Brexit: Handels­aftalens rammer for overførsel af person­oplysninger til Storbritannien

Da Storbritannien udtrådte af EU den 31. januar 2020, indgik landet en aftale med EU om, at overførsel af personoplysninger til Storbritannien i en overgangsperiode kunne finde sted på samme vilkår som før Brexit.

Overgangsperioden, der udløber den 31. december 2020, har dog medført stor usikkerhed om, hvorvidt Storbritannien ville blive godkendt som et såkaldt sikkert tredjeland inden perioden udløb.

En sådan godkendelse foretages af EU-Kommissionen ved en såkaldt "tilstrækkelighedsafgørelse". Afgørelsen slår fast, om et lands databeskyttelseslovgivning sikrer et beskyttelsesniveau, der i det væsentligste svarer til det beskyttelsesniveau, der gælder i EU.

Afgørelsen afventer

Idet det nu står klart, at tilstrækkelighedsafgørelsen ikke vil blive vedtaget inden udløbet af overgangsperioden den 31. december 2020, er EU og Storbritannien blevet enige om en midlertidig løsning i den handelsaftale, som blev offentliggjort den 24. december 2020.

Handelsaftalen, som vi forventer bliver vedtaget, indfører dermed en ny overgangsperiode, der varer maksimalt seks måneder fra handelsaftalens ikrafttrædelsestidspunkt, eller indtil EU-Kommissionen måtte vedtage en tilstrækkelighedsafgørelse. Det sidste forventes at ske i begyndelsen af 2021.

Handelsaftalen er endnu ikke formelt indgået, da Rådet først skal autorisere EU-Kommissionen til at underskrive handelsaftalen. Det skal ske inden den 1. januar 2021, hvorefter handelsaftalen skal ratificeres inden den 28. februar 2021.  

Læs udkastet til handelsaftalen mellem EU og Storbritannien.

Retsstillingen inden overgangsperiodens udløb

Fordi handelsaftalen indfører en ny overgangsperiode, vil overførsler af personoplysninger til Storbritannien fortsat ikke blive betragtet som tredjelandsoverførsler i databeskyttelsesforordningens forstand.

Virksomheders og myndigheders overførsel af personoplysninger til Storbritannien kan dermed ske på samme vilkår som til EU- og EØS-landene Island, Lichtenstein og Norge, indtil den nye overgangsperiode udløber.

Muligheden for at overføre personoplysninger til Storbritannien i den nye overgangsperiode er blandt andet betinget af, at Storbritannien som udgangspunkt ikke ændrer i sin gældende databeskyttelseslovgivning. Samtidig skal Storbritannien underrette EU, hvis Storbritannien indfører et nyt instrument, som britiske dataeksportører kan bruge som retligt grundlag for at overføre personoplysninger til tredjelande.

Retsstillingen efter overgangsperiodens udløb

Indholdet af handelsaftalen kan få to tænkelige udfald.

1. Med tilstrækkelighedsafgørelse

Hvis EU-Kommissionen vedtager en tilstrækkelighedsafgørelse, inden den nye overgangsperiode udløber, vil en overførsel af personoplysninger til Storbritannien betragtes som en overførsel til et sikkert tredjeland efter databeskyttelsesforordningens artikel 45.

Det betyder, at virksomheder mv. frit kan overføre personoplysninger til Storbritannien, dog forudsat at de øvrige databeskyttelsesretlige regler overholdes.

2. Uden tilstrækkelighedsafgørelse

Hvis EU-Kommissionen ikke vedtager en tilstrækkelighedsafgørelse, inden overgangsperioden udløber, vil Storbritannien herefter blive betragtet som et usikkert tredjeland.

I mangel af en tilstrækkelighedsafgørelse skal overførsler af personoplysninger til Storbritannien ske med særskilt hjemmel i databeskyttelsesforordningens artikel 46. Det kan eksempelvis være ved brug af:

• bindende virksomhedsregler
• EU-Kommissionens standardkontraktbestemmelser.

Hvis der ikke findes en mulig hjemmel i artikel 46, kan der måske findes hjemmel i en af undtagelsesbestemmelserne i artikel 49 i databeskyttelsesforordningen, idet en tredjelandsoverførsel ellers ikke vil være lovlig.

Vores rådgivning

Kromann Reumerts specialister rådgiver om alle juridiske aspekter af databeskyttelsesretten og har mange års erfaring med at rådgive om overførsel af personoplysninger til tredjelande.

Reglerne om overførsel af personoplysninger til lande uden for EØS, der ikke er godkendt som såkaldt sikre tredjelande, er komplekse – særligt efter EU-Domstolens afgørelse i Schrems II-sagen.

Kromann Reumert bistår både nationale og internationale virksomheder og offentlige myndigheder med rådgivning om overførsler af personoplysninger til tredjelande. Vi hjælper blandt andet med at kortlægge datastrømme om tredjelandsoverførsler, vælge det mest passende overførselsgrundlag, vurdere tredjelandenes beskyttelsesniveau og med at identificere samt implementere effektive supplerende sikkerhedsforanstaltninger.