De AVG is van toepassing op de verwerking van persoonsgegevens in de Europese Unie (EU). Dus: als bijvoorbeeld de verwerkingsverantwoordelijke en/of de verwerker van de persoonsgegevens in de EU is gevestigd, geldt de AVG. Na de brexit is het VK geen onderdeel meer van de EU. Dat heeft gevolgen voor gegevensverwerking die plaatsvinden in het VK voor/namens partijen die wel in de EU zijn gevestigd.

Maar wat betekent dit meer concreet voor bijvoorbeeld de fusies en overname- praktijk waarbij tijdens een due dilligence onderzoek veel data- uitwisseling plaatsvindt en er niet zelden gewerkt wordt met een dataroom die vanuit het VK wordt gehost?

Wat betekent de brexit voor u?

Nu het Britse parlement en het Europese Parlement hebben ingestemd met het brexit akkoord, is het VK per 31 januari 2020 uit de EU getreden. Brexit is daarmee een feit. Vanaf dat moment is op basis van het akkoord een overgangsfase in werking getreden tot 1 januari 2021. In deze periode zijn alle EU-regels en wetten voor het VK van kracht gebleven en is er voor bedrijven vrijwel niets verandert ten aanzien van de internationale doorgifte van persoonsgegevens. Gedurende deze periode hebben de EU en het VK vervolgens afspraken proberen te maken over de toekomstige (economische) relatie.

Als de EU en het VK helemaal geen afspraken kunnen maken bij de onderhandelingen, geldt aan het einde van de overgangsperiode een ‘no deal’-scenario. Want dan is het VK geen lid meer van de interne markt en de douane-unie én ligt er verder geen enkele afspraak. Dan gelden dezelfde regels als voor andere landen buiten de EU, zoals de Canada, China en Australië. Oftewel u zult zich bij internationale doorgifte van persoonsgegevens moeten houden aan de privacyregels die gelden voor het doorgeven van persoonsgegevens buiten de EU. Hiervoor zijn verschillende instrumenten beschikbaar.

Adequaatheidsbesluit

De Europese Commissie kan oordelen dat het niveau van gegevensbescherming in een derde land gelijkwaardig is aan de Europese regelgeving. Dit wordt een adequaatheidsbesluit genoemd. In zo’n geval kunt u gegevens uitwisselen met dat derde land. Maar in het geval van een no-deal brexit zal er niet direct een adequaatheidsbesluit voor het VK klaarliggen. U moet daarom gebruik maken van andere instrumenten.

Instrumenten voor het doorgeven van persoonsgegevens naar derde landen

  • standaard- of adhocbepalingen voor gegevensbescherming. U kunt hiervoor gebruik maken van een aantal modelcontracten die door de Europese Commissie zijn vastgesteld.
  • Gedragscodes of certificeringsmechanismen.
  • Bindende bedrijfsvoorschriften.
  • Tot slot is er ook nog een mogelijkheid om incidenteel gegevens door te geven aan derde landen. Dit mag alleen bij hoge uitzondering en onder strikte voorwaarden. Meer informatie over deze uitzonderingsmogelijkheid is te vinden in de Guidelines over artikel 49 AVG.

Bij vragen over dit onderwerp adviseren wij u graag.

Meer informatie

Wilt u meer informatie over de gevolgen van de brexit? Bekijk dan onze brexit-pagina.

December 2020