Over de impact van de Brexit op de GDPR.

Even recapituleren

Bijna 5 jaar na het referendum waarin de Britten besloten om de Europese Unie (“EU”) te verlaten, werd op kerstavond op de valreep een akkoord bereikt om een harde Brexit te vermijden. Net op tijd, want op 1 januari 2021 eindigde de overgangsperiode waarin het Verenigd Koninkrijk (“VK”) nog deel uitmaakte van de interne markt.

Het “kerstakkoord” is een handels- en samenwerkingsakkoord dat bijna 1500 pagina’s telt. In deze bijdrage lichten we kort toe welke gevolgen de Brexit heeft op de bescherming van persoonsgegevens en privacy.

Wat met de GDPR in het VK?

Omdat het VK vanaf 1 januari 2021 geen deel meer uitmaakt van de EU, is het VK onder EU-recht een “derde land”. Dit houdt in dat de regels en wetten van de EU geen toepassing meer vinden in het VK.

Bijgevolg zal niet langer de GDPR van toepassing zijn, maar wel de Engelse “Data Protection Act”.

Mogen mijn persoonsgegevens nog op reis naar het VK?

Zoals hierboven vermeld, moet het VK voortaan worden beschouwd als een “derde land”. Bijgevolg zouden doorgiftes van persoonsgegevens vanuit de EU naar het VK dan ook meteen moeten voldoen aan de strikte regels die de GDPR hiervoor vooropstelt.

Grofweg gesteld, kan een doorgifte van persoonsgegevens naar derde landen enkel plaatsvinden indien:

  • de Europese Commissie een “adequaatheidsbesluit” heeft genomen over het land in kwestie (dit wil zeggen dat de Europese Commissie vindt dat het land een passend beschermingsniveau biedt); of
  • de partijen zelf voldoende passende waarborgen hebben genomen (waaronder bv. het afsluiten van de standaardcontractbepalingen van de Europese Commissie).

 

Het akkoord introduceert echter een overgangsperiode van maximum zes maanden. Tijdens die periode zal een doorgifte van persoonsgegevens naar het VK niet gezien worden als een doorgifte naar een derde land en zullen bedrijven dan ook geen speciale maatregelen moeten nemen om hun doorgiftes naar het VK te omkaderen.

De overgangsperiode is begonnen op 1 januari 2021 en loopt nog tot (i) het moment dat de Europese Commissie een adequaatheidsbesluit neemt met betrekking tot het VK, of (ii) eind april 2021 (verlengbaar tot eind juni 2021, tenzij de EU of het VK bezwaar maakt).

Het gunstregime voor de doorgiften naar het VK geldt enkel op voorwaarde dat het VK geen wijzigingen aanbrengt aan bepaalde aspecten van haar gegevensbeschermingsrecht zonder akkoord van de “partnerschapsraad” (d.i. is het politiek orgaan dat werd ingesteld in het kader van het akkoord waarin vertegenwoordigers van de EU en het VK zetelen).

Kortom: voorlopig kunnen persoonsgegevens kunnen nog steeds het Kanaal oversteken.

We wijzen er wel op dat de overgangsperiode tijdelijk is. Mits verlenging eindigt ze op 30 juni 2021. Bedrijven doen er dus goed aan om deze periode vooral te gebruiken om hun doorgiftes naar het VK in kaart te brengen.

Ook de rechtsgeldigheid van het aangekondigde adequaatheidsbesluit van de Europese Commissie wordt in twijfel getrokken. Zo wijst men erop dat de bevoegdheden van de inlichtingendiensten in het VK erg vergelijkbaar zij met deze van de Amerikaanse inlichtingendiensten. Herinner u, vorig jaar heeft het Hof van Justitie het “Privacy Shield”-besluit ongeldig verklaard omwille van de verregaande bevoegdheden van de Amerikaanse inlichtingendiensten (zie hierover ook onze blogpost over de Schrems II beslissing). Het is dan ook de vraag of het aangekondigde adequaatheidsbesluit m.b.t. het VK wél de juridische toets van het Hof van Justitie zal doorstaan.

Conclusie

Bedrijven moeten zich op korte termijn geen zorgen maken over een overdracht van persoonsgegevens naar het VK, maar gebruiken de overgangsperiode best om (i) reeds in kaart te brengen welke gegevens er naar het VK gaan, en (ii) te bekijken welke passende maatregelen er kunnen worden getroffen voor het geval er toch geen adequaatheidsbesluit zou komen.

Heeft u vragen over de impact van de Brexit op de verwerking van persoonsgegevens door uw bedrijf of de GDPR in het algemeen, neem dan contact op met Four & Five. We helpen u graag verder.

Auteurs: Mathieu Le Boudec & Jakob Vanhooren