Europese Commissie publiceert ontwerp adequaatheidsbesluit voor het VK.

04/03/'21 - De Europese Commissie heeft op 19 februari het proces gestart voor de vaststelling van een adequaatheidsbesluit voor de doorgifte van persoonsgegevens vanuit de Europese Economische Ruimte (EER) naar het Verenigd Koninkrijk (VK). De bekendmaking van het ontwerpbesluit, met name relevant in het kader van Brexit, is de eerste stap in het officiële vaststellingsproces van een adequaatheidsbesluit, zoals bedoeld in artikel 45 AVG.

Het proces houdt in dat de European Data Protection Board (EDPB) nu door de Europese Commissie gevraagd is om advies uit te brengen op het ontwerpbesluit. De Europese Commissie dient rekening te houden met het advies van de EDPB, maar het advies is niet bindend. Hierna dient een comité van vertegenwoordigers vanuit alle EU-lidstaten groen licht te geven voor het ontwerpbesluit. Na het succesvol afronden van deze procedure, kan de Europese Commissie het adequaatheidsbesluit pas definitief vaststellen. Het ligt in de lijn van verwachtingen dat het Europees Parlement (EP) zich ook verder zal uitlaten over het ontwerpbesluit. Het EP heeft echter geen formele rol in de eerder genoemde procedure, gezien een adequaatheidsbesluit via een uitvoeringsbesluit van de Europese Commissie wordt toegekend. 

Wat houdt het adequaatheidsbesluit in?
Een adequaatheidsbesluit, zoals bedoeld in artikel 45 AVG, houdt in dat een land buiten de EER door de Europese Commissie officieel wordt erkend als een land met een adequaat niveau van gegevensbeschermings- en privacywetgeving. Na de totstandkoming van een adequaatheidsbesluit, is er sprake van een vrije doorgifte van persoonsgegevens naar het respectievelijke derde land. Dit houdt in dat bij dergelijke doorgiften er geen andere doorgifte mechanismen, zoals opgenomen onder hoofdstuk 5 AVG, hoeven worden toegepast.

Wat is de impact op de huidige situatie?
Vanaf 2021 heeft het VK de EU officieel verlaten. De "EU-UK Trade and Cooperation Agreement", de overeenkomst waarover in december 2020 door de EU en het VK overeenstemming is bereikt, is momenteel van kracht. 

Deze overeenkomst voorziet momenteel de vrije doorgifte van persoonsgegevens van de EER naar het VK, gedurende een initiële periode van vier, verlengbaar tot maximaal zes, maanden. Dit heet de ‘bridging clause’. De bridging clause onder deze overeenkomst eindigt dus hoe dan ook op 30 juni 2021. Na deze periode geldt de verplichting voor organisaties om hun doorgiften van de EER naar het VK te waarborgen via andere mechanismen, zoals bijvoorbeeld het afsluiten van modelcontractbepalingen en de daarbij behorende aanvullende maatregelen.

Zoals hierboven beschreven, zou een adequaatheidsbesluit voor het VK die verplichting opheffen. Een dergelijke ontwikkeling zou voordelig zijn voor organisaties die persoonsgegevens vanuit de EER delen met het VK. Veel organisaties hopen dan ook dat het ontwerpbesluit van de Europese Commissie wordt goedgekeurd. 

Tijdslijn
Toch is er nog veel onduidelijkheid over de tijdslijn. Zoals aangegeven, is momenteel de vrije doorgifte van persoonsgegevens, onder de bridging clause in de "EU-UK Trade and Cooperation Agreement”, enkel geregeld voor een initiële periode van vier maanden. Als deze niet verlengd wordt, zou dit betekenen dat na eind april 2021, organisaties hun EER-VK doorgiften vanaf dat moment verder dienen te waarborgen. Bij verlenging, en naar verwachting, zou dit pas na 30 juni 2021 gelden. Op dit moment is echter nog niet formeel aangekondigd of, en zo ja wanneer, de verlenging van de bridging clause wordt aangekondigd. Wel heeft de Europese Commissie aangegeven dat zij hun uiterste best zullen doen om voor het aflopen van de bridging clause een definitief besluit te nemen over het adequaatheidsbesluit voor het VK.

