Welke impact heeft Brexit op uw doorgifte van persoonsgegevens naar het Verenigd Koninkrijk?

Legal Eubdate
4 februari 2021

[Geactualiseerde versie van een artikel gepubliceerd op 4 februari 2021]

Sinds 1 januari 2021 is het Verenigd Koninkrijk, als gevolg van Brexit, een derde land in het licht van de AVG.

De EU-UK Trade and Cooperation Agreement ("de Overeenkomst"), bevat een overbruggingsmechanisme voor de uitwisseling van persoonsgegevens tussen de EU en het VK. Het geldt voor een initiële overgangsperiode van vier maanden (tot en met 30 april 2021), met een mogelijkheid tot verlenging met nog eens twee maanden (tot en met 30 juni 2021).

Tijdens de overgangsperiode geldt de doorgifte van persoonsgegevens tussen de EU en het VK niet als een doorgifte van en naar een derde land, op voorwaarde dat het VK de voorwaarden uit de Overeenkomst naleeft en er tijdens de overgangsperiode geen adequaatheidsbesluit wordt aangenomen.

Na de voorziene overgangsperiode zal het vrije verkeer van persoonsgegevens naar het VK enkel nog mogelijk zijn op basis van (i) een adequaatheidsbesluit van de Europese Commissie, of (ii) de toepassing van een instrument voor de doorgifte van gegevens zoals bedoeld in hoofdstuk V van de AVG:

AdequaatheidsbesluitOp 19 februari 2021 heeft de Europese Commissie de procedure ingeleid voor de vaststelling van twee adequaatheidsbesluiten voor de doorgifte van persoonsgegevens aan het Verenigd Koninkrijk: (i) een adequaatheidsbesluit in het kader van de Algemene verordening gegevensbescherming (AVG), en (ii) voor het eerst, een adequaatheidsbesluit in het kader van richtlijn gegevensbescherming bij rechtshandhaving (LED). 

Voor de besluiten formeel door de Europese Commissie kunnen worden vastgesteld, moet het Europees Comité voor Gegevensbescherming een niet-bindend (maar wellicht overtuigend) advies uitbrengen. De besluiten worden formeel vastgesteld nadat zij formeel zijn goedgekeurd door een comité van vertegenwoordigers van de EU-lidstaten. Als de besluiten worden aangenomen, gelden zij voor een initiële periode van vier jaar, met de mogelijkheid om het adequaatheidsbesluit te verlengen indien het beschermingsniveau in het Verenigd Koninkrijk na die vier jaar nog steeds toereikend is.

Standaardcontractbepalingen en bindende bedrijfsvoorschriften: het is af te wachten of er uiteindelijk een adequaatheidsbesluit wordt aanngenomen. Indien de Europese Commissie tegen het einde van de overgangsperiode geen adequaatheidsbesluit heeft aangenomen, kunnen persoonsgegevens alleen worden doorgegeven op basis van de passende waarborgen en afwijkingen bedoeld in artikelen 46 en 49 van de AVG, bijvoorbeeld door het sluiten van standaardcontractbepalingen of het aannemen van (nieuwe of aangepaste) bindende bedrijfsvoorschriften.  Sinds het Schrems II-arrest van het Europees Hof van Justitie moeten verwerkingsverantwoordelijken (gegevensexporteurs) aanvullende maatregelen nemen om persoonsgegevens te kunnen doorgeven aan een ontvanger in een derde land (gegevensimporteur). Zie daarover onze eerdere bespreking.