšiemu používaniu a výmene údajov, ktoré nie sú zlučiteľné so zásadami spravodlivosti, minimalizácie údajov a obmedzenia účelu podľa všeobecného nariadenia o ochrane údajov; konštatuje, že výbor EDPB vo svojich stanoviskách k primeranosti zdôraznil, že by to mohlo viesť k možným rizikám vo vzťahu k ochrane osobných údajov prenášaných z EÚ;

poukazuje na to, že právoplatné rozhodnutia o primeranosti vo veľkej miere prispievajú k ochrane základných práv jednotlivcov a právnej istote pre spoločnosti; zdôrazňuje však, že rozhodnutia o primeranosti založené na neúplnom posúdení a bez riadneho presadzovania zo strany Komisie môžu mať pri napadnutí na súde opačný účinok;

Presadzovanie všeobecného nariadenia o ochrane údajov

vyjadruje znepokojenie nad nedostatkom a často aj absenciou presadzovania všeobecného nariadenia o ochrane údajov zo strany Spojeného kráľovstva v čase, keď bolo stále členom EÚ; poukazuje najmä na nedostatok riadneho presadzovania zo strany Úradu komisára pre informácie Spojeného kráľovstva v minulosti; poukazuje na príklad komisára pre informácie (ICO), ktorý po zorganizovaní dvoch podujatí zainteresovaných strán uzavrel sťažnosť týkajúcu sa reklamných technológií a vypracoval správu (Update Report on Adtech), v ktorej uviedol, že „odvetvie reklamných technológií sa zdá byť v chápaní požiadaviek na ochranu údajov nevyspelé“, ale nevyužil žiadne zo svojich právomocí v oblasti presadzovania práva (17); vyjadruje znepokojenie nad tým, že nepresadzovanie práva je štrukturálnym problémom, ako je stanovené v politike regulačných opatrení ICO, v ktorej sa výslovne uvádza, že „vo väčšine prípadov využijeme naše právomoci pri najzávažnejších prípadoch, ktoré predstavujú najvážnejšie porušenia povinností v oblasti práv na informácie. Zvyčajne ide o svojvoľné, úmyselné alebo nedbanlivé činy alebo opakované porušenia povinností týkajúcich sa práv na informácie, ktoré spôsobujú jednotlivcom ujmu alebo škodu“; zdôrazňuje, že v praxi to znamená, že v prípade veľkého počtu porušení právnych predpisov o ochrane údajov v Spojenom kráľovstve preto nebola zabezpečená náprava;

berie na vedomie národnú dátovú stratégiu Spojeného kráľovstva, aktualizovanú 9. decembra 2020, ktorá naznačuje prechod od ochrany osobných údajov k zvýšenému a širšiemu používaniu a výmene údajov; poukazuje na to, že postoj uvedený v stratégii, že „neposkytovanie údajov môže mať negatívny vplyv na spoločnosť“, nie je zlučiteľný so zásadami minimalizácie údajov a obmedzenia účelu podľa všeobecného nariadenia o ochrane údajov a primárneho práva;

berie na vedomie, že výbor pre ústavné veci v roku 2004 (18) a výbor pre verejné veci parlamentu Spojeného kráľovstva v roku 2014 (19) odporučili zabezpečiť nezávislosť ICO tým, že sa stane úradníkom parlamentu, ktorý by podliehal parlamentu a nebude ho už vymenúvať minister pre digitálne médiá a šport; vyjadruje poľutovanie nad tým, že sa toto odporúčanie nevykonalo;