Hoe beoordeelt de Europese Commissie het niveau van bescherming in het VK?
In haar ontwerpbesluit gaat de Europese Commissie hoofdzakelijk in op de beoordeling van het niveau van gegevensbeschermings- en privacywetgeving van het VK. Dit is met name interessant om te lezen gezien het feit dat het VK voor de Brexit nog onderdeel uitmaakte van de EU, en zodoende wetgeving zoals de AVG heeft overgenomen in nationale wetgeving. Veel politici bepleiten daarom vaak dat het VK alleen al een adequaatheidsbesluit dient te ontvangen gezien hun niveau van bescherming al jaar en dag gelijk staat aan dat van de EU.

Toch is op deze opvatting het een en ander aan te merken. Zo bepaalt het VK, nu het VK de EU heeft verlaten, zelf welke wetten zij aanneemt. Hierover is, zoals voorheen in de meeste gevallen wel het geval was, geen afstemming meer vereist met 27 andere lidstaten. Op dit moment geldt een bijna identieke versie van de AVG ook in het VK, in de vorm van de ‘Data Protection Act 2018’. Toch kan het VK in de toekomst besluiten om, deels, hiervan af te wijken. Significante afwijkingen zouden gevolgen kunnen hebben voor het niveau van gegevensbeschermings- en privacywetgeving in het VK.

Er is in zekere zin reeds sprake van dergelijke afwijkingen, zoals in het kader van Britse surveillance wetgeving en de US CLOUD Act tussen het VK en Amerika. Ook eerdere uitspraken door Boris Johnson zijn opvallend, waarin de Britse premier aangeeft te willen afwijken van de EU regels rondom gegevensbescherming om zo de soevereiniteit van het VK te herstellen.

In haar ontwerpbesluit bestudeert de Europese Commissie het huidige VK wetgevingsklimaat in detail. De Europese Commissie komt niettemin tot de conclusie dat "elke inmenging in de grondrechten van personen wier persoonsgegevens door de openbare autoriteiten van het VK vanuit de EU naar het VK worden doorgegeven om redenen van openbaar belang, in het bijzonder rechtshandhaving en nationale veiligheid, beperkt zal blijven tot wat strikt noodzakelijk is om het legitieme doel in kwestie te verwezenlijken, en dat er doeltreffende rechtsbescherming tegen dergelijke inmenging bestaat".

Interessant hierbij is Overweging 270, waarin de Europese Commissie herhaalt dat voorgaande conclusie niet alleen is gebaseerd op onderzoek van de huidige nationale wetgeving in het VK, maar ook op het feit dat het VK is toegetreden tot het Europees Verdrag voor de Rechten van de Mens en is onderworpen aan het Europees Hof voor de Rechten van de Mens. Hiermee lijkt de Europese Commissie de nadruk te leggen op het feit dat, internationaal rechtelijk, Europese fundamentele vrijheden zoals artikel 8 EVRM evenwel van toepassing blijven op het VK.

Hoe nu verder?
Het advies van de EDPB op het ontwerpbesluit van de Europese Commissie zal het volgende interessante hoofdstuk zijn in dit verhaal. Het is onzeker of de EDPB, gezien eerdere uitingen, zich kan vinden in de conclusie van de Europese Commissie. Gezien de eerder genoemde druk rondom de tijdslijn, is er hoop dat dit advies snel gepubliceerd zal worden. Of het adequaatheidsbesluit voor het VK er daadwerkelijk zal komen is momenteel lastig te voorspellen. Organisaties dienen in elk geval nu al stappen te ondernemen om zich voor te bereiden op de mogelijke uitkomsten.