Indien persoonsgegevens buiten de Europese Economische Ruimte (EER) worden verwerkt, dient uw organisatie aanvullende maatregelen te nemen. In de praktijk worden hier veelal de ‘Standard Contractual Clauses’ voor gebruikt. Deze werkwijze lag ook in het verschiet voor het VK. Een adequaatheidsbesluit van de Europese Commissie voor het VK lijkt echter aanstaande. Goed nieuws voor organisaties die persoonsgegevens uitwisselen met organisaties in het VK. Adequaatheidsbesluit voor Verenigd Koninkrijk lijkt aanstaande.
Hoewel het VK sinds 1 februari 2021 geen onderdeel meer is van de EER, is voor gegevensuitwisseling tussen de EER en het VK een overgangsperiode afgesproken van 4 maanden. Deze periode kan met 2 maanden verlengd worden tot 1 juli 2021. Hoewel op het moment van schrijven nog onbekend, wordt zeer waarschijnlijk gebruik gemaakt van de extra 2 maanden. Het lijkt er namelijk op dat voor 1 juli een adequaatheidsbesluit voor het VK aangenomen gaat worden.
In februari heeft de Europese Commissie een concept adequaatheidsbesluit voorgelegd aan het Europese samenwerkingsverband van nationale privacy toezichthouders (EDPB). Het EDPB heeft op 16 april een overwegend positief advies gegeven, met name omdat het VK de Europese privacywetgeving voor een groot gedeelte heeft opgenomen in de nationale wetgeving.
Indien het VK als ‘adequaat land’ wordt aangemerkt door de Europese Commissie, betekent dit dat een passend beschermingsniveau van de verwerking van persoonsgegevens gewaarborgd is. Organisaties hoeven dan geen aanvullende maatregelen te nemen voor gegevensuitwisseling in het VK. Goed nieuws, aangezien voorkomen wordt dat uw organisatie volledig nieuwe verwerkersovereenkomsten moeten sluiten met organisaties in het VK.
Uw organisatie doet er goed aan om te inventariseren met welke partijen er gegevensuitwisseling in het VK plaatsvindt. Uw verwerkingsregister kan als leidraad dienen. Indien voor het VK daadwerkelijk een adequaatheidsbesluit wordt genomen, hoeven verwerkersovereenkomsten slechts op een beperkt aantal punten aangepast te worden. Denk bijvoorbeeld aan bepalingen ten aanzien van doorgifte buiten de EER. U kunt wijzigingen in de vorm van een bijlage aan bestaande overeenkomsten toevoegen. Daarnaast zal bijvoorbeeld uw privacybeleid aangepast moeten worden.
Wordt geen adequaatheidsbesluit aangenomen, dan ligt er voor organisaties een hoop werk op de plank. Het is daarom te hopen dat de Europese Commissie er werk van maakt.
Vragen? Uiteraard zijn wij graag uw gesprekspartner.