Spracovanie údajov na účely imigračnej kontroly

berie na vedomie, že právne predpisy Spojeného kráľovstva o ochrane údajov obsahujú výnimku z určitých aspektov základných práv a zásad ochrany údajov, ako je právo prístupu a právo dotknutej osoby vedieť, komu boli jej údaje poskytnuté, ak by takáto ochrana „poškodzovala účinnú imigračnú kontrolu“; zdôrazňuje, že monitorovanie a dodržiavanie využívania výnimky sa musí vykonávať v súlade s normami stanovenými v referenčnom rámci primeranosti, ktorý vyžaduje zohľadnenie postupov a zásad, pričom poukazuje na to, že „je potrebné zohľadniť nielen obsah pravidiel vzťahujúcich sa na osobné údaje prenášané do tretej krajiny…, ale aj systém zavedený v záujme zabezpečenia účinnosti týchto pravidiel“; uznáva, že túto výnimku, ktorú môžu využiť všetci prevádzkovatelia v Spojenom kráľovstve, schválil úrad ICO a súd a možno ju uplatniť len na individuálnom základe a iba nevyhnutným a primeraným spôsobom; pripomína nedávno odhalené informácie, podľa ktorých bolo v súvislosti so údajmi spracúvanými ministerstvom vnútra týkajúcimi sa 146,75 milióna dotknutých osôb v čase od 1. apríla 2018 do 31. marca 2019 podaných 17 780 žiadostí o prístup a že imigračná výnimka bola v roku 2020 využitá vo viac ako 70 % žiadostí dotknutých osôb adresovaných ministerstvu vnútra (20); zdôrazňuje, že dokonca aj v prípadoch, keď ministerstvo vnútra využilo výnimku, nebol prístup k informáciám úplne zamietnutý, ale bol iba obmedzený na upravené dokumenty

10.

konštatuje, že táto výnimka sa teraz vzťahuje na občanov EÚ s pobytom v Spojenom kráľovstve alebo vo vzťahu k občanom, ktorí takýto pobyt plánujú; vyjadruje veľké znepokojenie nad tým, že táto výnimka odstraňuje kľúčové možnosti zodpovednosti a prostriedkov nápravy, a zdôrazňuje, že nepredstavuje primeranú úroveň ochrany;

11.

opakuje svoje vážne znepokojenie nad výnimkou z práv dotknutých osôb v rámci imigračnej politiky Spojeného kráľovstva; opakuje svoje stanovisko, že pred vydaním právoplatného rozhodnutia o primeranosti je potrebné zmeniť výnimku týkajúcu sa spracúvania osobných údajov na imigračné účely v rámci zákona Spojeného kráľovstva o ochrane údajov, ako to opakovane vyjadril aj vo svojom uznesení z 12. februára 2020 o návrhu mandátu na rokovania o novom partnerstve so Spojeným kráľovstvom Veľkej Británie a Severného Írska (21) a v stanovisku Výboru pre občianske slobody, spravodlivosť a vnútorné veci z 5. februára 2021 (22); vyzýva Komisiu, aby sa snažila o zrušenie imigračnej výnimky alebo aby zabezpečila jej reformu tak, aby výnimka a jej používanie poskytovali dotknutým osobám dostatočné záruky a neporušovali normy, ktorých splnenie sa od tretej krajiny očakáva;

Hromadné sledovanie

12.

pripomína odhalenie hromadného sledovania vykonávaného Spojenými štátmi a Spojeným kráľovstvom, ktoré zverejnil oznamovateľ Edward Snowden; pripomína, že program Tempora Spojeného kráľovstva, ktorý spravuje komunikačné ústredie vlády Spojeného kráľovstva (GCHQ), zachytáva komunikáciu v reálnom čase prostredníctvom hlavných internetových optických káblov a zaznamenáva údaje tak, aby sa neskôr dali spracovať a vyhľadať; pripomína, že toto hromadné sledovanie komunikačného obsahu a metaúdajov sa uskutočňuje bez ohľadu na to, či existujú nejaké konkrétne podozrenia alebo cieľové údaje;

13.

pripomína, že v rozsudkoch Schrems I a Schrems II Súdny dvor Európskej únie rozhodol, že hromadný prístup k obsahu súkromnej komunikácie sa dotýka podstaty práva na súkromie a že v takýchto prípadoch sa test nevyhnutnosti a proporcionality už nevyžaduje; zdôrazňuje, že tieto zásady sa vzťahujú na prenos údajov do iných tretích krajín ako USA vrátane Spojeného kráľovstva;

14.

