De Autoriteit Persoonsgegevens heeft samen met de Europese privacytoezichthouders, informatie bijeen gebracht over de privacyregels bij een eventuele harde Brexit. De richtlijnen zijn verzameld in de European Data Protection Board (EDPB).
Het document is opgesteld na talloze vragen over de effecten van de Brexit op de bescherming van persoonsgegevens. Binnen de EU is dat geregeld in de Algemene verordening gegevensbescherming (AVG). Bij een no deal-Brexit zal het VK een zogeheten derde land worden en worden de regels dus anders.
No deal
Als het uitdraait op een zogeheten no deal-Brexit word het VK een derde land. Organisaties die persoonsgegevens opslaan in het VK kunnen op drie manieren handelen:
- terugvallen op standaard- of ad-hocbepalingen van de Europese Commissie
- Bindende bedrijfsvoorschriften instellen
- Handelen op grond van gedragscodes of een certificeringsmechanisme maken
Een bindend bedrijfsvoorschrift is meestal iets voor multinationals die zowel binnen als buiten de EU actief zijn. Deze bedrijven hebben al eigen regels voor de handel met derde landen. Wel is het zo dat die regels eerst zijn goedgekeurd door de AP. Ze moeten ook steeds kloppen met de nieuwste AVG-jurisprudentie.
Een organisatie mag ook werken met een gedragscode of certificeringsmechanisme. Dat mag alleen als daar bindende en afdwingbare bepalingen staan voor de opslag van persoonsgegevens.
Voorbereiden
Het AP raadt alle bedrijven die gegevens uitwisselen met het VK aan voorbereidingen te treffen. Deze moeten de dag na een eventeuele no-deal Brexit, 30 maart dus, ingaan.
• Breng in kaart of en zo ja welke persoonsgegevens u met organisaties in het VK deelt
• Bepaal welk instrument voor de doorgifte van persoonsgegevens het beste past bij uw situatie.
• Zorg ervoor dat het gekozen instrument vanaf 30 maart 2019 werkzaam kan zijn
• Zorg ervoor dat u in interne documenten aangeeft dat uw organisatie persoonsgegevens doorgeeft aan een ‘derde land’, namelijk het VK
• Pas uw privacyverklaring aan
