Storbritannien på vej mod status som sikkert tredjeland

Brexit-aftalen har som bekendt betydet, at Det Forenede Kongerige Storbritannien og Nordirland (”Storbritannien”) fra den 1. januar 2021 ikke længere er underlagt EU’s regler. Det betyder bl.a., at Storbritannien databeskyttelsesretligt får status som et tredjeland. Inden Brexit trådte i kraft, fik Storbritannien dog forhandlet en overgangsperiode på plads, så de har op til seks måneder, før den nye status indtræder. Det har således indtil videre været uvist, om Storbritannien ved udløbet af perioden ville blive anset som et sikkert tredjeland eller et usikkert tredjeland.

Med de nyeste udmeldinger og udkast til tilstrækkelighedsafgørelser fra EU-Kommissionen peger alt dog på, at Storbritannien opnår status som et sikkert tredjeland.

EU-Kommissionen har til grund for indstillingen som sikkert tredjeland gennemgået Storbritanniens relevante lovgivning, herunder lokal databeskyttelsesret. Kommissionen har også set på implementering, efterlevelse og håndhævelse af international ret som fx den Europæiske Menneskerettighedskonvention og Konventionenen om beskyttelse af enkeltpersoner med hensyn til automatisk behandling af personoplysninger, og samlet konkluderet, at beskyttelsesniveauet i det væsentligste svarer til det i EU. Efter godkendelse vil Storbritanniens status som sikkert tredjeland vare i fire år, men kan forlænges med yderligere fire år, hvis beskyttelsesniveauet fortsat kan anses for svarende til EU’s.

Den endelige vedtagelse af udkastene afventer i første omgang udtalelser fra det Europæiske Databeskyttelsesråd (EDPB) og senere endelig vedtagelse i overensstemmelse med EU’s Komitologiproces, der sørger for gennemførelse på samme måde i alle EU-lande samt enighed, herunder ved etablering af udvalg samt tilsyn fra Rådet og Parlamentet.

De to udkast til tilstrækkelighedsafgørelser relaterer sig til hhv. databeskyttelsesforordningen  (dvs. om behandling af personoplysninger og udveksling af sådanne oplysninger) og retshåndhævelsesdirektivet (dvs. om den fri udveksling af oplysninger i forbindelse med myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner).

Bech-Bruuns kommentarer

Udkastene og udsigten til Storbritanniens status som et sikkert tredjeland er en god nyhed for selskaber og myndigheder i EU, der overfører personoplysninger til Storbritannien, fordi overførsler ikke kræver yderligere databeskyttelsesretlige tiltag (fx Standard Contractual Clauses, Binding Corporate Rules, samtykke, mv.) end de almindelige kontraktuelle forpligtelser ved håndtering af personoplysninger (fx databehandleraftale, NDA, mv.).

Indstillingen fra EU-Kommissionen og de to udkast til tilstrækkelighedsafgørelser kommer dog ikke som en fuldstændig overraskelse, idet det britiske datatilsyn (ICO) i flere år har været et af de mest toneangivende tilsyn i EU, hvorfor Storbritannien har haft tradition for regulering og håndtering af databeskyttelse.

I relation til den fortsatte usikkerhed om udkastenes endelige vedtagelse, skal det dog bemærkes, at der tidligere har været politisk modstand mod, at Storbritannien opnår status som sikkert tredjeland. I første omgang er udtalelserne fra EDPB derfor afgørende for det videre forløb, for selvom de ikke er bindende, er de historisk set blevet fulgt – senest med godkendelsen af Japan som sikkert tredjeland. Bech-Bruun vil løbende holde jer opdateret om eventuel udvikling.

Trods den overvejende sandsynlighed for at Storbritannien opnår status som sikkert trejdeland, anbefaler Bech-Bruun dog fortsat, at alle organisationer får overblik over overførsler af personoplysninger til Storbritannien, herunder pga. den fortsatte politiske usikkerhed, der relaterer sig til hele Brexit-aftalen.

Bech-Bruuns databeskyttelsesretsteam har erfaring med og dybdegående viden om udarbejdelse af strategier vedrørende behandling af personoplysninger, herunder overførsel af personoplysninger til tredjelande, valg af overførselsgrundlag og bistand med at sikre gennemførsel og implementering af overførselsgrundlaget.