Zowel in de politiek als in de media wordt er veel aandacht besteed aan de verschillende Brexit-scenario’s. Hoe de Brexit straks wordt doorgezet, heeft ook invloed op de doorgifte van persoonsgegevens naar het Verenigd Koninkrijk.

Op dit moment is het Verenigd Koninkrijk nog een EU-lidstaat en heeft zij de AVG/GDPR geïmplementeerd in haar nationale wetgeving. Om die reden is doorgifte van persoonsgegevens aan het Verenigd Koninkrijk toegestaan. Afhankelijk van wat de politiek besluit vóór de voorgenomen Brexitdatum van 31 oktober 2019, zal daar verandering in komen.

In het huidige politieke klimaat zijn de volgende twee scenario’s het meest waarschijnlijk: een no-dealbrexit en een dealbrexit. Een no-dealbrexit houdt in dat er geen uittredingsovereenkomst wordt gesloten. Bij een dealbrexit wordt er wel een uittredingsovereenkomst aangegaan met een overgangsperiode van twee jaar. Hieronder worden de gevolgen met betrekking tot de doorgifte van persoonsgegevens in beide scenario’s uitgelicht.

Gevolgen no-dealbrexit

Bij een no-dealbrexit zal het Verenigd Koninkrijk geen EU-lidstaat meer zijn maar een “derde land” in de zin van de AVG. Dit houdt in dat internationale doorgifte van persoonsgegevens na 31 oktober 2019 slechts is toegestaan als ondernemingen in Nederland voldoen aan de AVG-privacyregels omtrent doorgifte aan landen buiten de EU. Op 12 februari 2019 heeft de European Data Protection Board (“EDPB”), het overkoepelende orgaan waarin alle privacy toezichthouders van de EU-lidstaten zijn verenigd, een notitie gepubliceerd waarin wordt uitgelegd wat een no-dealbrexit betekent voor de doorgifte van de persoonsgegevens aan het Verenigd Koninkrijk. Uit deze notitie wordt duidelijk dat er een aantal instrumenten bestaan waarmee de doorgifte van persoonsgegevens naar het Verenigd Koninkrijk toegestaan is.

Toestemming betrokkene

Zo kunnen bedrijven elke betrokkene om toestemming vragen om zijn of haar persoonsgegevens door te geven aan het Verenigd Koninkrijk. De toestemming moet wel in vrijheid gegeven zijn en specifiek betrekking hebben op de doorgifte van persoonsgegevens aan het Verenigd Koninkrijk.

Bindende bedrijfsvoorschriften

Wanneer het gaat om doorgifte van persoonsgegevens aan een (neven)vestiging van een onderneming die zich buiten de EU bevindt, kunnen Bindende bedrijfsvoorschriften een oplossing bieden. Echter ziet dit instrument slechts op gegevensverkeer binnen één concern. Daarnaast kunnen de Bindende bedrijfsvoorschriften pas rechtsgeldig worden toegepast wanneer de toezichthouder hiervoor goedkeuring heeft verleend.

Gedragscodes en certificeringsmechanismen

Ook gedragscodes en certificeringsmechanismen zijn passende waarborgen voor doorgifte van persoonsgegevens aan derde landen. Echter werkt de EDPB nog aan richtlijnen waarin uitleg wordt gegeven over de voorwaarden en het gebruik van deze waarborgen.

Standaardbepalingen voor gegevensbescherming

De Europese Commissie heeft standaard contracten opgesteld, waarin aanvullende en toereikende waarborgen voor gegevensbescherming bij doorgifte aan derde landen zijn opgenomen. Bij het gebruiken van deze modelcontracten is het belangrijk om te vermelden dat deze standaardbepalingen niet gewijzigd mogen worden. Wat wel is toegestaan, is het opnemen van deze standaardbepalingen in een bredere overeenkomst, mits de overige bepalingen in deze overeenkomst niet direct of indirect in tegenspraak zijn met de vastgestelde standaardbepalingen.

Gevolgen dealbrexit

In het geval er wel een uittredingsovereenkomst wordt aangegaan dan betekent dit dat de AVG gedurende de overgangsperiode in het Verenigd Koninkrijk zal blijven gelden. De AVG blijft dan tot eind 2020 van kracht. Feitelijk verandert er in de overgangsperiode dus niets voor wat betreft de doorgifte van persoonsgegevens aan het Verenigd Koninkrijk. Er hoeven aldus geen aanvullende maatregelen getroffen te worden voor het rechtsgeldig doorgeven van persoonsgegevens aan het Verenigd Koninkrijk.

Wilt u meer weten over de doorgifte van persoonsgegevens aan het Verenigd Koninkrijk? Of heeft u vragen over andere AVG-kwesties? Neem dan vrijblijvend contact met Sheevani Bharatsingh.