QUESTION/VRAAG n 6 De nieuwe verordening inzake gegevensbescherming, waarvoor de toepassingstermijn binnen 2 jaar is, zal waarschijnlijk geen Britse wet worden. Zijn de persoonsgegevens van Europeanen overdraagbaar naar het Verenigd Koninkrijk? Le nouveau règlement de protection des données, dont le délai de mise en œuvre est de deux ans, ne deviendra probablement pas une loi britannique. Est-ce que les données personnelles des Européens seront transférables au Royaume-Uni? Réponse/Antwoord : NL Het definitieve antwoord op deze vraag zal afhangen van de afloop van de toekomstige onderhandelingen die na de formele bekendmaking van artikel 50 van het VWEU door de Britten van start zullen gaan. 1. Op korte termijn Voor het ogenblik blijft het Verenigd-Koninkrijk lid van de EU. De Richtlijnen 95/46 Data Protection Directive en e-privacy, die momenteel in Brits recht worden omgezet, blijven van kracht. Als volwaardig lid van de EU is ook het vrij verkeer van persoonsgegevens van toepassing. 2. Op middellange en lange termijn na 25 mei 2018 of later Het antwoord op deze vraag hangt van twee evenementen af waarvan voor de ene de datum bekend is. De andere datum ligt nog niet vast. De gevolgen van het Brits referendum over het vrij verkeer van persoonsgegevens zijn niet bekend, net als het exacte tijdstip waarop de eventuele nieuwe juridische situatie in het Verenigd-Koninkrijk van toepassing wordt. Sommige waarnemers beweren dat dit proces meerdere jaren zou kunnen duren. Anderzijds weten we dat de Verordening Gegevensbescherming ( GDPR ) op 25 mei 2018 in alle lidstaten onmiddellijk van toepassing wordt. De nieuwe juridische situatie betreffende het Verenigd-Koninkrijk (bijvoorbeeld wegens zijn officiële uitstap uit de EU) zou na deze datum en zolang het Verenigd-Koninkrijk lid blijft van de EU kunnen gelden. Bovendien blijft het vrij verkeer van persoonsgegevens van toepassing. Indien een officiële uitstap plaatsvindt (wat blijkbaar maar een deel van het Verenigd-Koninkrijk zou betreffen) zonder enige bijzondere voorwaarde betreffende het vrij verkeer van persoonsgegevens, zou het Verenigd-Koninkrijk als een derde land worden beschouwd. Volgens dat scenario en overeenkomstig de GDPR kunnen twee juridische situaties worden toegepast:
a) Volgens de nationale bepalingen betreffende het recht op de gegevensbescherming kan het Verenigd-Koninkrijk het voorwerp uitmaken van een adequaatheidsbesluit van de Europese Commissie. Dit besluit geeft aan dat de bescherming vergelijkbaar zal zijn met die aangeboden door de GDPR 1. De oplossing laat eveneens het vrij verkeer van gegevens van de EU naar het Verenigd-Koninkrijk toe, of b) Bij gebreke aan een dergelijke beslissing wordt het beginsel van verbod op overdracht van persoonsgegevens toegepast (geen vrij verkeer meer). De GDPR voorziet echter in talrijke instrumenten die de overdracht van gegevens naar derde landen mogelijk maken ondanks dit verbod. De meeste instrumenten zullen concrete verplichtingen of maatregelen opleggen die door bij de overdracht betrokken privé-instellingen (of publieke instellingen) worden genomen. Volgens de GDPR 2 kunnen de gegevens naar derde landen worden overgedragen indien de controleur of beheerder van de gegevens dwingende verbintenissen zou treffen (door een overeenkomst, gedragscode, internationaal akkoord of certificeringsmechanismen) of op basis van bepaalde bijzondere vrijstellingen (zoals de individuele instemming of het legitiem belang van de gegevenscontroleur) 3. Naast de beschrijving van de gevolgen van het scenario waarbij het Verenigd-Koninkrijk (of een deel ervan) als een derde land wordt beschouwd (wat voor het ogenblik nog onzeker is), is het onmogelijk te speculeren op andere mogelijke juridische situaties. De voorwaarden waaronder het verkeer van gegevens van de EU naar het Verenigd-Koninkrijk mogelijk zou zijn, hangen voornamelijk af van de afloop van de formele onderhandelingen over het vrij verkeer van persoonsgegevens. Dit zou tot verschillende situaties kunnen leiden waaronder een onvoorwaardelijke uitstap 4, een soortgelijke situatie als die van toepassing is voor sommige landen 5 of een volledig nieuwe ad hoc situatie. FR Une réponse définitive dépendra des résultats des futures négociations qui prendront cours après la notification formelle de l article 50 TFUE par les Britanniques. 1. A court terme 1 Zie artikel 45 van de GDPR. 2 Zie artikel 46 tot en met 49 van de GDPR. 3 Dwingende verbintenissen zijn meer gunstige oplossingen voor de regelmatige of massale overdracht, aangezien de vrijstellingen nauw geïnterpreteerd worden en meer aangepast zijn aan een punctuele overdracht van persoonlijke informatie. 4 Elk gevolg wordt hierna beschreven. 5 Bijvoorbeeld Noorwegen, Liechtenstein en IJsland, alsook de lidstaten van de Europese Economische Ruimte, zijn onderworpen aan de rechtstreekse toepassing van de Europese wetgeving op de gegevensbescherming, overeenkomstig artikel 7 van het EER-akkoord, hierdoor is het vrij verkeer van persoonsgegevens mogelijk.
