Websiteheader Reinier

Advies over doorgifte persoonsgegevens aan het Verenigd Koninkrijk

Ons vorige blog over het post-Brexit doorgeven van persoonsgegevens aan het Verenigd Koninkrijk (VK) eindigde met het wel of niet nemen van een adequaatheidsbesluit door de Europese Commissie (EC). Welnu, de EC heeft aangegeven dat ze van plan is om twee dergelijke besluiten te nemen: een voor de Algemene verordening gegevensbescherming (AVG) en een voor de Richtlijn gegevensbescherming politie en justitie.

Het gaat hier om twee voorlopige besluitvoorstellen. Op weg naar definitieve besluiten, op grond waarvan je persoonsgegevens daadwerkelijk mag doorgeven, is een advies van de European Data Protection Board (EDPB) noodzakelijk. Op 13 april van dit jaar heeft de EDPB haar advies aan de Europese Commissie gepubliceerd.

Instemming…

In haar eindoordeel komt de EDPB tot de conclusie dat de bescherming van persoonsgegevens in het VK op een gelijke wijze is gewaarborgd als in de EU. Dit is uiteraard niet verbazingwekkend, omdat tot voor kort de AVG in het VK ook van toepassing was. Feitelijk heeft het VK de AVG, en ook de Richtlijn gegevensbescherming politie en justitie, vertaald in eigen, nationale wetgeving. Op grond van dit advies kan doorgifte van persoonsgegevens aan het VK echter nog niet plaatsvinden. De EDPB maakt in haar adviesrapport enkele kanttekeningen.

…en kanttekeningen

Zo is het bijvoorbeeld mogelijk om persoonsgegevens, als de adequaatheidsbesluiten straks definitief zijn, via het VK door te geven naar landen waar geen sprake is van adequate bescherming, zoals de Verenigde Staten.
Een andere kanttekening plaatst de EDPB bij het niet tussentijds kunnen ingrijpen. Een door de Europese Commissie genomen adequaatheidsbesluit geldt voor een periode van vier jaar. Mocht het VK tijdens deze periode een maatregel doorvoeren waardoor het beschermingsniveau van persoonsgegevens wordt verlaagd, dan vormt dat geen belemmering voor de doorgifte van persoonsgegevens vanuit de EU.
Het EDPB verzoekt de Europese Commissie dan ook om nauwgezette monitoring van doorgifte aan derde landen en tussentijds ingrijpen mogelijk te maken.

Hoe nu verder?

Het advies van de EDPB is een verplichte stap op weg naar een adequaatheidsbesluit van de Europese Commissie. De EC is echter niet verplicht alle adviezen van de EDPB op te volgen. Op dit moment is nog niet bekend wanneer de EC hierover een beslissing gaat nemen. Tot die tijd blijft het doorgeven van persoonsgegevens aan het VK in ieder geval tot 1 mei, en wellicht tot 1 juli, mogelijk. We houden je op deze website op de hoogte van de ontwikkelingen, maar speelt in jouw organisatie een vraagstuk met betrekking tot doorgifte van persoonsgegevens, naar het VK of welk land dan ook, aarzel dan niet om contact met ons op te nemen. We helpen je graag met het oplossen ervan.