Op de valreep is hij er dan toch: de Brexit-deal. Op 24 december, als een waar kerstcadeautje, hebben de onderhandelaars een akkoord bereikt over de regels die per 1 januari 2021 zullen gelden tussen de Europese Unie (EU) en van het Verenigd Koninkrijk (VK). Het akkoord bevat regels over onder andere visserij, luchtvaart en wegtransport en sociale zekerheid. Maar wat zegt het akkoord precies over data? En wat verandert er daadwerkelijk?

Update:

Op 28 juni 2021 heeft de Europese Commissie twee adequaatheidsbesluiten voor het Verenigd Koninkrijk (VK) aangenomen (zie scenario 1 hieronder): één voor de doorgifte van persoonsgegevens aan het VK in het kader van de Avg en één in het kader van de richtlijn gegevensbescherming bij rechtshandhaving. Daarmee geeft de Europese Commissie aan dat het VK een passend beschermingsniveau van de verwerking van persoonsgegevens waarborgt (art. 45 Avg). Met organisaties gevestigd in het VK kunnen persoonsgegevens dus gewoon worden uitgewisseld.

—

Onderscheid tussen ‘gewone’ data en persoonsgegevens

Het akkoord maakt een onderscheid tussen ‘gewone’ data en persoonsgegevens. Rondom ‘gewone’ data benadrukt het akkoord het belang van ‘cross-border data flows’ voor handel in de digitale economie. Dit gegevensverkeer mag daarom niet worden belemmerd door partijen (dit zijn lidstaten in de EU/EER en het VK).

Voor persoonsgegevens benadrukt de Brexit-deal dat hoge eisen rond het recht op gegevensbescherming en het recht op privacy bijdragen aan het vertrouwen in de digitale economie en de ontwikkeling van handel. In het akkoord is opgenomen dat partijen nog wel maatregelen ter bescherming van het recht op gegevensbescherming en privacy mogen behouden en invoeren, mits de bijbehorende voorwaarden zijn ‘geformuleerd in objectieve termen die tussen burgers onderling en op een breed scala aan situaties van toepassing zijn’. Wat de onderhandelaars hier precies mee bedoelen is nog onduidelijk.

Overbruggingsperiode voor doorgifte van gegevens

De belangrijkste afspraak voor persoonsgegevens staat verderop in de Brexit-deal, onder de ‘final provisions’. Hier staat een bepaling over een overbruggingsperiode van maximaal een half jaar. In deze overbruggingsperiode wordt een doorgifte van persoonsgegevens vanuit de EU/EER naar het VK nog niet gezien als een doorgifte naar een derde land (dat valt onder hoofdstuk 5 van de Avg, met de bijbehorende verplichtingen).

Wat gebeurt er na de overbruggingsperiode? Zoals het er nu uit ziet, kunnen zich drie scenario’s voordoen:

• 1. Adequaatheidsbesluit

De Europese Commissie (EC) neemt een adequaatheidsbesluit aan. Hiermee geeft de EC aan dat het beschermingsniveau van persoonsgegevens in het VK gelijkwaardig is aan dat van de EU. De EC is al vanaf maart 2020 bezig met het opstellen van een adequaatheidsbesluit. Als het ontwerp-adequaatheidsbesluit klaar is, geeft de European Data Protection Board (EDPB) hier een advies over. Dit advies is niet juridisch bindend, maar kan wel invloed hebben op de volgende stap: de goedkeuring van de lidstaten. Iedere lidstaat moet groen licht geven voor het adequaatheidsbesluit, voordat de EC het adequaatheidsbesluit kan aannemen.

Momenteel is het ontwerp-adequaatheidsbesluit nog niet gepubliceerd. Of het advies van de EDPB positief gaat zijn, is nog maar de vraag. Afgelopen zomer heeft de EDPB al haar twijfels geuit over het beschermingsniveau van persoonsgegevens in het VK. Dit heeft alles te maken met de overeenkomst tussen het VK en de VS over het delen van data onder de zogenaamde CLOUD Act.

NLdigital heeft, samen met onze Britse zusterorganisatie TechUK – al eerder gewezen op het belang van een adequaatheidsbesluit.