Pour l instant, le Royaume-Uni reste un membre de l'ue. La directive 95/46 Data Protection Directive et la directive e-privacy actuellement transposées dans le droit britannique continuent à s appliquer. En tant que membre à part entière de l'ue, la libre circulation des données à caractère personnel s applique également. 2. Moyen-long terme après le 25 mai 2018 ou plus tard La réponse à cette question dépend de 2 événements avec une date connue et une date inconnue. L'impact du référendum britannique sur la libre circulation des données à caractère personnel est inconnu, tout comme le moment exact où la nouvelle situation juridique potentielle au Royaume-Uni sera applicable. Certains observateurs affirment que ce processus pourrait prendre des années à se dérouler. D'autre part, nous savons que le règlement sur la protection des données (" RGPD") sera directement applicable dans tous les États membres à partir du 25 mai 2018. La nouvelle situation juridique concernant le Royaume-Uni (en raison de sa sortie officielle de l UE, par exemple) pourrait prendre cours après cette date et aussi longtemps que le Royaume-Uni reste membre de l'ue, la libre circulation des données à caractère personnel continue de s appliquer. Dans le cas où une sortie officielle aura lieu (ce qui pourrait apparemment ne concerner qu une partie du Royaume-Uni), sans aucune condition particulière relative à la libre circulation des données à caractère personnel, le Royaume-Uni serait considéré comme un pays tiers. Dans ce scénario, selon le RGPD, deux situations juridiques pourraient s appliquer : Selon ses dispositions nationales du droit de la protection des données, le Royaume-Uni pourrait faire l'objet d'une décision d'adéquation de la Commission européenne indiquant que la protection sera équivalente à celle offerte dans le RGPD 6. Cette option permettrait également la libre circulation des données à partir de l'ue vers le Royaume-Uni, ou En l'absence d'une telle décision, le principe de l'interdiction du transfert de données personnelles serait applicable (plus libre circulation). Cependant, de nombreux instruments sont en place dans le RGPD pour permettre les transferts de données vers des pays tiers en dépit de ce principe d'interdiction. La plupart d'entre eux imposeront des obligations concrètes ou des mesures prises par des organisations privées (ou publiques) impliquées dans 6 Voir article 45 du RGPD.
le transfert. Selon le RGPD 7, les données peuvent être transférées vers des pays tiers si le contrôleur ou le gestionnaire de données prenait des engagements contraignants (par contrat, code de conduite, mécanismes de certification ou accord international), ou sur la base de certaines exemptions particulières (tel que le consentement de l individuel, ou l intérêt légitime du contrôleur de données) 8. Outre la description des conséquences relatives à ce scénario où le Royaume-Uni (ou une partie du Royaume-Uni) serait assimilé à un pays tiers (ce qui n est encore qu une pure hypothèse), il n est pas possible de spéculer sur d'autres situations juridiques possibles. Les conditions auxquelles les données pourraient circuler de l'ue vers le Royaume-Uni dépendront principalement du résultat des négociations formelles sur la libre circulation des données personnelles. Cela pourrait conduire à des situations différentes, parmi lesquelles une sortie 9 pure et simple, une situation similaire à celle déjà applicable à certains pays 10 ou une situation ad hoc complètement nouvelle. 7 Voir article 46 à 49 du RGPD. 8 Des engagements contraignants sont des options plus favorables pour le transfert régulier ou massif, comme les exemptions sont étroitement interprétées et sont plus adaptées au transfert ponctuel des renseignements personnels. 9 Chacune des conséquences sont décrites juste ci-dessus. 10 Par exemple, la Norvège, le Liechtenstein et l'islande, ainsi que les Etats membres de l'espace économique européen, sont soumis à l'application directe de la législation européenne sur la protection des données, conformément à l'article 7 de l'accord EEE, et cela permet la libre circulation des données personnelles.