Dataopslag in het VK na de overgangsperiode van de Brexit, kan dat?

maart 2020

Onze gemeente heeft delen van haar administratie, waarin ook persoonsgegevens zijn verwerkt, ondergebracht bij een databedrijf dat is gevestigd in het VK. Het databedrijf geeft aan dat het voldoet aan de voorwaarden van de Algemene verordening gegevensbescherming (AVG). Ook heeft het bedrijf de intentie om aan de AVG te blijven te voldoen na de overgangsperiode van de Brexit. Kan de gemeente er vanuit blijven gaan dat het verwerken van persoonsgegevens bij het databedrijf in het VK ‘AVG-proof’ zal blijven ondanks dat het VK geen EU-lidstaat meer is?

Antwoord in het kort:

Nee, de gemeente kan hier niet zonder meer vanuit gaan. Het is waarschijnlijk dat het VK na het aflopen van de overgangsperiode van de Brexit, in principe na 31 december 2020, het Europese Hof van Justitie niet aanvaardt. Dit betekent dat het VK wordt gezien als derde land binnen het wettelijke kader van de AVG. Persoonsgegevens mogen dan alleen geoorloofd worden verwerkt in het VK, mits de Europese Commissie (EC) een zogenaamd adequaatheidsbesluit neemt of de verwerker in het VK toeziet op passende waarborgen.

Verwerking van persoonsgegevens buiten Nederland maar binnen de EU

Vanaf 25 mei 2018 dienen onder andere decentrale overheden de Algemene verordening gegevensbescherming (AVG) toe te passen. In de AVG staan persoonsgegevens en de verwerking daarvan centraal. De verwerking van gegevens die geen persoonsgegevens zijn, valt dus buiten de reikwijdte van de AVG. Verwerking in de context van de AVG is een breed begrip. Onder andere het opslaan van persoonsgegevens wordt als een verwerking gezien. Wanneer de gemeente in haar administratie persoonsgegevens opslaat, zal zij dus moeten voldoen aan de verplichtingen die uit de AVG volgen. Meer informatie over wanneer een verwerking van persoonsgegevens rechtmatig is volgens de AVG leest u op deze webpagina.

Territoriale werking AVG

De AVG heeft een territoriaal toepassingsgebied (art. 3 AVG), wat betekent dat de verordening van toepassing is op de verwerking van persoonsgegevens in het kader van activiteiten van een vestiging van een verwerkingsverantwoordelijke of verwerker in de gehele EU, ongeacht of de verwerking in de EU plaatsvindt. Wanneer de persoonsgegevens uit de administratie van de gemeente worden verwerkt in een andere EU-lidstaat of derde land zal ook moeten worden voldaan aan de voorwaarden van de AVG om geoorloofd deze persoonsgegevens te verwerken.

De AVG en het VK tijdens de overgangsperiode (tot en met 31 december 2020)

De EU en het VK hebben afspraken gemaakt over de uittreding van het VK uit de EU in het terugtrekkingsakkoord. In dit akkoord is een overgangsperiode afgesproken tot en met 31 december 2020. Er verandert in deze periode vrijwel niets: alle relevante EU-wet- en -regelgeving blijft van toepassing op het VK.

Dit betekent dat de AVG tijdens de overgangsperiode op eenzelfde manier van toepassing blijft op het VK, zonder dat het VK een lidstaat is van de EU. Wanneer persoonsgegevens voor de Brexit geoorloofd worden verwerkt in het VK dan zal dit gedurende de overgangsperiode onder dezelfde voorwaarden mogelijk blijven. In principe kan deze overgangsperiode eenmalig worden verlengd met één of twee jaar mits het VK en de EU dit besluiten vóór 1 juli 2020.

De AVG en het VK na de overgangsperiode (vanaf 2021)

Doordat het VK uit de EU is getreden en daarmee een ‘derde land’ is, zal na het aflopen van de overgangsperiode de Europese wet- en regelgeving niet meer van toepassing zijn in het VK.

Dit is niet het geval wanneer het VK met de EU afspraken zou maken over een toekomstige relatie waarbij het VK de rechtsmacht van het Europese Hof van Justitie (hierna: het Hof) aanvaardt. Recent zette de regering van het VK haar uitgangspunten uiteen ten aanzien van de onderhandelingen met de EU over de toekomstige relatie. Hierin werd aangegeven dat het VK streeft naar een toekomstige relatie waarbij de rechtsmacht van het Hof niet wordt aanvaardt binnen het VK.

Toch zal in dit geval de AVG van toepassing zijn wanneer in het VK persoonsgegevens worden verwerkt van een verwerkingsverantwoordelijke die gevestigd is in de EU. Dit blijkt uit artikel 3 lid 1 AVG: ‘Deze verordening is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke (…) ongeacht of de verwerking in de Unie al dan niet plaatsvindt’.

Dit is ook het geval wanneer het VK en de EU überhaupt geen afspraken maken over hun toekomstige relatie, een zogenaamd no-deal-scenario.

De gemeente zal er in deze gevallen rekening mee moeten blijven houden dat de AVG van toepassing blijft als de persoonsgegevens worden verwerkt in het VK na de overgangsperiode. Elke doorgifte en verwerking van persoonsgegevens in derde landen wordt immers eveneens gezien als een verwerking in de zin van de AVG. Er zal dus blijven moeten worden voldaan aan de voorwaarden uit de AVG.

