Onlangs schreven we een blog over de gevolgen van een no-deal Brexit voor uw (IT-)bedrijf. We verkenden hierin de consequenties voor het verwerken van persoonsgegevens, uw intellectueel eigendom, de rechts- en forumkeuze in uw contracten en de regels betreffende belastingen. Wij gaven destijds ook aan dat er nog geen reden was voor totale paniek, aangezien het Verenigd Koninkrijk een no-deal Brexit het liefst wil voorkomen. De druk in het Britse parlement loopt inmiddels echter verder op... Wij praten u bij in deze blog.
Op 12 maart is alweer de eerstvolgende stemming over het huidige uittredingsvoorstel en 29 maart zou de Brexit al moeten plaatsvinden. Het lijkt echter niet waarschijnlijk dat een meerderheid vóór de door de Britse premier Therese May onderhandelde afspraken stemt. Zij heeft dan ook aangegeven dat het parlement, na een mogelijke verwerping van haar voorstel, mag stemmen over uittreding zonder akkoord (een no-deal Brexit). Als het parlement daar óók niks in ziet, wil ze vervolgens een stemming over uitstel van de Brexit. Er heerst op dit moment dus veel onzekerheid over de uitvoering van Britse uittreding. De kans op een no-deal Brexit wordt door ingewijden zelfs op meer dan 50% wordt geschat.
Hoewel een uittredingsakkoord tussen het Verenigd Koninkrijk en de Europese Unie nog steeds mogelijk is, ofwel op 12 maart of later, kunt u zich in deze tijden van Britse politieke chaos maar het beste op het no-deal scenario voorbereiden. De Europese privacy-toezichthouders delen deze mening, aangezien zij recentelijk extra instructies over het verwerken van persoonsgegevens bij een no-deal hebben gepubliceerd. Ondanks dat dit onderwerp in onze vorige blog al (beknopt) aan bod is gekomen, willen we u deze informatie zeker niet onthouden. Bij deze dus onze ‘’special over persoonsgegevens’’.
Voor meer informatie over Brexit-vouchers, scroll door naar het einde van deze blog.
Zodra het Verenigd Koninkrijk zonder nadere afspraken uit de Europese Unie stapt, zal de Algemene Verordening Gegevensbescherming (AVG) daar niet meer van toepassing zijn. Het Verenigd Koninkrijk kwalificeert vanaf dat moment als een ‘’derde land’’ onder de AVG. Hierdoor is de onbelemmerde doorgifte van persoonsgegevens vanuit de Europese Unie alleen toegestaan als het Verenigd Koninkrijk een passend beschermingsniveau biedt. Dit passende beschermingsniveau moet expliciet erkend worden door de Europese Commissie door middel van een ‘’adequaatheidsbesluit’’.
Aangezien het Verenigd Koninkrijk de AVG reeds geïmplementeerd heeft, en zich daar op dit moment ook aan houdt, is het onwaarschijnlijk dat het beschermingsniveau in het Verenigd Koninkrijk opeens een stuk lager ligt. Hier heeft de Europese Commissie echter geen boodschap aan: het duurt meestal één tot enkele jaren voordat een adequaatheidsbesluit wordt genomen. Dit is recentelijk ook bevestigd door de voorzitter van het Europees Comité voor gegevensbescherming (EDPB), Giovanni Buttarelli. Hij gaf aan dat de kans groot is dat er de komende jaren nog niks gaat gebeuren, wat betreft een adequaatheidsbesluit.
Dit betekent dat vanaf het moment van een no-deal Brexit, en tot het moment van een adequaatheidsbesluit, er passende waarborgen getroffen moeten worden om persoonsgegevens door te mogen geven aan het Verenigd Koninkrijk. De AVG noemt enkele instrumenten die gelden als ‘passende waarborgen’. Wij geven hieronder aan wanneer u deze waarborgen moet treffen, welke instrumenten voor u geschikt kunnen zijn en waar u verder rekening mee moet houden.
In bepaalde gevallen moet dus actie ondernomen worden. Hoe weet u wanneer dit voor u het geval is? De privacy-toezichthouders hebben hier, als onderdeel van hun instructies, een praktisch stappenplan voor opgesteld:
Het gaat hierbij alleen om de doorgifte van persoonsgegevens waar u verantwoordelijk voor bent. Dit zijn situaties waarin u als verwerkingsverantwoordelijke gegevens (van klanten bijvoorbeeld) doorgeeft aan een verwerker of een mede-verwerkingsverantwoordelijke in het Verenigd Koninkrijk.