pripomína svoje zistenie uvedené v uznesení z 12. marca 2014, že programy hromadného sledovania všetkých ľudí bez rozdielu, ktoré nie sú založené na podozreniach a ktoré vykonáva spravodajská agentúra Spojeného kráľovstva GCHQ, sú nezlučiteľné so zásadami nevyhnutnosti a proporcionality v demokratickej spoločnosti a nie sú podľa právnych predpisov EÚ o ochrane údajov primerané; uznáva, že Spojené kráľovstvo odvtedy výrazne zreformovalo svoje právne predpisy týkajúce sa sledovania a zaviedlo záruky, ktoré presahujú podmienky vymedzené Súdnym dvorom Európskej únie (SDEÚ) v rozsudku vo veci Schrems II (23), a záruky stanovené v právnych predpisoch väčšiny členských štátov o sledovaní; víta najmä zabezpečenie úplného prístupu k účinným prostriedkom súdnej nápravy; pripomína, že osobitný spravodajca OSN pre právo na súkromie privítal silné záruky zavedené zákonom o vyšetrovacích právomociach (IPA) z roku 2016, pokiaľ ide o nevyhnutnosť, proporcionalitu a nezávislé schválenie súdnym orgánom;

15.

pripomína, že Európsky súd pre ľudské práva v septembri 2018 potvrdil, že programy masového zachytávania a uchovávania údajov Spojeného kráľovstva vrátane programu Tempora sú „nezákonné a nezlučiteľné s predpokladmi demokratickej spoločnosti“ (24);

16.

považuje za neprijateľné, že v návrhoch rozhodnutí o primeranosti sa nezohľadňuje nedostatočné obmedzenie využívania právomocí Spojeného kráľovstva, pokiaľ ide o hromadné údaje, ani skutočné využívanie operácií Spojeného kráľovstva a Spojených štátov zameraných na sledovanie, ako na ne poukázal Edward Snowden, vrátane skutočností, že;

a)	ICO alebo súdy nevykonávajú účinný zásadný dohľad nad využívaním výnimky týkajúcej sa národnej bezpečnosti v právnych predpisoch Spojeného kráľovstva o ochrane údajov;

b)	obmedzenie využívania „právomocí v oblasti hromadných údajov“ zo strany Spojeného kráľovstva nie je stanovené v samotnom práve, ako to vyžaduje Súdny dvor Európskej únie (ale toto obmedzenie je skôr ponechané na výkonnú moc pod podmienkou „rešpektujúceho“ súdneho preskúmania);

opis „sekundárnych údajov“ (metaúdajov) v návrhoch rozhodnutí je veľmi zavádzajúci a nezahŕňa skutočnosť, že takéto údaje môžu odhaľovať veľa informácií a narúšať súkromie a že sú predmetom sofistikovaných automatizovaných analýz (ako to konštatoval Súdny dvor Európskej únie v rozsudku Digital Rights Ireland) (25), pričom podľa práva Spojeného kráľovstva nie sú metaúdaje zmysluplne chránené pred nenáležitým prístupom, hromadným zhromažďovaním a analýzami založenými na umelej inteligencii zo strany spravodajských agentúr Spojeného kráľovstva;

d)	agentúry Five Eyes, najmä GCHQ a Národná bezpečnostná agentúra (NSA), si v praxi vymieňajú všetky spravodajské informácie;

poukazuje na to, že v súvislosti so Spojenými štátmi sa na občanov Spojeného kráľovstva navyše vzťahujú isté neformálne záruky stanovené medzi GCHQ a NSA; vyjadruje hlboké znepokojenie nad tým, že tieto záruky by nechránili občanov EÚ alebo osoby s pobytom v EÚ, ktorých údaje by mohli byť predmetom následných prenosov a výmeny údajov s NSA;

17.

vyzýva členské štáty, aby so Spojeným kráľovstvom uzatvorili protišpionážne dohody, a vyzýva Komisiu, aby využila svoje kontakty s partnermi v Spojenom kráľovstve a dala najavo, že ak nedôjde k zmene právnych predpisov a praxe Spojeného kráľovstva v oblasti sledovania, jedinou uskutočniteľnou možnosťou na uľahčenie rozhodnutí o primeranosti by bolo uzavretie „protišpionážnych dohôd“ s členskými štátmi;

