No-deal Brexit en privacy

Weinig organisaties lijken zich te beseffen dat de Brexit niet enkel gaat om het vrije verkeer van personen en goederen, maar ook om het digitale verkeer. In deze blog wordt ingegaan op de gevolgen van de Brexit op de privacy en de uitwisseling van persoonsgegevens met het Verenigd Koninkrijk (VK).

In het Brexit-voorstel was een overgangsregeling opgenomen met betrekking tot de uitwisseling van persoonsgegevens. Hierdoor zou er voldoende tijd zijn voor organisaties om maatregelen te treffen. Nu het Engelse parlement ‘nay’ zei tegen het voorstel (en dus ook tegen de overgangsregeling) wordt een no-deal scenario steeds waarschijnlijker. De vraag die dan opkomt is: mag een organisatie die gevestigd is in de Europese Unie na een no-deal Brexit nog persoonsgegevens uitwisselen met het VK? Kort gezegd: ‘nay’.

Doordat het VK uit de Europese Unie (EU) stapt mogen persoonsgegevens niet zomaar meer worden doorgestuurd naar het VK. Het VK is namelijk niet langer partij bij de AVG en hoeft dus ook niet meer aan de eisen van de AVG te voldoen. Gevolg: het VK wordt niet meer als ‘veilig’ land gezien. Het VK zal pas weer als veilig worden gezien als het VK nieuwe privacyregelgeving heeft gemaakt en deze door de Europese Commissie is goedgekeurd.

Duidelijk is dat dit niet van de ene op de andere dag het geval zal zijn en organisaties doen er daarom goed aan om (beveiligings)maatregelen te treffen. Blijkt dat een organisatie toch persoonsgegevens deelt met een andere partij in het VK op een wijze die in strijd is met de AVG, dan kan een boete worden opgelegd. Veel organisaties hebben nu wel data in het VK staan en lijken door de no-deal in een lastige spagaat terecht te komen. Om voor die situatie een oplossing te zoeken heeft onder andere Nederland ICT de Autoriteit Persoonsgegevens (AP) verzocht om een overgangsperiode in te stellen, waarin een en ander geregeld kan worden, mocht de no-deal Brexit inderdaad doorgaan. Of de AP aan het verzoek gehoor geeft is nog afwachten. We houden u op de hoogte.