Op 24 december 2020 zijn de Europese Unie en het Verenigd Koninkrijk ('VK') het eens geworden over de "UK-EU Trade and Cooperation Agreement" ('Handelsovereenkomst'), welke in werking is getreden op 1 januari jongstleden. Hoog tijd dus om de balans op te maken: hoe staat het bijna een jaar na Brexit met de doorgifte van persoonsgegevens naar ondernemingen in het VK?
Door Remi van Mansfeld en Elze 't Hart.
Sinds 1 februari 2020 is het VK geen lid meer van de EU. Onder het EU-VK-terugtrekkingsakkoord konden persoonsgegevens nog vrij worden gedeeld met organisaties in het VK. Echter, per 1 januari 2021 is dit akkoord geëindigd. Daardoor was het eind vorig jaar nog even spannend of er op grond van de Algemene Verordening Gegevensbescherming ('AVG') in 2021 nog vrij persoonsgegevens konden worden gedeeld met het VK. De AVG stelt namelijk strikte voorwaarden aan de doorgifte van persoonsgegevens naar landen buiten de EU. Zo mogen persoonsgegevens worden doorgegeven indien de Europese Commissie heeft besloten dat een land een passend beschermingsniveau voor de persoonsgegevens waarborgt ('Adequaatheidsbesluit'). Echter, voor het VK is (nog) geen Adequaatheidsbesluit genomen. Dat betekent dat de uitwisseling van persoonsgegevens slechts mogelijk is indien er passende waarborgen zijn getroffen. Passende waarborgen kunnen bijvoorbeeld zijn het sluiten van modelovereenkomsten van de Europese Commissie ('Modelovereenkomst') met de organisatie in het VK of doorgifte tussen groepsentiteiten op grond van binding corporate rules ('BCRs'). Dit houdt in dat na afloop van het EU-VK-terugtrekkingsakkoord zonder deal tussen het VK en de EU, organisaties geen persoonsgegevens meer zouden kunnen doorgeven indien zij geen nadere passende waarborgen treffen, zoals het sluiten van de bovengenoemde overeenkomsten. Slechts voor incidentele doorgiften in specifieke situaties bestaan uitzonderingen onder de AVG.
Op grond van de nieuwe Handelsovereenkomst wordt het VK nog niet gezien als 'derde land' in de zin van de AVG, waardoor persoonsgegevens toch nog mogen worden doorgegeven naar (ondernemingen in) het VK tot het moment dat er een Adequaatheidsbesluit is genomen door de Europese Commissie of het verstrijken van vier maanden, indien dat eerder is. De periode van vier maanden wordt automatisch met twee maanden verlengd, tenzij de EU of het VK hiertegen bezwaar heeft. Praktisch lijkt de Handelsovereenkomst de situatie van voor 2021 dus met zes maanden te verlengen, tot en met 30 juni 2021.
Gevolg van de Handelsovereenkomst is dat de komende vier (en waarschijnlijk zes) maanden organisaties persoonsgegevens mogen doorgeven naar (organisaties in) het VK zonder het treffen van nadere waarborgen. Bovendien is het de verwachting dat er vóór 30 juni 2021 een Adequaatheidsbesluit wordt genomen, waardoor ook na deze datum weinig voor ondernemingen zal veranderen. Echter, indien er niet tijdig een Adequaatheidsbesluit volgt zullen er alsnog passende waarborgen getroffen moeten worden door organisaties. In dat kader verdient het aanbeveling om bij het sluiten van overeenkomsten nu al rekening te houden met een dergelijke situatie en passende waarborgen te treffen.
Uiteraard volgen wij de ontwikkelingen op de voet en zijn wij beschikbaar voor vragen over, of het ondersteunen bij contracteren met partijen die persoonsgegevens doorgeven naar het VK.