Het is daarnaast belangrijk om op te merken dat dit alleen gaat om verwerkingen waarbij er persoonsgegevens vanuit de Europese Unie naar het Verenigd Koninkrijk doorgegeven worden. De Engelse privacy-toezichthouder heeft aangegeven dat de doorgifte van persoonsgegevens vanuit het Verenigd Koninkrijk naar de Europese Unie zonder verdere maatregelen plaats kan vinden.
Het gaat hier om passende of geschikte waarborgen voor de doorgifte naar derde landen. De instrumenten die als passende waarborgen kunnen dienen worden in de AVG genoemd; de verschillende mogelijkheden worden hieronder besproken. Daarbij geven we ook aan wat voor u de meest praktische oplossing kan zijn.
Deze deadline geldt alleen als er op dat moment sprake is van een no-deal Brexit. Indien het Britse parlement een deal met de Europese Unie goedkeurt, is er sprake van een overgangsperiode van twee jaar. Dit betekent dat de AVG tot 2020 van kracht blijft in het Verenigd Koninkrijk. Daarnaast kan de Brexit nog uitgesteld worden. In dat geval moet u nagaan wat de volgende ‘deadline-day’ wordt.
De AVG verplicht verwerkingsverantwoordelijken en verwerkers om in hun verwerkingsregister aan te geven dat er persoonsgegevens naar ‘derde landen’ doorgegeven worden.
U moet aangeven dat persoonsgegevens van betrokkenen naar het Verenigd Koninkrijk doorgegeven worden. Daarnaast moet u aangeven voor welke ‘instrumenten voor doorgifte’ u heeft gekozen en waar de betrokkene deze instrumenten kan inzien.
Dit kan er als volgt uitzien: ‘’Wij geven uw persoonsgegevens door aan bedrijven in het Verenigd Koninkrijk. Sinds [datum] is het Verenigd Koninkrijk geen onderdeel meer van de Europese Unie en kunnen persoonsgegevens alleen doorgegeven worden als er passende of geschikte waarborgen zijn. Wij hebben gekozen voor het gebruik van [bijvoorbeeld: modelclausules], die u hier kunt opvragen.’’
De AVG noemt verschillende instrumenten die als ‘passende waarborg’ kunnen gelden. We noemen ze hieronder en geven bij elk instrument aan wanneer deze geschikt is.
B) wanneer de doorgifte incidenteel en noodzakelijk is voor het uitvoeren van een overeenkomst tussen de betrokkene en de verwerkingsverantwoordelijke of de overeenkomst wordt gesloten in het belang van de betrokkene. U kunt hier bijvoorbeeld denken aan een reisorganisator die hotels in het buitenland boekt voor zijn klanten.
Let er wel op dat het om uitzonderingen gaat, waarvan het gebruik alleen in bepaalde gevallen is toegestaan. Geschikt voor: verwerkingsactiviteiten die incidenteel en niet repetitief zijn.
Hopelijk weet u na het lezen van deze blog wat uw opties zijn in het geval van een no-deal Brexit. Het is belangrijk dat u de stemming van 12 maart niet afwacht, maar nu al een inventarisatie maakt van wat er moet gebeuren. Als het Britse parlement voor een Brexit zonder uittredingsakkoord kiest, heeft u nog maar twee weken om alles te regelen (29 maart).
Mocht er toch een terugtrekkingsovereenkomst worden aangenomen of mocht de Brexit worden uitgesteld, dan is de kans groot dat u voorlopig nog geen actie hoeft te ondernemen. Toch is het ook in die situatie goed om alvast vooruit te kijken; u kunt er immers beter te vroeg bij zijn, dan te laat!
Heeft u bedrijfsbelangen in het Verenigd Koninkrijk en advies nodig in verband met de Brexit? Dan kunt u een voucher aanvragen waarmee tot €2500,- van ons advies vergoed zou kunnen worden. Voor vragen over deze voucher, of interesse in deze dienst, bel ons voor meer informatie op telefoonnummer: 020 663 1941, of stuur ons een mail via: info@ictrecht.nl.
Deze blog is geschreven door Cas Mevissen - juridisch adviseur bij ons internationale label Legal ICT - in samenwerking met werkstudent Demi Rietveld.
Meld je nu aan voor één van de nieuwsbrieven van ICTRecht en blijf op de hoogte van onderwerpen zoals AI, contracteren, informatiebeveiliging, e-commerce, privacy, zorg & ICT en overheid.
