Twee adequaatheidsbesluiten van de Commissie genomen ten behoeve van uitwisseling van persoonsgegevens tussen de EU en het VK
Nieuwsbericht | 05-07-2021
De adequaatheidsbesluiten vergemakkelijken ook de correcte uitvoering van de Handels- en Samenwerkingsovereenkomst (HSO) tussen de EU en het Verenigd Koninkrijk , die voorziet in de uitwisseling van persoonsgegevens, bijvoorbeeld voor samenwerking in justitiële zaken. Beide adequaatheidsbesluiten bevatten sterke garanties in geval van toekomstige verschillen, zoals een "sunset-clausule", die de duur van de adequaatheid beperkt tot vier jaar.
Achtergrond In februari 2021 publiceerde de Europese Commissie (zie persbericht van de Commissie) al twee ontwerpen voor de adequaatheidsbesluiten voor de doorgifte van persoonsgegevens aan het Verenigd Koninkrijk en werd de procedure opgestart om deze aan te nemen. De commissie heeft in nauw overleg met het Europees Comité voor Gegevensbescherming ( EDPB ), het Europees Parlement en de EU-lidstaten de procedures doorlopen. Via de zogeheten comitologieprocedure heeft de Europese Commissie vervolgens om instemming met de besluiten gevraagd. Vervolgens heeft de Commissie eind juni de twee besluiten aangenomen en traden zij in werking.
De HSO brengt met zich mee dat de EU en de VK een hoog niveau van dataprotectie standaarden zullen aanhouden. Ook voorziet de HSO erin dat elke gegevensverwerking in het kader van de uitvoering ervan moet voldoen aan de gegevensbeschermingsvoorschriften van de partij die de gegevens verwerkt (voor de EU zijn dat de voorschriften van de Algemene Verordening Gegevensbescherming (AVG) en de Rechtshandhavingsrichtlijn (EU/2016/680). De aanneming van de twee unilaterale en autonome adequaatheidsbesluiten is belangrijk om de goede toepassing en werking van de HSO te garanderen. De HSO voorziet in een (interim) voorwaardelijke overgangsregeling op grond waarvan gegevens vrij van de EU naar het VK kunnen stromen. Deze interim-periode verstreek op 30 juni 2021.
De belangrijkste elementen van de adequaatheidsbesluiten
- Het gegevensbeschermingssysteem van het VK blijft gebaseerd op dezelfde regels die van toepassing waren toen het VK nog een lidstaat van de EU was. Het VK heeft de beginselen, rechten en verplichtingen van de AVG en de rechtshandhavingsrichtlijn volledig in zijn post-Brexit rechtsstelsel opgenomen.
- Wat betreft de toegang tot persoonsgegevens door overheidsinstanties in het VK - met name om redenen van nationale veiligheid- voorziet het Britse systeem in stevige waarborgen. Met name voor het verzamelen van gegevens door inlichtingendiensten is in beginsel voorafgaande toestemming van een onafhankelijke gerechtelijke instantie vereist. Elke maatregel moet noodzakelijk zijn en in verhouding staan tot het beoogde doel. Eenieder die meent het slachtoffer te zijn van onrechtmatige observatie kan een zaak aanhangig maken bij het Investigatory Powers Tribunal ( IPT ). Het VK valt ook onder de jurisdictie van het Europees Hof voor de Rechten van de Mens (EHRM) en moet zich houden aan het Europees Verdrag tot bescherming van de rechten van de mens (EVRM) en aan het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens , het enige bindende internationale verdrag op het gebied van gegevensbescherming. Deze internationale verbintenissen vormen een essentieel onderdeel van het rechtskader in de twee adequaatheidsbesluiten.
- Voor het eerst bevatten de besluiten inzake adequaatheid een zogenoemde "sunset-clausule", die de duur ervan strikt beperkt. Dit betekent dat de besluiten vier jaar na hun inwerkingtreding automatisch komen te vervallen. Na die periode kunnen de adequaatheidsbesluiten echter worden verlengd, maar alleen als het VK een passend niveau van gegevensbescherming blijft waarborgen. Tijdens deze vier jaar zal de Commissie de juridische situatie in het VK blijven volgen en kan zij op elk moment ingrijpen als het VK afwijkt van het huidige beschermingsniveau. Mocht de Commissie besluiten de vaststelling van het passend niveau te verlengen, dan zou de goedkeuringsprocedure opnieuw beginnen.
- Doorgiften van persoonsgegevens met het oog op immigratiecontrole in het Verenigd Koninkrijk vallen buiten het toepassingsgebied van de vaststelling van gepastheid in het kader van de AVG. Dit is het gevolg van een recent arrest van het Hof van Beroep in Engeland en Wales over de geldigheid en de uitlegging van bepaalde beperkingen van gegevensbeschermingsrechten op dit gebied. De Commissie zal de noodzaak van deze uitsluiting opnieuw beoordelen zodra deze situatie in het Britse recht is verholpen.
Meer informatie