Overførsel af persondata til UK efter Brexit – sådan gør du

Hvis Storbritannien ikke får en aftale på plads med EU inden den 29. marts skal der findes et helt nyt juridisk grundlag for at kunne overføre persondata mellem UK og Danmark. Brexit kan således f.eks. få betydning for danske virksomheder, der selv overfører personoplysninger eller anvender databehandlere, der behandler personoplysninger, virksomheden er dataansvarlig for.

Det Europæiske Databeskyttelsesråd og Datatilsynet har opstillet nedenstående scenarier for hvad virksomheder skal gøre i forbindelse med overførsel af personoplysninger til Storbritannien afhængig af hvilken model, der kommer for Brexit.

Scenarie 1: En aftale med EU falder på plads inden 29. marts 2019
Hvis en aftale mellem EU og Storbritannien falder på plads inden 29. marts 2019, vil der i en overgangsperiode frem til 31. december 2020 gælde de samme regler omkring overførsel af personoplysninger til Storbritannien som i dag. Det vil sige, at overførsel af personoplysninger til Storbritannien kan ske på samme vilkår som til EU- og EØS-lande, og du behøver derfor ikke på nuværende tidspunkt foretage dig noget.

Den politiske aftale, som den ser ud p.t., lægger op til, at der i overgangsperioden kan forhandles om godkendelse af Storbritannien som et sikkert tredjeland. Sker dette, vil overførsel af personoplysninger til Storbritannien efter udløbet af overgangsperioden kunne ske på dette grundlag, og så vil du også til den tid kunne overføre oplysninger som i dag.

Scenarie 2: Storbritannien trækker Brexit tilbage
EU-Domstolen bekræftede den 10. december 2018, at Storbritannien ensidigt kan stoppe Brexit-processen. I så fald fortsætter Storbritannien som EU-medlem, og overførsel af personoplysninger kan derfor ske som hidtil.

Scenarie 3: Ingen aftale med EU før 29. marts 2019, en såkaldt "hård Brexit"
Kommer der ikke en aftale på plads mellem EU og Storbritannien inden 29. marts 2019, og har Storbritannien heller ikke inden da trukket Brexit tilbage, er Storbritannien fra 30. marts 2019 ikke længere medlem af EU og er herefter at anse for et såkaldt tredjeland.

Det betyder, at det kun er muligt at overføre personoplysninger til Storbritannien i det omfang du har et overførselsgrundlag i henhold til databeskyttelsesforordningens kapitel fem, der indeholder reglerne for, hvordan personoplysninger kan overføres til tredjelande. Datatilsynet har udgivet en vejledning om overførsel af personoplysninger til tredjelande som kan læses her.

Sådan kan du forberede din virksomhed
Hvis din virksomhed overfører personoplysninger til Storbritannien, skal I kort fortalt:

• Få kortlagt hvilke personoplysninger, du overfører til Storbritannien og den kontekst oplysningerne overføres i (sker overførslen til en dataansvarlig eller en databehandler, og er din organisation en del af en koncern?)
• Undersøge hvilket overførselsgrundlag som kan komme på tale for dig i tilfælde af at Storbritannien bliver et usikkert tredjeland pr. 30. marts 2019
• Implementere det valgte overførselsgrundlag med henblik på at have det klart 30. marts 2019
• Opdatere relevant intern og ekstern kommunikation i forhold til at du fremover overfører personoplysninger til Storbritannien som tredjeland

Medlemmer af Dansk Erhverv kan få hjælp til at vurdere, om deres behandling af personoplysninger berøres af Brexit, så kontakt os, hvis I er i tvivl.