Daarnaast stelt hoofdstuk vijf van de AVG dat de doorgifte van persoonsgegevens aan derde landen, dus landen buiten de EU, alleen is toegestaan als is voldaan aan de nadere voorwaarden uit hoofdstuk vijf (art.44 AVG). De bepalingen in hoofdstuk vijf van de AVG schetsen twee mogelijkheden waarbij het toegestaan is om persoonsgegevens in derde landen te verwerken:

A) Doorgiften op basis van adequaatheidsbesluiten

Doorgifte van persoonsgegevens aan een derde land is toegestaan wanneer de Commissie heeft besloten dat het betreffende derde land, of één of meerdere sectoren van dat land, een passend beschermingsniveau van de verwerking van persoonsgegevens waarborgt (art. 45 AVG). In dergelijke gevallen is er geen specifieke toestemming nodig voor de doorgifte. Tot dusver heeft de Commissie voor dertien landen een adequaatheidsbeslissing  genomen. Bij de beoordeling of een derde land een voldoende beschermingsniveau waarborgt, kijkt de Commissie onder andere naar rechtsstatelijkheid, de effectiviteit van onafhankelijke toezichthoudende autoriteiten die toezien op de naleving van gegevensbeschermingsregels en de internationale toezeggingen die het land heeft gedaan ten aanzien van de bescherming van persoonsgegevens.

Omdat de AVG voorafgaand aan de Brexit al van kracht was, is het niet onwaarschijnlijk dat het VK na de overgangsperiode een zekere mate van bescherming van persoonsgegevens kan waarborgen. Dit betekent echter niet dat de Commissie na het aflopen van de overgangsperiode automatisch een adequaatheidsbeslissing zal nemen. Ook voor het VK zal de Europese Commissie aan de hand van artikel 45 AVG moeten beoordelen of het VK voldoende waarborgen heeft ten aanzien van de blijvende bescherming van persoonsgegevens. Aan de hand van deze beoordeling zal de Commissie wel of niet een adequaatheidsbeslissing nemen.

In de politieke verklaring, aangehecht aan het terugtrekkingsakkoord, is door de Europese Commissie de intentie uitgesproken om uiterlijk eind 2020 een adequaatheidsbeslissing te nemen.

Wanneer een dergelijke adequaatheidsbeslissing is genomen, dan mogen de gemeentelijke persoonsgegevens geoorloofd worden verwerkt in het VK na het aflopen van de overgangsperiode, mits wordt voldaan aan de bepalingen van de AVG die ook voor een verwerker binnen de EU zouden gelden.

B) Doorgiften op basis van passende waarborgen

Wanneer voor een derde land geen adequaatheidsbeslissing is genomen door de Commissie dan is doorgifte van persoonsgegevens naar dat land alleen toegestaan wanneer passende waarborgen worden getroffen door de verwerker om een voldoende beschermingsniveau van persoonsgegevens te verzekeren. De Commissie heeft bevestigd dat dit ook het geval is wanneer er over het VK geen adequaatheidsbeslissing wordt genomen.

Daarnaast moeten de betrokkenen, waarvan de persoonsgegevens worden verwerkt, over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken (art. 46 AVG). Dergelijke waarborgen kunnen de vorm hebben van:

Zolang de eerder genoemde adequaatheidsbeslissing niet is genomen door de Commissie mogen de gemeentelijke persoonsgegevens niet-geoorloofd worden verwerkt in het VK na het aflopen van de overgangsperiode, tenzij passende waarborgen worden getroffen door de verwerker in het VK.

C) Uitzonderingen

Wanneer het niet mogelijk is om met de verwerker in het derde land passende waarborgen te treffen dan zijn er in specifieke omstandigheden enkele uitzonderingen waardoor verwerking van persoonsgegevens in een derde land alsnog geoorloofd is (art. 49 AVG). Het gaat dan om situaties waarbij bijvoorbeeld de betrokkene uitdrukkelijk met de voorgestelde doorgifte naar het derde land heeft ingestemd of wanneer doorgifte noodzakelijk is wegens gewichtige redenen van algemeen belang. Alle geoorloofde uitzonderingen zijn opgesteld in art. 49 AVG.

Wanneer hier sprake van is, dan is het voor de gemeente niet noodzakelijk om met de verwerker in het VK passende waarborgen te treffen wanneer er geen adequaatheidsbeslissing is genomen na het aflopen van de overgangsperiode. Wel is het vereist dat de gemeente de Autoriteit Persoonsgegevens informeert wanneer gebruik wordt gemaakt van een dergelijke uitzondering (art. 49 lid 2 AVG).

Wanneer het treffen van dergelijke passende waarborgen niet mogelijk blijkt, kan overwogen worden data te verhuizen naar een EU-lidstaat. Enkele grotere dataopslagleveranciers bieden de mogelijkheid aan zakelijke gebruikers om via de online-beheeromgeving de fysieke locatie van de dataopslag te wijzigen.

Door:

David Schutrups, Kenniscentrum Europa decentraal

Meer informatie:

Brexit Impact Scan voor overheden, Kenniscentrum Europa decentraal
Brexit-loket voor decentrale overheden, Kenniscentrum Europa decentraal
De Algemene verordening gegevensbescherming (AVG), Kenniscentrum Europa decentraal
Verwerking van persoonsgegevensKenniscentrum Europa decentraal
Adequaatheidsbeslissingen, Europese Commissie
Standaardcontractbepalingen inzake gegevensbescherming, Europese Commissie
A-G: Persoonsgegevens verwerken in derde landen blijft mogelijk op basis van modelcontract, Kenniscentrum Europa decentraal