Brexit – Midlertidig løsning på overførsel af personoplysninger til Storbritannien

– EU og Storbritannien er blevet enige om en aftale, der indeholder en midlertidig løsning på overførsel af personoplysninger til Storbritannien.

Storbritannien forlod EU den 31. januar 2020, men virksomheder har frem til den 31. december 2020, hvor Brexit-overgangsperioden udløb, kunne overføre personoplysninger til Storbritannien på samme vilkår som før Brexit.

Der har været stor usikkerhed om, hvorvidt EU-Kommissionen ved en såkaldt tilstrækkelighedsafgørelse ville godkende Storbritannien som et sikkert tredjeland, inden Brexit-overgangsperioden udløb den 31. december 2020, eller om Storbritannien ville blive et usikkert tredjeland med store konsekvenser for de mange overførsler af personoplysninger, der foretages til Storbritannien. EU-Kommissionen har ikke vedtaget en sådan tilstrækkelighedsafgørelse, og Storbritannien er reelt set at betragte som et usikkert tredjeland.

Den 24. december 2020 blev EU og Storbritannien enige om en aftale om det fremtidige forhold, der indeholder en midlertidig løsning på overførsel af personoplysninger til Storbritannien. Aftalen afventer Storbritanniens og EU-landendes endelige godkendelse med henblik på ikrafttrædelse pr. 1. januar 2021. Læs udkastet til aftalen mellem EU og Storbritannien.

Midlertidig løsning – Ny overgangsperiode på op til seks måneder

Aftalen mellem EU og Storbritannien indfører en ny overgangsperiode på seks måneder, der gælder fra aftalens ikrafttræden den 1. januar 2021, hvor virksomheder kan overføre personoplysninger til Storbritannien på samme vilkår som til EU/EØS, uden at der er behov for at etablere et overførselsgrundlag.

Den midlertidige løsning på overførsel af personoplysninger til Storbritannien er blandt andet betinget af, at Storbritannien ikke ændrer i sin gældende databeskyttelseslovgivning uden EU’s accept, og at Storbritannien underretter EU, hvis Storbritannien indfører et nyt instrument, som britiske dataeksportører kan bruge som retligt grundlag for at overføre personoplysninger til tredjelande.

Ved udløbet af den nye overgangsperiode

Storbritannien godkendes som et sikkert tredjeland

EU og Storbritannien har udtrykt et klart ønske om, at Storbritannien godkendes som et sikkert tredjeland, og EU-Kommissionen arbejder på at godkende Storbritannien som et sikkert tredjeland ved en såkaldt tilstrækkelighedsafgørelse i medfør af databeskyttelsesforordningens artikel 45. En sådan afgørelse fastslår, om et lands databeskyttelseslovgivning sikrer et beskyttelsesniveau, der i det væsentligste svarer til beskyttelsesniveauet i EU. Da Storbritanniens databeskyttelseslovgivning er baseret på EU’s databeskyttelsesforordning, er der en forventning om, at Storbritannien godkendes som et sikkert tredjeland – en godkendelse der forventes allerede i begyndelsen af 2021.

Hvis EU-Kommissionen godkender Storbritannien som et sikkert tredjeland, inden den nye overgangsperiode udløber, vil overførsel af personoplysninger til Storbritannien betragtes som en overførsel til et sikkert tredjeland efter databeskyttelsesforordningens artikel 45. Det betyder, at virksomheder forsat, også efter den nye overgangsperiodes udløb, kan overføre personoplysninger til Storbritannien, forudsat at de øvrige databeskyttelsesretlige regler iagttages.

Storbritannien forbliver et usikkert tredjeland

Hvis EU-Kommissionen ikke godkender Storbritannien som et sikkert tredjeland, inden den nye overgangsperiode udløber, vil Storbritannien herefter blive betragtet som et usikkert tredjeland, og overførsel af personoplysninger til Storbritannien vil forudsætte, at der foreligger et retligt grundlag i databeskyttelsesforordningens artikel 46. Det kan eksempelvis være overførsel på grundlag af bindende virksomhedsregler (BCR) eller EU-Kommissionens standardkontraktbestemmelser.

Vores anbefaling

Selvom der er en stor sandsynlighed for, at Storbritannien godkendes som et sikkert tredjeland, er det vores anbefaling, at I tager jeres forholdsregler og forbereder jer på, at Storbritannien kan ende som et usikkert tredjeland.

Vi anbefaler, at I allerede nu afklarer, om I overfører personoplysninger til Storbritannien. Vær opmærksom på, at det også gælder overførsler, som jeres databehandlere foretager. Såfremt I foretager overførsel af personoplysninger til Storbritannien, bør I undersøge, om I kan undgå at overføre personoplysninger til Storbritannien (eller andre usikre tredjelande), eksempelvis ved at vælge en leverandør beliggende i EU/EØS.

Hvor der ikke er et sådan alternativ, bør I undersøge, hvilket retligt grundlag I kan benytte til at overføre personoplysninger til Storbritannien, og i den forbindelse forholde jer til EDPBs to nye anbefalinger om overførsel af personoplysninger til usikre tredjelande, der blev udsendt den 11. november 2020. I kan læse mere om EDPBs to nye anbefalinger på Datatilsynets hjemmeside eller I vores tidligere nyhed Kan vi overføre personoplysninger til usikre tredjelande, herunder USA?