Adequaatheidsbesluiten aangenomen: doorgifte persoonsgegevens aan VK mogelijk

Het vorige blog over doorgifte van persoonsgegevens vanuit de Europese Unie (EU) in het Brexit-tijdperk sloot af met de verwachting dat de Europese Commissie (EC) de voorgestelde adequaatheidsbesluiten aan zou gaan nemen. Dat is precies wat de EC op 28 juni 2021 gedaan heeft – keurig vóór het aflopen van de overbruggingsregeling op 1 juli. Het AVG-adequaatheidsbesluit stelt dat er in het Verenigd Koninkrijk (VK) sprake is van voldoende bescherming van persoonsgegevens, zodat organisaties in de EU deze gegevens aan het VK kunnen doorgegeven.

Hoe zat het ook al weer?

Door het in december 2020 bereikte Brexit-akkoord tussen de EU en het VK, werd het VK per 1 januari 2021 als een zogenaamd ‘derde’ land beschouwd. Vanaf dat moment konden  persoonsgegevens aan het VK alleen worden doorgegeven als gebruik zou worden gemaakt van een van de aanvullende waarborgen die de AVG daarvoor biedt, waaronder modelcontracten (of standard contractual clauses (SCC’s). Er was toen immers nog geen adequaatheidsbesluit voor het VK genomen. Gebruik van een van de aanvullende waarborgen zou in de praktijk veel administratieve rompslomp hebben opgeleverd, zodat besloten is om tot uiterlijk 1 juli 2021 een overbruggingsregeling in het leven te roepen op grond waarvan doorgifte van persoonsgegevens toch mogelijk was.

Een en ander betekende echter wel dat er vóór 1 juli een besluit genomen moest worden: óf doorgifte op basis van aanvullende waarborgen óf een adequaatheidsbesluit. Dit laatste is nu dus gebeurd.

Passend beschermingsniveau

Met het genomen adequaatheidsbesluit geeft de EC aan dat er in het VK voor persoonsgegevens sprake is van een passend beschermingsniveau. Hierdoor kunnen organisaties persoonsgegevens vanuit de EU naar het VK (blijven) doorgeven, zonder dat daar aanvullende waarborgen voor nodig zijn. De verwerking van persoonsgegevens moet wel blijven voldoen aan de algemene eisen van de AVG en de specifieke eisen van het adequaatheidsbesluit. Zo is in het besluit overeengekomen dat het privacy regime in het VK gebaseerd blijft op de regels die van toepassing waren toen het VK nog een EU-lidstaat was.

Vier jaar

In het besluit is ook overeengekomen dat de duur ervan beperkt is tot vier jaar. In 2025 kan het adequaatheidsbesluit worden verlengd of, indien gedurende de vier jaar het VK haar privacyregels verandert, het besluit door de EC tussentijds worden herbeoordeeld. Aangezien dit laatste niet waarschijnlijk is, kun je de komende vier jaar met een gerust hart persoonsgegevens aan het VK (blijven) doorgegeven.

Speelt in jouw organisatie een vraagstuk over doorgifte van persoonsgegevens, naar het VK of welk land dan ook,  aarzel dan niet om contact met ons op te nemen. We helpen je graag met het oplossen ervan.