Deal or no deal Brexit, tot op het laatste moment was het spannend, maar op 24 december 2020 bereikten de Britten en de Europese Unie (EU) een akkoord met de ‘UK-EU Trade and Cooperation Agreement’ (Handelsovereenkomst). Een belangrijk moment, dat de geschiedenisboeken in zal gaan, nadat de Britten vorig jaar al op 1 februari 2020 definitief uit de EU stapten. De transitieperiode is per 1 januari 2021 geëindigd en op die dag is de Handelsovereenkomst in werking getreden. Nu de langverwachte Brexit-deal er is, is het de vraag wat in de Handelsovereenkomst is overeengekomen op het gebied van privacy en het verwerken van persoonsgegevens in het Verenigd Koninkrijk (VK).
Aanvullende overgangsperiode
Op de valreep kwam het akkoord dat de toekomstige relatie tussen het VK en de EU moet vormgeven tot stand. De belangrijkste afspraken in het akkoord gaan over handel, visserij, veiligheid en transport maar er zijn ook nog bepaalde onderwerpen onbeslist gebleven. Wat gegevensbescherming betreft, heeft de EU nog niet besloten dat het VK een passend beschermingsniveau voor persoonsgegevens biedt. De Europese Commissie en het VK zijn echter overgangsbepalingen overeengekomen waarin staat dat gedurende de aanvullende overgangsperiode van maximaal zes maanden persoonsgegevens nog steeds vrij kunnen worden overgedragen tussen de EU en het VK.
Deze periode zal de Europese Commissie gebruiken om te beoordelen of het beschermingsniveau in het VK adequaat is. De verwachting is dat het adequaatheidsbesluit, het besluit dat het VK een vergelijkbaar beschermingsniveau heeft op het gebied van persoonsgegevens als de EU, in 2021 genomen zal worden. Zowel de EU als het VK hebben de wens hierover geuit om tot een dergelijk besluit te komen. Het is echter nog wel de vraag of dat daadwerkelijk zal gebeuren voor het einde van de overgangsperiode.
De aanvullende overgangsperiode is begonnen op 1 januari 2021 en eindigt ofwel op de datum waarop een adequaatheidsbesluit met betrekking tot het VK wordt aangenomen door de Europese Commissie, of tot vier maanden na het begin van deze periode, tenzij de EU of het VK bezwaar maakt. Deze periode van vier maanden kan eventueel worden verlengd tot zes maanden. Voorwaarde is wel dat het VK haar wet- en regelgeving met betrekking tot de bescherming van persoonsgegevens gedurende deze periode ongewijzigd laat.
Doorgifte aan derde landen
De Information Commissioner’s Office (ICO), de Britse privacytoezichthouder, laat in een statement naar aanleiding van de totstandkoming van de Handelsovereenkomst, weten dat het verstandig is voor organisaties om alvast voorzorgsmaatregelen te treffen. Organisaties kunnen zich voorbereiden door alternatieve overdrachtsmechanismen in te voeren. Op die manier voorkomen organisaties dat de vrije doorgifte van persoonsgegevens van de EU naar het VK wordt onderbroken of dat deze zonder passende waarborgen worden verwerkt.
Aangezien er geen garantie bestaat op een adequaatheidsbesluit dienen wij dus ook rekening te houden met de situatie dat dit besluit niet tijdig genomen wordt. Na het verstrijken van een aanvullende overgangsperiode, zullen in dat geval op grond van de Algemene verordening gegevensbescherming (AVG) strikte voorwaarden gelden voor de doorgifte van persoonsgegevens naar het VK. Het VK is dan in terminologie van de AVG een zogenaamd ‘derde land’.
Doorgifte van persoonsgegevens van de EU naar het VK zal verboden zijn, tenzij organisaties passende waarborgen treffen voor de uitwisseling van persoonsgegevens. Organisaties binnen Europa dienen in dat geval nadere afspraken te maken als zij bijvoorbeeld gebruik maken van een hostingprovider in het VK. Verschillende mogelijkheden daarvoor zijn het aangaan van de EU-Standard Contract Clauses (‘SSC’s’), het implementeren van bindende bedrijfsregels of het vertrouwen op een van de beschikbare afwijkingen in de AVG.
Voor de meeste organisaties zullen de SSC’s de meest voor de hand liggende uitkomst bieden. De Europese commissie heeft op 12 november 2020 een conceptversie voor nieuwe SCC’s gepubliceerd. Deze kunnen pas gebruikt worden als ze definitief zijn en het is nog even de vraag of de nieuwe definitieve SCC’s binnen een half jaar zullen verschijnen.
Afsluitend
Met de komst van het Handelsovereenkomst is veel duidelijk geworden, helaas blijft op het gebied van persoonsgegevens nog steeds het een en ander onzeker. Als het verleden enige indicatie voor de toekomst biedt, en daarmee de chaotische wijze waarop de Handelsovereenkomst op het laatste moment tot stand is gekomen een voorbode is voor de onderhandelingen over het adequaatheidsbesluit, raden wij u aan om alvast maatregelen te nemen. ICTRecht kan u helpen zodat uw onderneming op elk scenario is voorbereid.
