Großbritannien führt Data Protection Bill ein: Prepare for Brexit
Inhaltsverzeichnis
Um den Brexit weiter vorzubereiten, hat die britische Regierung die sogenannte „Great Repeal Bill“ in einem Whitepaper vorgestellt. Mit ihr soll unter anderem der European Communities Act 1972, der bisher das geltende EU-Recht direkt in das nationale Recht aufnahm, aufgehoben werden. Damit wären EU-Verordnungen, EU-Richtlinien und auch die europäische Rechtsprechung im Vereinigten Königreich nicht mehr gültig. Um aber Gesetzeslücken zu vermeiden, sollen einige EU-Verordnungen, die bis zum tatsächlichen Brexit für alle EU-Staaten gelten, auch im britischen Recht noch nach dem Brexit Geltung behalten. So auch die General Data Protection Regulation, das europäische Paket zum Datenschutz (oder auch: Datenschutz-Grundverordnung [Verordnung 2016/679]), das am 25. Mai 2018 in Kraft treten wird. Mit der Übernahme der Verordnung in das nationale britische Recht soll sichergestellt werden, dass persönliche Daten auch nach dem Brexit noch mit den europäischen Mitgliedsstaaten ausgetauscht werden können. Weiterer Grund für das Festhalten an der Datenschutzgrundverordnung (kurz: DSGVO) ist, dass das EU-Recht einen Datenaustausch mit Drittstaaten nur erlaubt, wenn dort ein ähnliches Datenschutzniveau herrscht. Auf diese Weise soll der Datenfluss zwischen dem Vereinigten Königreich und der EU gesichert werden. Mitte September veröffentlichte Großbritannien als Ergänzung zur General Data Protection Regulation (GDPR) die neue „Data Protection Bill“. Befürworter sehen in diesem Gesetz die Grundlage für ein erstklassiges System zum Schutz der Privatsphäre, Kritiker hingegen bemängeln den Umfang und ihre Vielschichtigkeit.
„In the digital world strong cyber security and data protection go hand in hand. this Bill is a key component of our work to secure personal information online.“ (Karen Bradley, Culture Secretary)
„The new Data Protection Bill will give us one of the most robust, yet dynamic set of data laws in the world. The Bill will give people more control over their data, require more consent for its use, and prepare Britain for Brexit. We have some of the best data science in the world and this new law will help it to thrive.“ (Matt Hancock, Minister of State for Digital)
„The length and complexibilty of the Bill is notable and unwelcome.“
Immerhin: Das Gesetz umfasst 194 Paragrafen (Sections) und einen Anhang, der 18 Abschnitte (Schedules) lang ist. Allein schon die Erläuterungen zum Gesetzesentwurf kommen mit stolzen 109 Seiten daher. Ziel des Gesetzes soll sein, Privatpersonen mehr Kontrolle über ihre Daten zu geben, Großbritannien von europäischen Richtlinien noch unabhängiger zu machen und somit den Brexit weiter voranzutreiben.
„The Data Protection Bill will replace the 1998 Act to provide a comprehensive legal framework for data protection in the UK, supplemented by the GDPR until UK leaves the EU.“
„The Data Protection Bill will give people more control over their data, support businesses in their use of data, and prepare Britain for Brexit.“ (Karen Bradley, Culture Secretary)
Das ändert sich nun für Verbraucher mit der Data Protection Bill
Für Verbraucher bringt die Data Protection Bill folgende Neuerungen mit sich:
- Improved data access: Unternehmen werden verpflichtet, auf Nachfrage kostenfrei Auskunft darüber zu erteilen, ob und welche Daten von Usern gespeichert werden. Der Begriff der „personal data“ wird zudem erweitert. Als persönliche Daten im Sinne der Data Protection Bill gelten jetzt auch IP-Adressen, Cookies und DNA.
- Right to be forgotten: „Das Internet vergisst nicht!“: Mit der Data Protection Bill, soll das Löschen alter Beiträge und Postings auf Social Media-Plattformen ermöglicht werden. Allerdings können nur solche Beiträge gelöscht werden, die in der Kindheit, also vor Erlangen der Volljährigkeit, erstellt wurden.
- Privacy: Der Widerruf von Einverständniserklärungen zur Datenverarbeitung soll vereinfacht werden, die Anforderungen für die Abgabe einer Einverständniserklärung zur Erhebung sensibler Daten werden hingegen steigen. Vorausgewählte Auswahl- und Kontrollkästchen als Instrument zur Abgabe von Einwilligungserklärungen gehören mit der Data Protection Bill der Vergangenheit an. Die Einwilligungsfähigkeit von Kindern zur Verarbeitung ihrer Daten wurde jedoch von 16 auf 13 Jahre herabgesenkt.
