Rozporządzenie UE w sprawie ram swobodnego przepływu danych nieosobowych
W dniu 18 grudnia 2018 r. weszło w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1807 z dnia 14 listopada 2018 r. w sprawie ram swobodnego przepływu danych nieosobowych w Unii Europejskiej. Przepisy Rozporządzenia będą miały zastosowanie od dnia 28 maja 2019 r.
W pierwszej kolejności wskazać należy, że wprowadzone przepisy dotyczą danych nieosobowych, tj. elektronicznych danych innych niż dane osobowe zdefiniowane w RODO. Innymi słowy – chodzi o informacje, które nie umożliwiają ustalenia tożsamości osoby fizycznej, takie jak np.: zanonimizowane zbiory danych, analizy big data, algorytmy informatyczne, dane wytwarzane przez maszyny, informacje dotyczące przeglądanych stron internetowych, czasu spędzonego na danej stronie lub liczby wizyt, o ile informacje te nie dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Przetwarzaniem danych nieosobowych jest natomiast każda operacja lub zestaw operacji wykonywanych na danych nieosobowych lub ich zbiorach w formie elektronicznej, w sposób zautomatyzowany lub niezautomatyzowany, tj. zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych nieosobowych.
Celem niniejszego rozporządzenia jest zapewnienie na terytorium Unii swobodnego przepływu danych innych niż dane osobowe poprzez ustanowienie przepisów odnoszących się do wymogów dotyczących lokalizacji danych, dostępności danych dla właściwych organów i przenoszenia danych przez użytkowników profesjonalnych.
Rozporządzenie stosuje się do:
(1) usług przetwarzania elektronicznych danych nieosobowych w Unii Europejskiej świadczonych na rzecz użytkowników mających miejsce zamieszkania lub siedzibę w UE, niezależnie od tego, czy dostawca usługi ma swoją siedzibę w UE czy poza nią; lub
(2) przetwarzania elektronicznych danych nieosobowych prowadzonego na potrzeby własne przez osobę fizyczną mającą miejsce zamieszkania w UE lub osobę prawną mającą siedzibę w UE.
Rozporządzenie określa zasady dostępu do danych przez właściwe organy dla celów związanych z wykonywaniem obowiązków urzędowych zgodnie z prawem Unii lub prawem krajowym. Właściwym organom nie można odmówić dostępu do danych z uwagi na fakt, że dane są przetwarzane w innym państwie członkowskim.
Rozporządzenie powinno mieć zastosowanie do jak najszerzej rozumianego przetwarzania danych, obejmującego wykorzystanie wszelkiego rodzaju systemów informatycznych. W praktyce, Rozporządzenie będzie miało zastosowanie głównie do podmiotów świadczących usługi przetwarzania w chmurze, big data, IoT, czy AI.
Co istotne, Rozporządzenie dotyczące swobodnego przepływu danych nieosobowych pozostaje bez wpływu na regulacje dotyczące ochrony danych osobowych (RODO).
W odniesieniu do zbiorów obejmujących zarówno dane osobowe, jak i nieosobowe, Rozporządzenie ma zastosowanie do części zbioru złożonej z danych nieosobowych. W przypadku natomiast gdy dane osobowe i nieosobowe są w zbiorze danych nierozerwalnie związane, omawiane Rozporządzenie nie uchyla obowiązków wynikających z RODO.