Großbritannien führt Data Protection Bill ein: Prepare for Brexit

Inhaltsverzeichnis

Das ändert sich nun für Verbraucher mit der Data Protection Bill

Für Verbraucher bringt die Data Protection Bill folgende Neuerungen mit sich:

• Improved data access: Unternehmen werden verpflichtet, auf Nachfrage kostenfrei Auskunft darüber zu erteilen, ob und welche Daten von Usern gespeichert werden. Der Begriff der „personal data“ wird zudem erweitert. Als persönliche Daten im Sinne der Data Protection Bill gelten jetzt auch IP-Adressen, Cookies und DNA.
• Right to be forgotten: „Das Internet vergisst nicht!“: Mit der Data Protection Bill, soll das Löschen alter Beiträge und Postings auf Social Media-Plattformen ermöglicht werden. Allerdings können nur solche Beiträge gelöscht werden, die in der Kindheit, also vor Erlangen der Volljährigkeit, erstellt wurden.
• Privacy: Der Widerruf von Einverständniserklärungen zur Datenverarbeitung soll vereinfacht werden, die Anforderungen für die Abgabe einer Einverständniserklärung zur Erhebung sensibler Daten werden hingegen steigen. Vorausgewählte Auswahl- und Kontrollkästchen als Instrument zur Abgabe von Einwilligungserklärungen gehören mit der Data Protection Bill der Vergangenheit an. Die Einwilligungsfähigkeit von Kindern zur Verarbeitung ihrer Daten wurde jedoch von 16 auf 13 Jahre herabgesenkt.
• Um das Durchsetzen der neuen Regelungen zu gewährleisten, wurden mit der Data Protection Bill einige neue Straftatbestände eingeführt: Die Wiederkenntlichmachung von anonymisierten personenbezogenen Daten (Section 162), die Veränderung persönlicher Daten zur Verhinderung der Weitergabe bei Zugangsabfragen (Section 163), sowie das unerlaubte Beschaffen von personenbezogenen Daten ohne die Zustimmung des oder der Verantwortlichen (Section 161) haben jetzt rechtliche Konsequenzen. Weiterhin festgehalten wird an den sechs „Data protection principles“. Sie umschreiben Grundsätze wie die Datensparsamkeit, Transparenz, zuverlässige Datenpflege und Sicherheit (Section 84-89).

Section 86: „The third data protection principle is that personal data must be adequate, relevant and not excessive in relation to the purpose for which it ist processed.“

• Data Portability: Die Mitnahme von gespeicherten Daten beim Wechsel von Service-Providern soll ermöglicht werden. So wird nicht nur dem Konsumenten eine größere Wahlfreiheit bezüglich der Dienstleister ermöglicht, sondern auch der Wettbewerb zwischen den Anbietern gefördert.

Aufgrund des erweiterten Schutzes der Verbraucher, werden sich Daten verarbeitende Unternehmen wiederum an striktere Vorgaben halten müssen. Zwar verspricht die britische Regierung Unterstützung bei der Umsetzung der strengeren Vorgaben, stellt jedoch gleichzeitig fest, dass bei Zuwiderhandlungen Bußgeldzahlungen in Höhe von bis zu 17 Millionen Pfund oder vier Prozent des Jahresumsatzes fällig werden. Bei der Ahndung der Verstöße steht den Verbrauchern, laut Data Protection Bill, der „Information Commissioner“ zur Seite, der Leiter der britischen Datenschutzbehörde.

„Our measures are designed to support businesses in their use of data, and give consumers the confidence that their data is protected and those who misuse it will be held to account..“ (Matt Hancock, Minister of State for Digital)

Die Data Protection Bill kennt aber auch Umstände, die zu einer Befreiung von den Vorgaben der GDPR führen. Findet die Datenverarbeitung zur Verhütung und Verfolgung von Straftaten statt, ist das Berufsgeheimnis bedroht oder wäre die Folge Selbstbelastung, ist das Gesetz nicht anzuwenden. Diese Befreiungen sind damit jenen des bereits bestehenden Data Protection Act von 1998 weitestgehend ähnlich.

Schedule 2, 2(1): „The listed GDPR provisions do not apply to personal data processed for any of the following purposes – (a) the prevention or detection of crime (...).“

Schedule 2, 17: „The listed GDPR provisions do not apply to personal data that consists of information in respect of which a claim to legal professional privilege or, in Scotland, confidentiality of communications, could be maintained in legal proceedings.“

Die Data Protection Bill – Fail oder der ganz große Erfolg?

Die britische Regierung ist von ihrem neuen Gesetz und dem damit verbundenen Konzept, das dem der Datenschutz-Grundverordnung der EU sehr ähnelt, mehr als überzeugt. Die Technik habe sich verändert, ebenso die Gesellschaft. Von einem goldenen Standard ist da sogar die Rede: Das Vereinigte Königreich sei schon immer ein Vorreiter in Sachen Datenschutz und datengetriebene Innovationen gewesen und hält eigenen – eigenen Angaben zufolge – die Anforderungen an den Datenschutz überdurchschnittlich hoch.

„The UK has always been a world leader in data protection and data-driven innovation. Key to realizing the full opportunities of data is building culture of trust and confidence.“ (Julian David, CEO der techUk)

Minister for Digital Matt Hancock erklärt in diesem Video die Data Protection Bill und zeigt sich begeistert:

Doch nicht jeder zeigt sich derart begeistert, wie es die britische Regierung tut. Die Bürgerrechtsorganisation Open Rights Group beispielsweise bedauerte, dass obwohl der vorhandenen Möglichkeiten, keine Option für ein Verbandsklagerecht ähnlich wie beim Verbraucherschutz vorgesehen ist, und befürchtet eine fundamentale Änderung der Rechtslage nach dem endgültigen Brexit.

„We are disappointed that UK Ministers are not taking up the option in EU law to allow consumer privacy groups to lodge independent data protection complaints as they can currently do under consumer rights laws.“