Juridische inhoud

1. Situering - doorgifte van persoonsgegevens binnen en buiten de EU

Voor doorgifte van gegevens naar een land binnen de Europese Unie gelden andere regels dan voor doorgifte naar een land buiten de Europese Unie.

• Binnen de EU kunnen persoonsgegevens vrij circuleren voor zover men de andere verplichtingen van de AVG naleeft. In de EU moet immers overal hetzelfde beschermingsniveau gewaarborgd worden. Hetzelfde geldt voor Noorwegen, Liechtenstein en IJsland. Deze 3 landen hebben zich verplicht de Europese privacyrichtlijn te implementeren in eigen wetgeving.

• Organisaties mogen persoonsgegevens daarentegen slechts doorgeven aan derde landen in een beperkt aantal gevallen.
  
  Met name bij:
  

• Een adequaatheidsbesluit;

• Passende waarborgen;

• Uitzonderlijke limitatief te interpreteren gevallen.
  

Derde landen zijn alle landen buiten de EU, met uitzondering van Noorwegen, Liechtenstein en IJsland.

Zonder overgangsbepaling zoals voorzien in het post-Brexit akkoord zou het Verenigd Koninkrijk dus onmiddellijk een 'derde' land zijn.

2. Overgangsbepaling - Verenigd Koninkrijk is tijdelijk geen derde land

Tijdens de eerste vier maanden van 2021 mag de doorgifte van persoonsgegevens aan het VK nog op dezelfde manier plaatsvinden als voorheen. Het VK wordt tijdens deze overgangsperiode nog niet beschouwd als een 'derde' land in de zin van de Algemene Verordening Gegevensbescherming (AVG).

Dit wil zeggen dat voor de verwerking de verantwoordelijken en de verwerkers niet verplicht zijn om doorgifte-instrumenten in te voeren, zoals bindende bedrijfsvoorschriften, standaardcontractbepalingen of andere doorgifte-instrumenten om gegevens naar het VK te exporteren.

Voorwaarde is wel dat het VK in deze periode zijn regels voor de bescherming van persoonsgegevens niet verandert.

Deze overgangsperiode wordt met 2 maanden verlengd als geen enkele partij er zich tegen verzet. Deze overgangsperiode loopt dus ten laatste tot en met 30 juni 2021.

De overgangsperiode kan ook eerder aflopen indien de Europese Commissie al eerder een adequaatheidsbesluit aanneemt.

Na de overgangsperiode is het VK alleszins een ‘derde’ land.

3. Adequaatheidsbesluit of doorgifte op basis van passende waarborgen?

2.1. Wel een adequaatheidsbesluit

Heeft de Europese Commissie voor het einde van de overgangsperiode een adequaatheidsbesluit aangenomen, is er geen probleem. Dan blijft vrij verkeer van persoonsgegevens naar het VK mogelijk zoals voorheen.

Ter herinnering: wat is een adequaatheidsbesluit?

Als een derde land in de nationale wetgeving een passend niveau van gegevensbescherming biedt, kan de Europese Commissie een ‘adequaatheidsbeslissing’ nemen. De Europese Commissie stelt dan vast dat de gegevensbescherming in dat land van een vergelijkbaar niveau is als de AVG.

Als er een adequaatheidsbeslissing bestaat, kan de doorgifte van persoonsgegevens gebeuren alsof het ging om een doorgifte tussen twee Belgische verantwoordelijken of naar een ander land van de Europese Unie.

2.2. Geen adequaatheidsbesluit

Heeft de Europese Commissie vóór het einde van de overgangsperiode geen adequaatheidsbesluit aangenomen, is de situatie anders.

In dat geval mag de doorgifte van persoonsgegevens indien de verwerkingsverantwoordelijken en de verwerkers in de Unie passende waarborgen bieden voor elke gegevensoverdracht naar het VK.

Dergelijke passende waarborgen kunnen erin bestaan gebruik te maken van:

• Standaard contractuele clausules en specifieke "ad hoc" contractuele clausules;
• Bindende bedrijfsvoorschriften (BCR);
• Gedragscodes en certificeringsmechanismen;
• Afwijkingen zoals voorzien in artikel 49 van de AVG.