De AVG is van toepassing op de verwerking van persoonsgegevens in de Europese Unie (EU). Dus: als bijvoorbeeld de verwerkingsverantwoordelijke en/of de verwerker van de persoonsgegevens in de EU is gevestigd, geldt de AVG. Na de brexit is het VK geen onderdeel meer van de EU. Dat heeft gevolgen voor gegevensverwerking die plaatsvinden in het VK voor/namens partijen die wel in de EU zijn gevestigd.

Maar wat betekent dit meer concreet voor bijvoorbeeld de fusies en overname- praktijk waarbij tijdens een due dilligence onderzoek veel data- uitwisseling plaatsvindt en er niet zelden gewerkt wordt met een dataroom die vanuit het VK wordt gehost?

Wat betekent de brexit voor u?

Nu het Britse parlement en het Europese Parlement hebben ingestemd met het brexit akkoord, is het VK per 31 januari (middernacht Nederlandse tijd) uit de EU getreden. Brexit is daarmee een feit. Vanaf dat moment is op basis van het akkoord een overgangsfase in werking getreden tot 1 januari 2021. In deze periode blijven alle EU-regels en wetten voor het VK van kracht. In die periode verandert er voor bedrijven vrijwel niets ten aanzien van de internationale doorgifte van persoonsgegevens. Gedurende deze periode maken de EU en het VK afspraken over de toekomstige (economische) relatie. Wij zullen u over deze afspraken tijdig op de hoogte brengen.

Als de EU en het VK helemaal geen afspraken kunnen maken bij de onderhandelingen, geldt aan het einde van de overgangsperiode een ‘no deal’-scenario. Want dan is het VK geen lid meer van de interne markt en de douane-unie én ligt er verder geen enkele afspraak. Dan gelden dezelfde regels als voor andere landen buiten de EU, zoals de Canada, China en Australië. Oftewel u zult zich bij internationale doorgifte van persoonsgegevens dan moeten houden aan de privacyregels die gelden voor het doorgeven van persoonsgegevens buiten de EU. Hiervoor zijn verschillende instrumenten beschikbaar.

Adequaatheidsbesluit
De Europese Commissie kan oordelen dat het niveau van gegevensbescherming in een derde land gelijkwaardig is aan de Europese regelgeving. Dit wordt een adequaatheidsbesluit genoemd. In zo’n geval kunt u gegevens uitwisselen met dat derde land. Maar in het geval van een no-dealbrexit zal er niet direct een adequaatheidsbesluit voor het VK klaarliggen. U moet daarom gebruik maken van andere instrumenten.

Instrumenten voor het doorgeven van persoonsgegevens naar derde landen

  • standaard- of adhocbepalingen voor gegevensbescherming. U kunt hiervoor gebruik maken van een aantal modelcontracten die door de Europese Commissie zijn vastgesteld.
  • Gedragscodes of certificeringsmechanismen.
  • Bindende bedrijfsvoorschriften.
  • Tot slot is er ook nog een mogelijkheid om incidenteel gegevens door te geven aan derde landen. Dit mag alleen bij hoge uitzondering en onder strikte voorwaarden. Meer informatie over deze uitzonderingsmogelijkheid is te vinden in de Guidelines over artikel 49 AVG.
Meer informatie

Wilt u meer informatie over de gevolgen van de brexit? Bekijk dan onze brexit-pagina.