• 2. Nieuwe wet- en regelgeving

Mochten niet alle lidstaten een adequaatheidsbesluit goedkeuren, dan lijkt er nog een kleine opening in de Brexit-deal te zitten. Het VK kan tijdens de overbruggingsperiode een ‘juridisch bindend instrument’ (alle soorten wet- en regelgeving) aannemen voor het doorgeven van persoonsgegevens. Vervolgens kan de EU een overleg met het ‘Partnership Council’ (hierin zitten vertegenwoordigers van de EU en het VK) aanvragen, waarin het betreffende instrument wordt ‘besproken’. Wat het doel is van deze bespreking wordt niet uitgelegd. Mogelijk zou het zo kunnen zijn dat ze bepalen dat het betreffende instrument een vervanging kan zijn voor een adequaatheidsbesluit en dat doorgifte van persoonsgegevens via dat instrument dus mogelijk is na de overbruggingsperiode. Hier is echter niks over verduidelijkt, dus dit blijft momenteel nog even koffiedik kijken.

• 3. Eindigen overbruggingsperiode zonder afspraken – VK is een ‘derde land’

Mocht de overbruggingsperiode eindigen zonder verdere afspraken, dan is halverwege 2021 het VK officieel een ‘derde land’. Dit betekent dat hoofdstuk 5 van de Avg van toepassing is op doorgifte van persoonsgegevens naar het VK, met alle bijbehorende verplichtingen. De verplichtingen rondom doorgifte van persoonsgegevens naar derde landen zijn de afgelopen periode onder een vergrootglas komen te liggen dankzij de Schrems II-zaak. Alhoewel de zaak in eerste instantie gaat over de doorgifte van persoonsgegevens naar de VS, is de uitspraak ook van belang voor doorgifte van persoonsgegevens naar het VK. Het VK heeft namelijk, net als de VS, inlichtingen- en veiligheidsdiensten met vergaande bevoegdheden. Deze zijn opgenomen in de ‘Regulation of Investigatory Powers Act’, ook wel de RIPA. De omvang van deze bevoegdheden en de opgenomen waarborgen hebben invloed op onder andere het beschermingsniveau van persoonsgegevens. En het Hof van Justitie heeft net besloten dat regelingen zoals de RIPA niet te verenigen zijn met het Europees Unierecht.

Het is daarom aan te raden om te verkennen of er een oplossing kan liggen in een overeenstemming tussen staten op gebied van de bevoegdheden en waarborgen op het vlak van inlichtingen- en veiligheidsdiensten. Hier speelt ook de overeenkomst tussen het VK en de US over het delen van data onder de CLOUD Act mee.

De laatste ontwikkelingen in de Schrems II-zaak zijn de concept-Standard Contractual Clauses voor doorgifte van persoonsgegevens, opgesteld door de EC, en de concept aanbevelingen van de EDPB omtrent doorgifte van persoonsgegevens. Op beide documenten heeft NLdigital input geleverd. We hebben er hierbij op aangedrongen dat het van belang is dat er een werkbare situatie blijft bestaan, waarbij er evenwicht is tussen het recht op gegevensbescherming en privacy, een welvarende globale economie en Europese fundamentele rechten en vrijheden.

Wat nu?

Alle EU-lidstaten zijn akkoord gegaan met de Brexit-deal. Het Britse Lagerhuis moet nog instemmen met het akkoord. Op het moment van publiceren lijkt een meerderheid voor de deal te zijn. Het Europees Parlement moet ook nog haar goedkeuring geven. Ook hier is de verwachting is dat het Europees Parlement het akkoord zal ondertekenen. Is dit gebeurd, dan is het wachten op de ontwikkelingen in de overbruggingsperiode. Kortom er is een deal, waarvan de daadwerkelijk effecten met betrekking tot data zich tijdens de overbruggingsperiode kenbaar zullen maken. NLdigital houdt deze ontwikkelingen nauwlettend in de gaten.

Heb je vragen over de gevolgen van de Brexit voor jouw organisatie? Aarzel dan niet om contact op te nemen met onze juristen.