Následné prenosy

18.

rozhodne zdôrazňuje, že v zákone o vystúpení z Európskej únie z roku 2018 sa stanovuje, že judikatúra Súdneho dvora Európskej únie vytvorená pred koncom prechodného obdobia sa stane „ponechaným právom Únie“ a bude teda pre Spojené kráľovstvo právne záväzná; poukazuje na to, že Spojené kráľovstvo je pri posudzovaní primeranosti iných tretích krajín viazané zásadami a podmienkami vymedzenými v rozsudkoch Súdneho dvora EÚ vo veci Schrems I a Schrems II; vyjadruje znepokojenie nad tým, že súdy Spojeného kráľovstva už však nebudú uplatňovať chartu; poukazuje na to, že Spojené kráľovstvo už nepatrí do jurisdikcie Súdneho dvora EÚ, ktorý je najvyššou inštanciou, ktorá môže vykladať chartu;

19.

poukazuje na to, že pravidlá Spojeného kráľovstva, ktoré sa vzťahujú na výmenu osobných údajov podľa zákona o digitálnom hospodárstve z roku 2017 a na následné prenosy výskumných údajov, zjavne nie sú „v podstate rovnocenné“ s pravidlami stanovenými vo všeobecnom nariadení o ochrane údajov, ako ich vykladá Súdny dvor Európskej únie;

20.

vyjadruje znepokojenie nad tým, že Spojené kráľovstvo si udelilo právo vyhlásiť, že iné tretie krajiny alebo územia poskytujú primeranú ochranu údajov, a to bez ohľadu na to, či EÚ dotknutej tretej krajine alebo územiu priznala status poskytovania takejto ochrany; pripomína, že Spojené kráľovstvo už vyhlásilo, že Gibraltár takúto ochranu poskytuje, hoci EÚ tak neurobila; vyjadruje veľké znepokojenie nad tým, že štatút primeranosti pre Spojené kráľovstvo by preto viedol k obchádzaniu pravidiel EÚ upravujúcich prenosy do krajín alebo na územia, ktoré sa podľa práva EÚ nepovažujú za primerané;

21.

berie na vedomie, že Spojené kráľovstvo 1. februára 2021 zaslalo žiadosť o pristúpenie ku komplexnej a progresívnej dohode o transpacifickom partnerstve (CPTTP) najmä s cieľom „využívať moderné pravidlá digitálneho obchodu, ktoré umožňujú voľný tok údajov medzi členmi, odstraňujú zbytočné prekážky pre podniky [atď.]“; so znepokojením konštatuje, že na osem z 11 členov CPTTP sa nevzťahuje rozhodnutie o primeranosti zo strany EÚ; vyjadruje veľké znepokojenie nad potenciálnymi následnými prenosmi osobných údajov občanov EÚ a osôb s pobytom v EÚ do týchto krajín, ak sa Spojenému kráľovstvu udelí rozhodnutie o primeranosti (26);

22.

vyjadruje poľutovanie nad tým, že Komisia neposúdila potenciálne riziká a vplyv dohody o komplexnom hospodárskom partnerstve medzi Spojeným kráľovstvom Veľkej Británie a Severného Írska a Japonskom, ktorá obsahuje ustanovenia o osobných údajoch a úrovni ochrany údajov;

23.

vyjadruje znepokojenie nad tým, že v prípade, že Spojené kráľovstvo zahrnie ustanovenia o prenosoch údajov do budúcich obchodných dohôd, okrem iného aj obchodných dohôd medzi Spojeným kráľovstvom a Spojenými štátmi, úroveň ochrany stanovená vo všeobecnom nariadení o ochrane údajov by bola narušená;

II. SMERNICA O PRESADZOVANÍ PRÁVA V OBLASTI OCHRANY ÚDAJOV

24.

