Als u zaken doet met het Verenigd Koninkrijk is het mogelijk dat de Brexit meer gevolgen voor uw handel heeft dan u op het eerste gezicht zou verwachten. Hoewel er nog steeds geen duidelijkheid is of en wanneer de Brexit plaats zal vinden, is het voor organisaties aan te raden om na te gaan of zij persoonsgegevens uitwisselen met het Verenigd Koninkrijk. Eén van de gevolgen van de Brexit is dat persoonsgegevens niet zomaar meer naar het Verenigd Koninkrijk mogen worden doorgegeven.
Hoofdscenario’s
Al naar gelang de wijze waarop de Brexit vorm zal krijgen, zijn er twee hoofdscenario’s te onderscheiden:
- Een Brexit met een deal waarbij het Verenigd Koninkrijk uit de EU stapt, maar binnen de Europees Economische Ruimte (EER) blijft, en
- Een Brexit waarbij alle banden met de EU worden opgeheven.
Het eerste scenario zal nagenoeg geen veranderingen voor het doorgeven van persoonsgegevens aan het Verenigd Koninkrijk met zich meebrengen. Het tweede scenario daarentegen brengt met zich mee dat het Verenigd Koninkrijk vanaf de Brexit zal worden beschouwd als een derde land, een land buiten de Europees Economische Ruimte (EER).
Het VK als derde land
De Avg verbiedt in beginsel doorgifte aan derde landen. Dit verbod kan op een aantal wijzen worden doorbroken. Het algemene uitgangspunt is dat het ontvangende derde land een beschermingsniveau van persoonsgegevens waarborgt dat gelijk of overeenkomstig is aan het beschermingsniveau dat de Avg biedt aan betrokkenen.
De meest wenselijke doorbreking van het verbod op doorgifte, is een door de Europese Commissie (EC) afgegeven adequaatheidsbesluit. Het is echter niet vanzelfsprekend dat een adequaatheidsbesluit wordt afgegeven.
Brexiteers beschouwen een mogelijk handelsakkoord met de Verenigde Staten als een ‘big win’ bij de Brexit. Het huidige instrument waaronder doorgifte aan de VS mogelijk is gemaakt, het ‘Privacy Shield’, is echter hevig aan het wankelen. Dit kan negatieve gevolgen hebben voor de uitkomst van het adequaatheidsonderzoek door de EC voor het Verenigd Koninkrijk. Bovendien heeft het Verenigd Koninkrijk wetgeving die op gespannen voet staat met de Avg, bijvoorbeeld de ‘Snooper’s Act’.
Interim-periode
In de periode tussen de Brexit en een (eventueel) adequaatheidsbesluit zullen organisaties sowieso moeten terugvallen op andere wijzen om een passend beschermingsniveau te garanderen.
Doet u zaken met het Verenigd Koninkrijk, of andere derde landen, en vraagt u zich af of en welke maatregelen u dient te treffen om compliant te zijn met de Avg, neem dan contact op met First Lawyers.