EU-UK tilstrækkeligheds­afgørelser er på vej

Da Storbritannien udtrådte af EU den 31. januar 2020, blev Storbritannien et tredjeland i databeskyttelsesforordningens forstand. Normalt skal dataeksportører fra EU sikre et særligt overførselsgrundlag i databeskyttelsesforordningen, inden der kan overføres personoplysninger til et tredjeland. Alternativt kan EU-Kommissionen beslutte, at beskyttelsesniveauet i det pågældende tredjeland er tiltrækkeligt.

Midlertidig databro

EU-Kommissionen nåede ikke at træffe en tilstrækkelighedsafgørelse inden den 31. januar 2020 i forhold til Storbritannien. Derfor blev der i handelsaftalen mellem Storbritannien og EU etableret en midlertidig "databro", som tillader, at overførsler af personoplysninger mellem Storbritannien og EU kan finde sted på samme vilkår som før Brexit. Denne "databro" gælder i en periode, der udløber senest den 30. juni 2021 eller tidligere, hvis EU-Kommissionen når at vedtage en tilstrækkelighedsafgørelse inden da.

Kommissionens udkast til tilstrækkelighedsafgørelser

EU-Kommissionen har brugt lang tid på at granske databeskyttelseslovgivningen og retssystemet i Storbritannien, herunder de offentlige myndigheders adgang til personoplysninger, for at afklare, om beskyttelsesniveauet i landet er tilstrækkeligt.

Til mange virksomhedes store lettelse har EU-kommissionen konkluderet, at beskyttelsesniveauet i det væsentligste svarer til det, der sikres indenfor EU. Derfor har EU-Kommissionen nu offentliggjort to udkast til tilstrækkelighedsafgørelser, der forholder sig til Storbritanniens tilstrækkelighed i forhold til henholdsvis databeskyttelsesforordningen og retshåndhævelsesdirektivet. Retshåndhævelsesdirektivet regulerer myndigheders behandling af personoplysninger i forbindelse med forebyggelse, efterforskning og retsforfølgning af strafbare handlinger.

Hvis udkastene vedtages, kan virksomheder frit overføre personoplysninger til Storbritannien uden en særskilt hjemmel i databeskyttelsesforordningen. Det bliver derfor ikke nødvendigt f.eks. at indgå EU-Kommissionens standardkontraktbestemmelser med modtageren i Storbritannien.   

Før EU-Kommissionen kan vedtage tilstrækkelighedsafgørelserne, skal der indhentes en udtalelse fra Det Europæiske Databeskyttelsesråd og gives grønt lys fra ministerrådet gennem den såkaldte komitologiprocedure.

Mens vi venter

Indtil udkastene til tilstrækkelighedsafgørelserne forhåbentlig bliver endeligt vedtaget, kan dataeksportører i EU fortsætte med at overføre personoplysninger til Storbritannien indtil den 30. juni 2021, hvor den midlertidige overførselsperiode ophører.

Tilstrækkelighedsafgørelserne, som vi forventer bliver vedtaget, vil som udgangspunkt gælde i fire år. EU-Kommissionen kan dog til enhver tid tilbagetrække eller modificere afgørelserne, hvis Kommissionen vurderer, at beskyttelsesniveauet i Storbritannien ikke længere lever op til beskyttelsesniveauet inden for EU. De nationale domstole – og i sidste ende EU-Domstolen – vil også kunne prøve tilstrækkelighedsafgørelserne.

Læs udkastene til EU-Kommissionens tilstrækkelighedsafgørelser.