Gegevensoverdracht onder de AVG na de terugtrekking van het VK uit de EU

Tot op heden hebben organisaties geen wijzigingen hoeven aan te brengen in de manier waarop zij persoonsgegevens tussen de Europese Economische Ruimte (EER) en het Verenigd Koninkrijk (VK) overdragen als gevolg van Brexit. Dit kan na 30 juni 2021 veranderen, indien de Europese Commissie geen adequaatheidsbesluit neemt met betrekking tot het VK.

We hebben hieronder een korte tijdlijn opgenomen van gebeurtenissen die van invloed zijn op de regelgeving inzake gegevensoverdracht tussen de EER en het VK.

Op 31 januari 2020 heeft het VK officieel de Europese Unie verlaten (EU), echter de EU-wetten en -regelgeving bleven echter van toepassing op gegevensoverdrachten in het VK tot en met 31 december 2020 op grond van een overgangsovereenkomst tussen de twee partijen.

Op 1 januari 2021 is de overgangsperiode afgelopen en daarmee is de AVG niet meer van toepassing op de verwerking van persoonsgegevens in het VK.

Het verstrijken van deze overgangsperiode had twee belangrijke gevolgen voor organisaties die gegevens overdragen tussen de EER en het VK:

1. het VK is een ‘derde land’ geworden voor de toepassing van de AVG. Dit betekende dat de bepalingen van hoofdstuk 5 (die passende waarborgen vereisen) van toepassing waren op elke overdracht van persoonsgegevens van de Europese Economische Ruimte naar het VK; en
2. dat organisaties moesten voldoen aan zowel de AVG als de wetgeving inzake gegevensbescherming die van kracht was in het VK.

De impact van organisaties die moeten voldoen aan hoofdstuk 5 van de AVG met betrekking tot de overdracht van gegevens naar het VK, werd verbeterd door de handels- en samenwerkingsovereenkomst tussen de EU en het VK.

De handels- en samenwerkingsovereenkomst tussen de EU en het VK stelt organisaties in staat persoonlijke gegevens te blijven delen zonder de noodzaak om een alternatief overdrachtsmechanisme op te zetten onder de AVG. Dit interimregime eindigt op 30 juni 2021, hoewel verwacht wordt dat de Europese Commissie vóór die datum een adequaatheidsbesluit voor het VK zal aannemen (de procedure werd gestart op 19 februari 2021).

Als dit gebeurt, kunnen organisaties zonder verdere voorwaarden persoonsgegevens blijven overdragen aan het VK.