De Brexit: bent u voorbereid?

Share
Share on linkedin
Share on facebook
Share on google
Share on twitter
Brexit-bent-u-voorbereid

In onze laatste whitepaper schreven wij over de doorgifte van persoonsgegevens naar derde landen. Door de Brexit wordt ook het Verenigd Koninkrijk mogelijk een ‘derde land’. Welke gevolgen heeft dit voor de doorgifte van persoonsgegevens naar het Verenigd Koninkrijk en het toezicht hierop?

Derde land

Een land dat niet tot de Europese Economische Ruimte behoort, wordt een ‘derde land’ genoemd. Uitgangspunt in de AVG is dat persoonsgegevens niet zomaar mogen worden doorgegeven aan een derde land. Hoofdstuk 5 van de AVG kent verschillende uitzonderingen op basis waarvan persoonsgegevens mogen worden doorgegeven aan een derde land. De gemene deler onder die uitzonderingen is dat het gewaarborgde beschermingsniveau van de AVG niet wordt ondermijnd (artikel 44).

Adequaatheidsbesluit

Eén van die uitzonderingen is een adequaatheidsbesluit (artikel 45 AVG). Dat is een besluit van de Europese Commissie inhoudende dat een derde land, of een gebied of sector uit een derde land, een passend beschermingsniveau biedt. Met een passend beschermingsniveau wordt bedoeld dat het derde land zich ertoe verbindt om een beschermingsniveau te waarborgen dat in feite overeenkomt met het niveau dat in de Europese Unie wordt verzekerd.

Brexit

Het is de Europese Commissie echter niet gelukt om vóór 2021 een adequaatheidsbesluit te nemen voor het Verenigd Koninkrijk. In de Brexit-deal die is gesloten op 24 november 2020 is overeengekomen dat er een overgangsperiode geldt van vier maanden waarin de doorgifte van persoonsgegevens via dezelfde manier mag plaatsvinden als vóór de Brexit, mits het Verenigd Koninkrijk de regelgeving niet wijzigt. Deze periode kan worden verlengd met twee maanden. Voor de komende vier tot zes maanden verandert er dus in principe niks.

Het is echter wel de bedoeling dat de Europese Commissie in de komende maanden tot het nemen van een adequaatheidsbesluit voor het Verenigd Koninkrijk komt. Momenteel kan niet met zekerheid worden gezegd of dat ook gaat lukken. Dit hangt bijvoorbeeld af van de vraag in hoeverre de Britse opsporingsdiensten bevoegd zijn om mee te kijken in de persoonsgegevens van EU-burgers. Een te grote vrijheid van de Amerikaanse opsporingsdiensten was namelijk ook de reden dat het Privacy Shield, adequaatheidsbesluit voor de Verenigde Staten, ongeldig is verklaard in juli 2020. Neemt de Europese Commissie geen adequaatheidsbesluit, dan betekent dit dat het Verenigd Koninkrijk vanaf juli 2021 moet worden beschouwd als een derde land en persoonsgegevens in beginsel niet meer mogen worden doorgegeven.

Modelcontracten

Een voorbereiding voor het bovenstaande scenario is dus zeker raadzaam. Een instrument daarvoor is het opstellen van Standard Contractual Clauses (SCC), oftewel standaardcontractbepalingen. Dit zijn modelcontracten die zijn vastgesteld door de Europese Commissie waaraan een partij binnen de EU zich kan verbinden met een partij uit een derde land. De Europese Commissie heeft drie sets modelcontracten vastgesteld: twee voor de doorgifte van een verwerkingsverantwoordelijke naar een verwerkingsverantwoordelijke en één voor de doorgifte van een verwerkingsverantwoordelijke naar een verwerker. Deze stammen nog uit de tijd van de voorganger van de AVG (Richtlijn 95/46). De Europese Commissie heeft een consultatie gehouden voor twee nieuwe modelcontracten. Deze zijn meer in lijn met de AVG en de complexere verwerkingen van deze tijd en zullen de bestaande SCC’s vervangen. Uiteraard houden wij de actualiteit over de Brexit en de nieuwe modelcontracten in de gaten!

Robin Creuels

Robin Creuels

Robin Creuels is werkzaam als AVG & Cybersecurity jurist bij The Privacy Factory. Zij is in het bezit van een master ICT- en Privacyrecht.

Volg onze publicaties

cookie

Wij gebruiken alleen functionele en analytische cookies om u een optimale gebruikerservaring te bieden op onze website. Onze cookies verzamelen geen persoonsgegevens. Meer informatie.