zdôrazňuje, že Spojené kráľovstvo je prvou krajinou, v prípade ktorej Komisia navrhla prijatie rozhodnutia o primeranosti podľa smernice (EÚ) 2016/680;

25.

berie na vedomie dohodu o cezhraničnom prístupe k údajom medzi Spojeným kráľovstvom a Spojenými štátmi (27) podľa amerického zákona o objasnení zákonného používania údajov v zahraničí (zákon CLOUD), ktorou sa uľahčujú prenosy na účely presadzovania práva; vyjadruje hlboké znepokojenie nad tým, že to umožní neoprávnený prístup orgánov USA k osobným údajom občanov EÚ a osôb s pobytom v EÚ; stotožňuje sa s obavami výboru EDPB, že záruky poskytnuté v zastrešujúcej dohode medzi EÚ a USA (28) uplatňované mutatis mutandis nemusia spĺňať kritériá jasných, presných a prístupných pravidiel, pokiaľ ide o prístup k osobným údajom, alebo nemusia byť dostatočne zakotvené, aby boli účinné a vykonateľné podľa práva Spojeného kráľovstva;

26.

pripomína, že rozsudok Súdneho dvora Európskej únie C-623/17 sa musí vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá umožňuje štátnemu orgánu na účely ochrany národnej bezpečnosti uložiť poskytovateľom elektronických komunikačných služieb povinnosť vyžadujúcu všeobecné a nediferencované odovzdávanie údajov o prenose dát a polohe štátnym bezpečnostným a spravodajským službám;

27.

konštatuje, že v tomto prípade Súdny dvor Európskej únie rozhodol, že hromadný zber údajov, vykonaný v Spojenom kráľovstve podľa zákona o úprave vyšetrovacích právomocí z roku 2000, bol nezákonný; poukazuje na to, že uvedený zákon bol odvtedy nahradený zákonom o vyšetrovacích právomociach (zákon IPA z roku 2016) s cieľom posilniť zásady nevyhnutnosti a proporcionality; zdôrazňuje, že podľa zákona IPA z roku 2016 zachytávanie údajov podlieha súdnemu dohľadu a jednotlivcom sa umožňuje prístup k ich údajom a poskytuje možnosť podávať sťažnosti na súde pre kontrolu vyšetrovacích právomocí; vyjadruje však poľutovanie nad tým, že zákon IPA z roku 2016 naďalej umožňuje hromadné uchovávanie údajov;

28.

vyjadruje znepokojenie nad nedávnymi správami, podľa ktorých je systém hromadného zberu a uchovávania údajov súčasťou testovania ministerstvom vnútra Spojeného kráľovstva, ktoré bolo vykonané na základe zákona IPA 2016;

29.

pripomína, že Európsky parlament vo svojom uznesení z 12. februára 2020 zdôraznil, že „Spojené kráľovstvo nemôže mať priamy prístup k údajom z informačných systémov EÚ ani sa zúčastňovať na riadiacich štruktúrach agentúr EÚ v priestore slobody, bezpečnosti a spravodlivosti, pričom akákoľvek výmena informácií vrátane osobných údajov so Spojeným kráľovstvom by mala podliehať prísnym zárukám, podmienkam auditu a dohľadu vrátane rovnakej úrovne ochrany osobných údajov, akú poskytuje právo EÚ“; berie na vedomie zistené nedostatky týkajúce sa spôsobu, akým Spojené kráľovstvo vykonávalo právne predpisy v oblasti ochrany údajov v čase, keď bolo stále členom EÚ; pripomína, že Spojené kráľovstvo zaznamenávalo a uchovávalo kópiu Schengenského informačného systému (SIS); očakáva, že orgány presadzovania práva Spojeného kráľovstva budú pri výmene osobných údajov v budúcnosti v plnej miere dodržiavať platné pravidlá; pripomína, že Spojené kráľovstvo má stále prístup k niektorým databázam EÚ v oblasti presadzovania práva, avšak len na základe pozitívnej/negatívnej lustrácie, a je právne vylúčené z prístupu do SIS;

30.