- Um das Durchsetzen der neuen Regelungen zu gewährleisten, wurden mit der Data Protection Bill einige neue Straftatbestände eingeführt: Die Wiederkenntlichmachung von anonymisierten personenbezogenen Daten (Section 162), die Veränderung persönlicher Daten zur Verhinderung der Weitergabe bei Zugangsabfragen (Section 163), sowie das unerlaubte Beschaffen von personenbezogenen Daten ohne die Zustimmung des oder der Verantwortlichen (Section 161) haben jetzt rechtliche Konsequenzen. Weiterhin festgehalten wird an den sechs „Data protection principles“. Sie umschreiben Grundsätze wie die Datensparsamkeit, Transparenz, zuverlässige Datenpflege und Sicherheit (Section 84-89).
Section 86: „The third data protection principle is that personal data must be adequate, relevant and not excessive in relation to the purpose for which it ist processed.“
- Data Portability: Die Mitnahme von gespeicherten Daten beim Wechsel von Service-Providern soll ermöglicht werden. So wird nicht nur dem Konsumenten eine größere Wahlfreiheit bezüglich der Dienstleister ermöglicht, sondern auch der Wettbewerb zwischen den Anbietern gefördert.
Aufgrund des erweiterten Schutzes der Verbraucher, werden sich Daten verarbeitende Unternehmen wiederum an striktere Vorgaben halten müssen. Zwar verspricht die britische Regierung Unterstützung bei der Umsetzung der strengeren Vorgaben, stellt jedoch gleichzeitig fest, dass bei Zuwiderhandlungen Bußgeldzahlungen in Höhe von bis zu 17 Millionen Pfund oder vier Prozent des Jahresumsatzes fällig werden. Bei der Ahndung der Verstöße steht den Verbrauchern, laut Data Protection Bill, der „Information Commissioner“ zur Seite, der Leiter der britischen Datenschutzbehörde.
„Our measures are designed to support businesses in their use of data, and give consumers the confidence that their data is protected and those who misuse it will be held to account..“ (Matt Hancock, Minister of State for Digital)
Die Data Protection Bill kennt aber auch Umstände, die zu einer Befreiung von den Vorgaben der GDPR führen. Findet die Datenverarbeitung zur Verhütung und Verfolgung von Straftaten statt, ist das Berufsgeheimnis bedroht oder wäre die Folge Selbstbelastung, ist das Gesetz nicht anzuwenden. Diese Befreiungen sind damit jenen des bereits bestehenden Data Protection Act von 1998 weitestgehend ähnlich.
Schedule 2, 2(1): „The listed GDPR provisions do not apply to personal data processed for any of the following purposes – (a) the prevention or detection of crime (...).“
Schedule 2, 17: „The listed GDPR provisions do not apply to personal data that consists of information in respect of which a claim to legal professional privilege or, in Scotland, confidentiality of communications, could be maintained in legal proceedings.“
Die Data Protection Bill – Fail oder der ganz große Erfolg?
Die britische Regierung ist von ihrem neuen Gesetz und dem damit verbundenen Konzept, das dem der Datenschutz-Grundverordnung der EU sehr ähnelt, mehr als überzeugt. Die Technik habe sich verändert, ebenso die Gesellschaft. Von einem goldenen Standard ist da sogar die Rede: Das Vereinigte Königreich sei schon immer ein Vorreiter in Sachen Datenschutz und datengetriebene Innovationen gewesen und hält eigenen – eigenen Angaben zufolge – die Anforderungen an den Datenschutz überdurchschnittlich hoch.
„The UK has always been a world leader in data protection and data-driven innovation. Key to realizing the full opportunities of data is building culture of trust and confidence.“ (Julian David, CEO der techUk)
Minister for Digital Matt Hancock erklärt in diesem Video die Data Protection Bill und zeigt sich begeistert:
Doch nicht jeder zeigt sich derart begeistert, wie es die britische Regierung tut. Die Bürgerrechtsorganisation Open Rights Group beispielsweise bedauerte, dass obwohl der vorhandenen Möglichkeiten, keine Option für ein Verbandsklagerecht ähnlich wie beim Verbraucherschutz vorgesehen ist, und befürchtet eine fundamentale Änderung der Rechtslage nach dem endgültigen Brexit.
„We are disappointed that UK Ministers are not taking up the option in EU law to allow consumer privacy groups to lodge independent data protection complaints as they can currently do under consumer rights laws.“
