Alle EU-lidstaten hebben ingestemd met twee adequaatheidsbesluiten. Bedrijven die in Europa actief zijn mogen persoonsgegevens en andere data van Europese burgers oversluizen naar het Verenigd Koninkrijk. Dat betekent dat de lidstaten ervan overtuigd zijn dat de Britten voldoende waarborgen hebben ingebouwd om persoonlijke en privacygevoelige gegevens van Europeanen te beschermen. Tegenstanders denken daar anders over.
Dat schrijft Netzpolitik, een site die verslag doet van zaken die te maken hebben met digitale vrijheden en openheid. .
Brexit bemoeilijkt gegevensuitwisseling met Verenigd Koninkrijk
Sinds 31 december 2020 maakt het Verenigd Koninkrijk officieel niet langer onderdeel uit van de Europese Unie. De Britten zijn sindsdien niet langer verplicht om zich te houden aan Europese wet- en regelgeving, zoals de Algemene Verordening Gegevensbescherming (AVG). Het is echter in het belang van het Verenigd Koninkrijk om zich te committeren aan Europese privacyregels. Doet ze dat niet, dan wordt het voor Britse bedrijven vrijwel onmogelijk om zaken te doen met het Europese vasteland.
Om dat te voorkomen, kopieerde het Verenigd Koninkrijk in april verschillende privacywetten, namelijk de AVG en de Richtlijn politie en justitie. Op hetzelfde tijdstip stelde de Europese Commissie twee adequaatheidsbesluiten op om de uitwisseling van persoonsgegevens van Europa naar het Verenigd Koninkrijk weet toe te staan. Een adequaatheidsbesluit is een besluit waarin het dagelijks bestuur van de EU vaststelt dat een land een deugdelijk beschermingsniveau heeft voor persoonsgegevens. Dat betekent dat er geen bezwaren zijn voor bedrijven die in de EU-lidstaten actief zijn om persoonsgegevens door te sluizen naar het Verenigd Koninkrijk.
Lidstaten geven groen licht voor data-uitwisseling
De adequaatheidsbesluiten moesten nog wel goedgekeurd worden door de EU-lidstaten. Het debat hierover heeft inmiddels plaatsgevonden. De lidstaten stemden unaniem in met de besluiten, zo schrijft Netzpolitik. Daarmee worden alle barrières om gegevens uit te wisselen met het Verenigd Koninkrijk weggenomen.
Sinds de scheiding tussen het Verenigd Koninkrijk en de EU is de uitwisseling van persoonsgegevens en andere data een juridisch complex verhaal. In de Brexit-deal was afgesproken dat er niets zou veranderen op dit vlak na de inwerkingtreding van de afspraken. Deze overgangsperiode kon verlengd worden tot zes maanden, maar zowel de EU als het Verenigd Koninkrijk moesten hiermee akkoord gaan.
Om de gegevensuitwisseling na 1 juli te regelen, moest de Europese Commissie uiterlijk eind juni een adequaatheidsbesluit nemen. Deed het dagelijkse bestuur van de EU dit niet, dan werd het Verenigd Koninkrijk vanaf die datum beschouwd als een land buiten de EU. In dat geval zou er alleen data uitgewisseld mogen worden als het Verenigd Koninkrijk over een passend beschermingsniveau zou beschikken. Nu de EU-lidstaten hebben ingestemd met de adequaatheidsbesluiten, is dit niet langer een issue.
Tegenstanders bang voor massasurveillance door Britten
Privacyactivisten en leden van het Europees Parlement hebben zorgen geuit over het besluit om gegevensuitwisseling met het Verenigd Koninkrijk toe te staan. In het kader van nationale veiligheid en immigratiecontrole geeft de Britse overheid namelijk volop ruimte aan de inlichtingen- en veiligheidsdiensten GCHQ en MI6 om toegang te verschaffen tot privacygevoelige data. Tevens zijn er onvoldoende onafhankelijke rechtbanken die toezicht houden op de werkwijze van de diensten.
Tegenstanders vrezen dan ook dat de handhavings- en inlichtingeninstanties ongebreideld toegang hebben tot vertrouwelijke gegevens. De European Data Protection Board (EDPB) had vergelijkbare kritiek toen de Europese Commissie de conceptvoorstellen van de adequaatheidsbesluiten presenteerde. Ook het Europees Hof van Justitie en het Europees Hof voor de Rechten van de Mens spraken zich onlangs negatief uit over de surveillancepraktijken van GCHQ en MI6. De rechtbanken stelden dat de inlichtingenpraktijken van de Britse diensten een schending van de mensenrechten waren.
Tot slot zien privacyactivisten parallellen met het Privacy Shield. Daarin waren afspraken gemaakt over de uitwisseling en opslag van privacygevoelige data van EU-burgers en niet-EU-landen. In juli 2020 zette het Europees Hof van Justitie een streep door dit verdrag. De rechter was van mening dat de Amerikanen niet hetzelfde beschermingsniveau bieden als wij hier in Europa. De AVG eist namelijk dat bedrijven aan de andere kant van de oceaan gelijkwaardige opslag- en beveiligingsmaatregelen treffen als in de EU. Dit wordt ook wel het evenredigheidsbeginsel genoemd. Het Hof meende dat het Privacy Shield dat niet garandeerde en werd daarom per direct ongeldig verklaard. Tegenstanders denken dat dit ook het geval is met de adequaatheidsbesluiten die door de lidstaten zijn aangenomen.
Update (28 juni 2021): de Europese Commissie bevestigt in een persverklaring dat afspraken over de uitwisseling van persoonsgegevens tussen Europa en het Verenigd Koninkrijk rond zijn. De bescherming van deze data is in het VK van hetzelfde niveau als op het Europese vasteland. “Na maanden van zorgvuldig beraadslagen, kunnen we EU-burgers vandaag zekerheid geven dat hun persoonsgegevens beschermd zullen zijn wanneer ze worden doorgegeven aan het VK”, aldus Didier Reynders, Eurocommissaris voor Justitie.
“Dit is een essentieel onderdeel van onze nieuwe relatie met het VK. Het is belangrijk voor een soepele handel en de doeltreffende bestrijding van criminaliteit. De Commissie houdt nauwlettend in de gaten hoe het Britse systeem zich in de toekomst ontwikkelt en wij hebben onze besluiten aangescherpt om dit mogelijk te maken en zo nodig in te grijpen. De EU hanteert de hoogste normen op het gebied van de bescherming van persoonsgegevens en deze mogen niet in gevaar worden gebracht wanneer persoonsgegevens naar het buitenland worden doorgegeven.”
