Welke impact heeft Brexit op uw doorgifte van persoonsgegevens naar het Verenigd Koninkrijk? (Eubelius)

Privacy & Gegevensbescherming | 17 februari 2021

Auteurs: Anneleen Van de Meulebroucke en Justine De Meersman (Eubelius)
Publicatiedatum: 04/02/2021

Sinds 1 januari 2021 is het Verenigd Koninkrijk, als gevolg van Brexit, een derde land in het licht van de AVG.

De EU-UK Trade and Cooperation Agreement (“de Overeenkomst“), bevat een overbruggingsmechanisme voor de uitwisseling van persoonsgegevens tussen de EU en het VK. Het geldt voor een initiële overgangsperiode van vier maanden (tot en met 30 april 2021), met een mogelijkheid tot verlenging met nog eens twee maanden (tot en met 30 juni 2021).

Tijdens de overgangsperiode geldt de doorgifte van persoonsgegevens tussen de EU en het VK niet als een doorgifte van en naar een derde land, op voorwaarde dat het VK de voorwaarden uit de Overeenkomst naleeft en er tijdens de overgangsperiode geen adequaatheidsbesluit wordt aangenomen.

Na de voorziene overgangsperiode zal het vrije verkeer van persoonsgegevens naar het VK enkel nog mogelijk zijn op basis van (i) een adequaatheidsbesluit van de Europese Commissie, of (ii) de toepassing van een instrument voor de doorgifte van gegevens zoals bedoeld in hoofdstuk V van de AVG:

Adequaatheidsbesluit: de bevoegde EU-commissie heeft op 14 januari 2021 bevestigd dat de EU de laatste hand legt aan haar beoordeling van het gegevensbeschermingsregime van het VK en in de komende weken met het besluitvormingsproces zal starten. De volgende stap is het inwinnen van het advies van het Europees Comité voor Gegevensbescherming (ECGB).

Hoe dan ook is af te wachten of er uiteindelijk een adequaatheidsbesluit wordt aangenomen. De Britse regering en de ICO adviseren bedrijven daarom om alternatieve mechanismen voor de doorgifte van gegevens in te voeren, om te voorkomen dat het vrije verkeer van persoonsgegevens tussen de EU en het VK zou worden onderbroken.

Standaardcontractbepalingen en bindende bedrijfsvoorschriften: indien de Europese Commissie tegen het einde van de overgangsperiode geen adequaatheidsbesluit heeft aangenomen, kunnen persoonsgegevens alleen worden doorgegeven op basis van de passende waarborgen en afwijkingen bedoeld in artikelen 46 en 49 van de AVG, bijvoorbeeld door het sluiten van standaardcontractbepalingen of het aannemen van (nieuwe of aangepaste) bindende bedrijfsvoorschriften. Sinds het Schrems II-arrest van het Europees Hof van Justitie moeten verwerkingsverantwoordelijken (gegevensexporteurs) aanvullende maatregelen nemen om persoonsgegevens te kunnen doorgeven aan een ontvanger in een derde land (gegevensimporteur). Zie daarover onze eerdere bespreking.