vyjadruje znepokojenie nad náhodným vymazaním 400 000 záznamov z registra trestov Národného policajného počítačového systému Spojeného kráľovstva, k odhaleniu ktorého došlo v januári 2021; zdôrazňuje, že to nevzbudzuje dôveru v úsilie Spojeného kráľovstva o ochranu údajov na účely presadzovania práva;

31.

konštatuje, že v návrhu rozhodnutia o primeranosti sa dôkladne posudzujú práva každého orgánu Spojeného kráľovstva splnomocneného vnútroštátnym právom na zachytávanie a uchovávanie osobných údajov z dôvodov národnej bezpečnosti; okrem toho víta skutočnosť, že podrobné správy o dohľade týkajúce sa orgánov zodpovedných za spoločenstvo spravodajských služieb poskytujú informácie o súčasnej praxi Spojeného kráľovstva v oblasti sledovania; vyzýva Komisiu, aby ďalej posudzovala a monitorovala druhy komunikačných údajov, ktoré patria do právomoci Spojeného kráľovstva, pokiaľ ide o uchovávanie a zákonné zachytávanie údajov;

32.

poukazuje na to, že Dohoda o obchode a spolupráci medzi EÚ a Spojeným kráľovstvom obsahuje hlavy týkajúce sa výmeny údajov o DNA, odtlačkoch prstov a evidencii vozidiel, prenosu a spracúvania údajov zo záznamov o cestujúcich (PNR), spolupráce v oblasti prevádzkových informácií a spolupráce s Europolom a Eurojustom, ktoré budú platiť bez ohľadu na rozhodnutie o primeranosti; pripomína však znepokojenie, vyjadrené v stanovisku Výboru pre občianske slobody, spravodlivosť a vnútorné veci z februára 2021 k dohode o obchode a spolupráci, a to pokiaľ ide o osobitné použitie a dlhšie uchovávanie osobných údajov, ktoré boli Spojenému kráľovstvu umožnené na základe hláv dohody o obchode a spolupráci týkajúcich sa Prümskej zmluvy a PNR a ktoré nie sú v súlade so spôsobom, akým členské štáty používajú a uchovávajú údaje; pripomína právo predložiť vec Súdnemu dvoru Európskej únie s cieľom overiť zákonnosť navrhovanej medzinárodnej dohody, a najmä jej zlučiteľnosť s ochranou základného práva (29);

Závery

33.

vyzýva Komisiu, aby podniky v EÚ ubezpečila, že rozhodnutie o primeranosti poskytne pevný, dostatočný a na budúcnosť orientovaný právny základ pre prenosy údajov; zdôrazňuje, že je dôležité zabezpečiť, aby toto rozhodnutie o primeranosti bolo v prípade preskúmania Súdnym dvorom Európskej únie považované za prijateľné, a tiež zdôrazňuje, že všetky odporúčania uvedené v stanovisku EDPB by sa preto mali zohľadniť;

34.

víta, že rozhodnutia o primeranosti budú platiť len štyri roky, keďže Spojené kráľovstvo sa teraz, keď už nie je členským štátom EÚ, môže rozhodnúť zmeniť právne predpisy podliehajúce posúdeniu primeranosti vykonávaného Komisiou; vyzýva Komisiu, aby zatiaľ naďalej monitorovala úroveň ochrany údajov v Spojenom kráľovstve v právnych predpisoch aj v praxi a aby pred obnovením rozhodnutia o primeranosti v roku 2025 vykonala dôkladné posúdenie;

35.

zastáva názor, že prijatím dvoch vykonávacích rozhodnutí, ktoré nie sú v súlade s právom EÚ, bez toho, aby sa riešili všetky obavy vyjadrené v tomto uznesení, Komisia prekračuje rámec vykonávacích právomocí, ktoré na ňu boli prenesené nariadením (EÚ) 2016/679 a smernicou (EÚ) 2016/680; preto namieta proti týmto dvom vykonávacím aktom na tom základe, že návrhy vykonávacích rozhodnutí nie sú v súlade s právom EÚ;

36.

vyzýva Komisiu, aby zmenila príslušné dva návrhy vykonávacích rozhodnutí s cieľom dosiahnuť ich úplný súlad s právom a judikatúrou EÚ;

37.

