Op 29 maart 2019 treedt het Verenigd Koninkrijk (VK) definitief uit de EU en is de Brexit een feit. Het huidige Brexit nieuws concentreert zich vooral rondom economische en politieke kwesties, zoals de grens tussen Ierland en Noord-Ierland. En zelfs deze onderwerpen raken de afgelopen weken volledig ondergesneeuwd door de chaotische besluitvorming in het Britse parlement over het terugtrekkingsakkoord, het zogenaamde Withdrawal Agreement.

Weinig mensen realiseren zich echter dat de Brexit ook gevolgen heeft voor grenzen in de digitale wereld. Het zou zomaar kunnen dat privacygevoelige data straks niet meer het Kanaal mogen oversteken.

Privacygevoelige data uitwisselen

Omdat het VK nu nog onderdeel is van de EU is het ook nog gebonden aan de AVG, de nieuwe Europese privacywetgeving. Maar door de Brexit stapt het VK ook uit de AVG.

De EU neemt privacy serieus. De Europese Commissie heeft besloten dat de  privacyregels van slechts een aantal landen in haar ogen adequaat, oftewel robuust genoeg zijn. Alleen met deze landen mogen privacygevoelige data worden uitgewisseld, als bij de doorgifte tenminste ook verder aan de AVG wordt voldaan. Deze lijst telt op dit moment slechts dertien landen, waaronder Zwitserland en Israël. Zelfs naar de Verenigde Staten mogen persoonsgegevens alleen worden doorgegeven als aan de aanvullende voorwaarden van het EU-US Privacy Shield is voldaan.

Adequate Britse privacywetgeving

Na 29 maart 2019 mogen persoonsgegevens alleen naar het Verenigd Koninkrijk worden doorgeven als de Britse wetgeving een passende bescherming kent, als de Britse privacywetgeving naar de mening van de Europese Commissie adequaat is.

De Britten hebben in mei 2018 de Data Protection Act 2018 aangenomen. Daarmee zijn de bepalingen van de AVG in de Britse nationale wetgeving vastgelegd. Je zou daarom denken dat het met die passende bescherming na de Brexit wel goed zit. Maar niets blijkt minder waar. Aan beide kanten van het Kanaal is men er helemaal niet zeker van dat de Britse privacywetgeving de strenge adequaatheidstoets van de Europese Commissie kan doorstaan. Waar men het wel over eens is, is dat er nog heel wat water door het Kanaal zal stromen voordat de Europese Commissie daar een besluit over zal nemen.

Maakt het uit of de Britten kiezen voor een harde of een zachte Brexit? Nou en of!

Als de Britten instemmen met het terugtrekkingsakkoord waar Theresa May zo hard voor ijvert, komt er een zachte Brexit. De AVG blijft dan in ieder geval tot 31 december 2020 ongewijzigd op het VK van toepassing. Privacygevoelige informatie kan dan tot einde 2020 op dezelfde wijze worden uitgewisseld als nu gebeurt.

Met een zachte Brexit hebben de Britten tot 2021 de tijd om de Europese Commissie te overtuigen dat het VK wel degelijk een adequate privacywetgeving heeft. Gezien het verloop van de Brexit-onderhandelingen, zal dat geen eenvoudig overleg zijn, maar men heeft daar dan tenminste nog even de tijd voor.

Als het Britse parlement op 15 januari 2019 de overeenkomst afwijst die May met de EU heeft onderhandeld, komt er een harde Brexit. In dat geval gelden onverbiddelijk per 30 maart 2019 andere regels voor de doorgifte van persoonsgegevens over het Kanaal.

Dat kan voor veel bedrijven consequenties hebben. Zo maken veel Nederlandse bedrijven gebruik van Britse app ontwikkelaars en bug fixers (bedrijven die softwarefouten opsporen en repareren). Na de Brexit zou het zomaar kunnen dat niet langer van hun diensten gebruik kan worden gemaakt, simpelweg omdat de persoonsgegevens die daarbij worden gebruikt, niet naar de Britse dienstverlener mogen worden doorgegeven. Deze route wordt eenvoudigweg gesloten.

Maatregelen

Betekent dit dat je bij een harde Brexit straks helemaal geen data meer kunt uitwisselen met bedrijven in het VK? Dat ook weer niet. Door tijdig maatregelen te treffen kun je je als Nederlands bedrijf indekken tegen het overtreden van de privacyregels.

De AVG kent daarvoor een aantal mechanismen. Geeft je bedrijf persoonsgegevens door aan bedrijven in het VK? Dan is het goed om te bedenken hoe jouw bedrijf dat ook na 29 maart 2019 kan blijven doen.

Het is best lastig om vast te stellen wat mogelijk is en misschien nog lastiger om dat vervolgens ook goed te regelen. Privacywetgeving is soms als een donker bos vol zijpaden en dwaalwegen. Als privacydeskundige heb ik een gedetailleerde kaart en een zaklamp om je de weg te wijzen. Heb je vragen? Neem gerust vrijblijvend contact op.