Vanmiddag is Boris Johnson met een ruime meerderheid gekozen tot de nieuwe premier van het Verenigd Koninkrijk. Gezien zijn opstelling tot op heden verwachten wij niet dat er nog een nieuw onderhandelingsresultaat bereikt wordt. Doe jij zaken met het VK of staat data in het VK? Wij adviseren je voorbereidingen te gaan treffen op het no-deal scenario, zodat je ook na 31 oktober Avg-compliant bent. Gebruik daarvoor onze Brexit toolkit.

Brexit in het kort

Het Verenigd Koninkrijk heeft als resultaat van een referendum onder het volk in 2017 aangegeven zich te willen terugtrekken uit de Europese Unie (EU). Daarmee zal alle Europese wet- en regelgeving die van toepassing is op de lidstaten van de EU vanaf de datum van terugtrekking niet meer van toepassing zijn op het Verenigd Koninkrijk. Het Verenigd Koninkrijk wordt daarmee een zogenaamd ‘derde land’, zoals bedoeld in de Algemene verordening gegevensbescherming (Avg). Het Verenigd Koninkrijk heeft in maart 2019 ‘terugtrekkingsuitstel’ gekregen en daarmee is de datum van terugtrekking opgeschoven naar 31 oktober 2019.

Impact op Avg-compliancy

Het is mogelijk dat het Verenigd Koninkrijk met de EU een terugtrekkingsovereenkomst zal sluiten om de terugtrekking geleidelijk te laten verlopen. In zo’n terugtrekkingsovereenkomst kan het Verenigd Koninkrijk bijvoorbeeld met de overige lidstaten van de EU overeenkomen dat de Avg nog voor een bepaalde periode van toepassing zal zijn op het Verenigd Koninkrijk. Daarmee zou het Verenigd Koninkrijk voor de daarin bepaalde periode nog geen ‘derde land’ worden. De onderhandelingen lopen echter stroef en het zou zo kunnen zijn dat het Verenigd Koninkrijk en de overige lidstaten van de EU niet tot overeenstemming komen.

Als er geen terugtrekkingsovereenkomst wordt gesloten (no-deal Brexit/harde Brexit) dan is het Verenigd Koninkrijk niet langer meer een EU lidstaat en wordt het Verenigd Koninkrijk vanaf de datum dat het uitstel afloopt van de een op de andere dag een ‘derde land’. Derde landen zijn de landen die niet behoren tot de EU/EER. Doorgifte van persoonsgegevens naar ‘derde landen’ is onder de Avg niet toegestaan, tenzij aan een van de waarborgen voor een passende bescherming wordt voldaan.

Bereid je voor met de Brexit toolkit

De juristen van Nederland ICT ondersteunen jouw organisatie om Avg-compliant te worden. Daarom hebben zij een Brexit toolkit ontwikkeld met hierin een toelichting, stappenplan en een conceptbrief. Begin tijdig met de voorbereidingen, omdat het opvragen van informatie veel tijd kan kosten.

Download hier de Brexit Toolkit

Wil je ondersteuning bij het opvragen van gegevens bij (sub)verwerkers? Maak dan gebruik van de conceptbrief Inventarisatie (sub)verwerkers. Deze brief is voor leden van Nederland ICT te vinden op mijnNederlandICT. Ben je nog geen lid? Dan is dit een mooi moment om wel lid te worden! Lees hier meer over het lidmaatschap van Nederland ICT.

Word bijgepraat tijdens de bijeenkomst op 18 september

Op 18 september zijn we te gast bij lidbedrijf maincubes, en praat Alex de Joode, public policy manager bij Nederland ICT, je bij over de gevolgen van een harde Brexit op data-uitwisseling met het Verenigd Koninkrijk. Ook vertelt hij welke stappen je kunt nemen om je security op orde te houden na 31 oktober. Daarnaast is er volop gelegenheid om met mede-ondernemers te sparren over de gevolgen en te nemen maatregelen om ook na 31 oktober 2019 Avg-compliant te zijn. Meld je aan voor deze bijeenkomst.

Meer informatie of vragen?

Heb je vragen over het toepassen van deze toolkit binnen jouw organisatie? Neem dan contact op met de juristen van Nederland ICT. Zij kunnen je voorzien van advies en ondersteuning.

Houd ook de activiteitenkalender van Nederland ICT in de gaten. Onze juristen geven regelmatig relevante workshops.