žiada, aby vnútroštátne orgány pre ochranu osobných údajov pozastavili prenos osobných údajov, ktoré môžu byť predmetom nediferencovaného prístupu spravodajských orgánov Spojeného kráľovstva, ak Komisia prijme svoje rozhodnutia o primeranosti vo vzťahu k Spojenému kráľovstvu predtým, ako Spojené kráľovstvo vyrieši uvedené problémy;

38.

vyzýva Komisiu a príslušné orgány Spojeného kráľovstva, aby vypracovali akčný plán s cieľom čo najskôr riešiť nedostatky zistené v stanoviskách EDPB a ďalšie otvorené otázky týkajúce sa ochrany údajov v Spojenom kráľovstve, čo musí byť predpokladom konečného rozhodnutia o primeranosti;

39.

vyzýva Komisiu, aby naďalej dôkladne monitorovala úroveň ochrany údajov, ako aj právne predpisy a prax v oblasti hromadného sledovania v Spojenom kráľovstve; poukazuje na to, že v kapitole V všeobecného nariadenia o ochrane údajov existujú iné právne možnosti prenosu osobných údajov do Spojeného kráľovstva; pripomína, že v súlade s usmerneniami výboru EDPB musia byť prenosy, na ktoré sa vzťahujú výnimky pre osobitné situácie podľa článku 49 všeobecného nariadenia o ochrane údajov, výnimočné;

40.

vyjadruje poľutovanie nad tým, že Komisia ponechala bez povšimnutia výzvy Európskeho parlamentu na pozastavenie štítu na ochranu osobných údajov, kým orgány USA nezabezpečia súlad s jeho podmienkami, ale namiesto toho vždy uprednostnila „monitorovanie situácie“ bez akéhokoľvek konkrétneho výsledku, pokiaľ ide o ochranu údajov jednotlivcov a právnu istotu podnikov; naliehavo vyzýva Komisiu, aby sa poučila z minulosti a zohľadňovala výzvy Európskeho parlamentu a odborníkov, pokiaľ ide o prijímanie a monitorovanie minulých rozhodnutí o primeranosti, a aby riadne presadzovanie právnych predpisov EÚ o ochrane údajov neponechávala na Súdny dvor Európskej únie na základe sťažností jednotlivcov;

41.

vyzýva Komisiu, aby dôkladne monitorovala právne predpisy a prax v oblasti ochrany údajov v Spojenom kráľovstve, aby v prípade akýchkoľvek budúcich zmien režimu ochrany údajov Spojeného kráľovstva okamžite informovala Európsky parlament a konzultovala s ním a aby v novom inštitucionálnom rámci pridelila Európskemu parlamentu kontrolnú úlohu, a to aj v prípade relevantných orgánov, ako je Osobitný výbor pre spoluprácu v oblasti presadzovania práva a justičnú spoluprácu;

o o

42.

poveruje svojho predsedu, aby postúpil toto uznesenie Komisii, členským štátom a vláde Spojeného kráľovstva.

(1) ECLI:EU:C:2020:559.

(2) ECLI:EU:C:2015:650.

(3) ECLI:EU:C:2020:790.

(4) Ú. v. EÚ C 378, 9.11.2017, s. 104.

(5) Ú. v. EÚ C 118, 8.4.2020, s. 133.

(6) Ú. v. EÚ C 345, 16.10.2020, s. 58.

(7) Prijaté texty, P9_TA(2021)0256.

(8) Prijaté texty, P9_TA(2020)0337.

(9) Ú. v. EÚ L 444, 31.12.2020, s. 14.

(10) Prijaté texty, P9_TA(2021)0141.

(11) Ú. v. EÚ L 119, 4.5.2016, s. 1.

(12) Ú. v. EÚ L 119, 4.5.2016, s. 89.

(13) Ú. v. ES L 201, 31.7.2002, s. 37.

(14) A8-0324/2017.

