Impact van de Brexit
Sinds 31 december 2020 is in een handels- en samenwerkingsovereenkomst (Je kan de overgangsregeling hier raadplegen; zie artikel FINPROV.10 blz. 427 – 429) tussen de Europese Unie en het Verenigd Koninkrijk bepaald dat de overdracht van persoonsgegevens aan het Verenigd Koninkrijk mag worden voortgezet. Tijdelijk mag het Verenigd Koninkrijk dus niet worden beschouwd als een "derde land" en zijn de voor de verwerking verantwoordelijken en de verwerkers niet verplicht om doorgifte-instrumenten in te voeren, zoals bindende bedrijfsvoorschriften, standaardcontractbepalingen en andere doorgifte-instrumenten van hoofdstuk V van de gegevensbeschermingsautoriteit om gegevens naar het Verenigd Koninkrijk te exporteren.
Opgelet:
- Deze clausule houdt op van toepassing te zijn 6 maanden na de inwerkingtreding van de overeenkomst van 31 december 2020 of eerder indien de Europese Commissie op voorhand een besluit over de gepastheid van het Verenigd Koninkrijk neemt.
- Indien het Verenigd Koninkrijk tijdens de bij de overeenkomst van 31 december vastgestelde overgangsperiode de toepasselijke gegevensbeschermingsregeling wijzigt of de aangewezen bevoegdheden zonder toestemming van de Europese Unie uitoefent, eindigt de overgangsperiode op de datum waarop de bevoegdheden worden uitgeoefend of de wijziging in werking treedt.
Het enige verschil met de situatie tijdens de voorheen geldende overgangsperiode is dat vanaf 1 januari 2021 het "one-stop-shop"-mechanisme niet langer van toepassing is en er geen mogelijkheid meer is om het Britse bureau van de commissaris voor informatie uit te nodigen voor vergaderingen van het Europees Comité voor gegevensbescherming (EDPS).
Als er vóór het einde van de transitieperiode, vastgesteld in het akkoord van 31 december 2020, geen adequaatheidsbesluit (AVG, art. 45) van het Verenigd Koninkrijk door de Europese Commissie is aangenomen, zullen de verwerkingsverantwoordelijken en de verwerkers in de Unie voldoende en passend niveau van bescherming moeten verzekeren voor elke gegevensoverdracht naar het Verenigd Koninkrijk. Een van onderstaande instrumenten moet ingevoerd worden om deze overdrachten te kaderen:
- Standaard contractuele clausules en specifieke "ad hoc" contractuele clausules;
- Bindende bedrijfsvoorschriften (BCR);
- Gedragscodes en certificeringsmechanismen;
- Afwijkingen zoals voorzien in artikel 49 van de AVG.
Het Europees Comité voor Gegevensbescherming (EDPB) keurde een informatieve nota goed met betrekking tot de onder de AVG beschikbare mechanismen voor de doorgifte van persoonsgegevens naar het Verenigd Koninkrijk indien het Verenigd Koninkrijk als derde land wordt aanzien.
Hoe moet ik er mij op voorbereiden?
Wij raden u aan de volgende stappen te ondernemen:
- Identificeer de verwerkingsactiviteiten die een doorgifte van persoonsgegevens vergen naar het Verenigd Koninkrijk.
- Bepaal het meeste geschikt doorgifte-instrument om uw verwerkingsactiviteiten uit te voeren (zie de volgende vraag).
- Voer het gekozen doorgifte-instrument in zodat dit instrumenten van toepasselijk is en in werking voor het einde van de transitieperiode.
- Vermeld in uw interne documentatie dat er doorgiftes naar het Verenigd Koninkrijk zullen plaatsvinden.