AVG en een ‘No deal’ Brexit

Nog altijd is er geen duidelijkheid omtrent de voorwaarden waaronder het Verenigd Koninkrijk (VK) de EU zal verlaten en de tijd dringt. De Britse regering heeft omtrent de AVG (GDPR) al enige tijd geleden aangekondigd dat de AVG na de Brexit zal worden omgezet in Britse wetgeving. Het is lange tijd de verwachting geweest dat afspraken rondom de voortdurende stroom van persoonsgegevens tussen het VK en de EU onderdeel zou uitmaken van de Brexit deal. Maar wat nu als die er niet komt?

De Britse regering heeft al aangekondigd te zullen toestaan dat persoonsgegevens uit het VK naar EU-landen stromen maar de Britse regering gaat niet over de stroom van persoonsgegevens van de EU naar het VK. Strikt genomen kunnen persoonsgegevens zonder nadere afspraken na de Brexit niet meer zomaar van EU landen naar het VK worden getransporteerd. Het VK valt na de Brexit immers niet meer onder de AVG en het VK is (nog) niet is opgenomen op de lijst van de Europese Commissie van landen met een passend beschermingsniveau (een lijst die overigens zeer recent wel is aangevuld met Japan).

De Britse privacy waakhond ICO heeft een ‘6-stappenplan’ online geplaatst om organisaties te helpen en om de gevolgen van een ‘no-deal’ Brexit goed te begrijpen en eventueel maatregelen te nemen. Zekerheidshalve zullen er bedrijven zijn die overwegen om tussen hun Nederlandse organisaties en die in het VK gebruik te maken van de EU ‘Standard Contractual Clauses’, om op die basis het verkeer van persoonsgegevens ook in de komende onzekere tijd AVG-compliant te laten zijn. Dit is een relatief goedkope en snelle methode.

De Nederlandse Autoriteit Persoonsgegevens heeft zich over (handhaving na) de Brexit nog niet uitgelaten, maar heeft in december jl. aangekondigd dit ‘begin 2019’ te doen. Uiteraard volgen wij dit voor u op de voet.