(15) Návrh vykonávacieho rozhodnutia Komisie podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o primeranej ochrane osobných údajov zo strany Spojeného kráľovstva.

(16) Návrh vykonávacieho rozhodnutia Komisie podľa smernice Európskeho parlamentu a Rady (EÚ) 2016/680 o primeranej ochrane osobných údajov zo strany Spojeného kráľovstva.

(17) Lomas, N., UK’s ICO faces legal action after closing adtech complaint with nothing to show for it, TechCrunch, San Francisco, 2020.

(18) Siedma správa osobitného výboru pre ústavné veci, uverejnená Dolnou snemovňou 13. júna 2006. Bod 108 znie: „Považujeme za veľký prínos, ak komisár pre informácie bude priamo podliehať parlamentu a parlament bude financovať jeho úrad, a odporúčame, aby sa táto zmena zvážila, keď nastane príležitosť na zmenu právnych predpisov“.

(19) Správa výboru pre verejnú správu s názvom Who’s accountable? Relationships between Government and arm’s-length bodies, uverejnená Dolnou snemovňou 4. novembra 2014. Bod 64 znie: „Komisár pre informácie a kráľovský inšpektorát pre väznice by mali byť vo väčšej miere nezávislé od vlády a mali by podliehať parlamentu. Komisár pre informácie, komisár pre verejné vymenovania a predseda výboru pre normy vo verejnom živote by sa mali stať úradníkmi parlamentu, ako je to už v prípade ombudsmana pre parlamentné otázky a zdravotníctvo a kontrolóra a generálneho audítora.“

(20) Tlačová správa organizácie Open Rights Group z 3. marca 2021 s názvom Documents reveal controversial Immigration Exemption used in 70 % of access requests to Home Office.

(21) Prijaté texty, P9_TA(2020)0033.

(22) Stanovisko Výboru pre občianske slobody, spravodlivosť a vnútorné veci k uzavretiu v mene Únie Dohody o obchode a spolupráci medzi Európskou úniou a Európskym spoločenstvom pre atómovú energiu na jednej strane a Spojeným kráľovstvom Veľkej Británie a Severného Írska na strane druhej a Dohody medzi Európskou úniou a Spojeným kráľovstvom Veľkej Británie a Severného Írska o bezpečnostných postupoch pri výmene a ochrane utajovaných skutočností, LIBE_AL(2021)680848.

(23) Rozsudok zo 16. júla 2020, Data Protection Commissioner/Facebook Ireland Limited a Maximillian Schrems, C-311/18, ECLI:EU:C:2020:559.

(24) Rozsudok Európskeho súdu pre ľudské práva z 13. septembra 2018, Big Brother Watch a iní/Spojené kráľovstvo, žiadosti č. 58170/13, 62322/14, 24960/15.

(25) Rozsudok Súdneho dvora z 8. apríla 2014, Digital Rights Ireland Ltd proti Minister for Communications, Marine and Natural Resources a i. a Kärntner Landesregierung a i., C-293/12 a C-594/12, ECLI:EU:C:2014:238.

(26) Tlačová správa ministerstva pre medzinárodný obchod Spojeného kráľovstva z 30. januára 2021 s názvom UK applies to join huge Pacific free trade area CPTPP.

(27) Dohoda medzi vládou Spojeného kráľovstva Veľkej Británie a Severného Írska a vládou Spojených štátov amerických z 3. októbra 2019 o prístupe k elektronickým údajom na účely boja proti závažnej trestnej činnosti.

(28) Dohoda medzi Spojenými štátmi americkými a Európskou úniou o ochrane osobných informácií v súvislosti s predchádzaním trestným činom, ich vyšetrovaním, odhaľovaním a stíhaním (Ú. v. EÚ L 336, 10.12.2016, s. 3).

(29) Uznesenie Európskeho parlamentu o návrhu rozhodnutia Komisie o primeranej úrovni ochrany osobných údajov obsiahnutých v osobných záznamoch o cestujúcich (PNR) postúpených Úradu USA pre colnú správu a ochranu hraníc (Ú. v. EÚ C 103 E, 29.4.2004, s. 665).