EDPB: plan doorgifte data naar VK goed, maar ook zorgen
De bescherming van persoonsgegevens in het Verenigd Koninkrijk (VK) is ook na de Brexit goed, maar er zijn ook zorgen. Dit schrijven de Europese privacytoezichthouders aan de Europese Commissie (EC). Zij reageren hiermee op Europese plannen om de doorgifte van persoonsgegevens naar het VK weer toe te staan.
In zogeheten adequaatheidsbesluiten stelt de EC vast dat persoonsgegevens in het VK voldoende beschermd zijn. En dat er dus geen bezwaar is om persoonsgegevens vanuit de EU naar het VK door te geven. De privacytoezichthouders, verenigd in de European Data Protection Board (EDPB), publiceerden op 13 april 2 adviezen aan de EC in reactie op 2 voorgenomen adequaatheidsbesluiten.
Geen AVG na Brexit
Het VK stapte op 31 december 2020 definitief uit de Europese Unie. Daardoor is het VK nu niet meer gebonden aan 2 Europese privacywetten, de Algemene verordening gegevensbescherming (AVG) en de Richtlijn gegevensbescherming bij rechtshandhaving.
Europese bedrijven mogen daarom niet zonder meer persoonsgegevens van Europese burgers doorgeven aan bedrijven in het VK. Met de 2 adequaatheidsbesluiten die de EC nu voorstelt, 1 voor de AVG en 1 voor de Richtlijn, moet dat weer mogelijk worden.
Europese privacywetten ‘gekopieerd’
In de 2 adviezen geeft de EDPB aan dat het stelsel van gegevensbescherming in het VK erg lijkt op het Europese systeem. Dat is ook niet zo gek. De Brexit is immers nog maar een paar maanden een feit en het VK heeft zowel de AVG als de Richtlijn gegevensbescherming bij rechtshandhaving ‘gekopieerd’ in eigen wetgeving.
Zorgen over doorgifte naar VS
Toch spreekt de EDPB ook een aantal zorgen uit. Vooral over de mogelijkheid dat persoonsgegevens straks – via het VK – naar andere landen worden doorgegeven, waar persoonsgegevens onvoldoende worden beschermd. Zoals de Verenigde Staten. De EDPB vraagt de EC om opheldering op die punten. En om dit in toekomst nauwgezet te monitoren.
Tussentijds ingrijpen
De beoordeling van de EC geldt voor 4 jaar. Daarna wordt bekeken of het beschermingsniveau nog steeds passend is. Maar de EC kan niet tussentijds ingrijpen als het VK in de tussentijd maatregelen neemt die het beschermingsniveau effectief verlagen. Ook hier heeft de EDPB aandacht aan besteed in de adviezen. De EDPB verzoekt de EC – waar nodig – ook tussentijds bij te sturen.
Hoe nu verder?
De EC is verplicht de EDPB om advies te vragen voor adequaatheidsbesluiten. Maar de EC is niet verplicht alle adviezen op te volgen. Het is nog niet bekend wanneer de EC beslist of de adequaatheidsbesluiten worden aangenomen. En dus of Europese bedrijven persoonsgegevens mogen doorgeven aan bedrijven in het VK.
