Brexit en de privacywetgeving: hoe verder?

4 april 2019 - Twee weken geleden demonstreerden er in Londen meer dan een miljoen mensen tegen de Brexit. De protestmars gaat de boeken in als één van de grootste Britse demonstraties aller tijden. De verdeeldheid is groot en de tijd dringt. De Britten hebben tot 12 april de tijd om met een alternatief plan te komen.

Lukt dit niet, dan volgt er een harde Brexit. Deze onrust leidt niet alleen straks, maar ook nu al voor chaos in verschillende bedrijfstakken. Eén van de overkoepelende thema’s? De Algemene verordening gegevensbescherming (AVG).

Verenigd Koninkrijk als derde land
Stephanie Billar, privacy jurist en legal council bij ilionx, legt uit hoe het zit: "Als het Verenigd Koninkrijk straks Europa-af is, wordt dit een ‘derde land’, wat een behoorlijke impact heeft op de bescherming van persoonsgegevens. Net als met andere, buiten de EU gevestigde leveranciers, zijn er andere overeenkomsten dan de verwerkersovereenkomsten nodig om de privacy van uw klanten te garanderen en de veiligheid van deze gegevens te waarborgen. Zijn deze overeenkomsten niet op tijd rond, dan riskeert u mogelijk imagoschade en flinke boetes."

Veel bedrijven nog niet AVG-proof
De Britse waakhond ICO heeft onderzoek gedaan naar het aantal bedrijven dat al compliant is met de nieuwe wetgeving. De uitkomst? Veel bedrijven zijn nu, een jaar na dato, nog niet AVG-proof. Billar vertelt: "Niet alleen in het kader van compliancy, maar ook met oog op de Brexit, is het van belang dat bedrijven hun leveranciers in kaart hebben gebracht. Dit maakt het namelijk mogelijk om te inventariseren welke leveranciers Brits zijn en welke gegevens zij verwerken." Daarnaast missen organisaties vaak AVG-experts. Volgens de verordening is een Functionaris voor Gegevensbescherming (FG) voor veel organisaties verplicht. Deze FG’s houden vaak toezicht op meerdere organisaties. Billar: "De FG adviseert en ziet toe op de naleving van de AVG en het interne gegevensbeschermingsbeleid. Het inrichten van een AVG-compliant landschap, waaronder het opstellen en afsluiten van overeenkomsten met leveranciers, behoort echter niet tot de taken van de FG. Omdat veel bedrijven naast de FG geen security- en privacy professionals in dienst hebben, bestaat er een reële kans dat er te laat ingespeeld wordt op de veranderingen door de Brexit. Dit betekent dat deze bedrijven zeer waarschijnlijk achterlopen en dus ook een aanzienlijk hoger risico lopen."

Vijf stappen voor een goede voorbereiding op de Brexit
Er is een vijftal stappen die organisaties die data uitwisselen met het Verenigd Koninkrijk kunnen doorlopen in het geval van een no-deal Brexit. Billar vertelt: "Stap één betreft het vaststellen van de verwerkingsactiviteiten waarbij persoonsgegevens aan het Verenigd Koninkrijk worden verstrekt. Met welke leveranciers werkt u samen en wat doen zij precies met welke gegevens? De tweede stap is het opstellen van nieuwe privacy-overeenkomsten. Hier komen de kennis en ervaring van privacy- en security-experts goed van pas. Ten derde moeten deze overeenkomsten al op 12 april ondertekend zijn en klaar zijn voor gebruik. De vierde stap heeft een interne focus. In interne documenten moet worden aangegeven dat er persoonsgegevens aan het Verenigd Koninkrijk worden verstrekt. Tot slot moet de privacyverklaring voor uw klanten aangepast zijn, zodat zij op de hoogte zijn gesteld van de nieuwe situatie."

EU model clause biedt uitkomst
Het European Data Protection Board (EDPB) biedt een aantal modelovereenkomsten die helpen met uw AVG-beleid. Billar voegt toe: "Let wel goed op. Uit deze overeenkomsten mag u geen onderdelen verwijderen. De bepalingen in deze modelovereenkomsten bevatten de minimumvereisten. U heeft wel de ruimte om de bepalingen aan te vullen. Zo kunt u specifiek aangeven welke security-maatregelen genomen moeten worden en welke verwachtingen u heeft van uw leverancier op het gebied van technische en organisatorische voorzieningen."

AVG op één
Door de ophanden zijnde Brexit worden samenwerkingsverbanden op hun kop gezet. De logistiek, planning en financiën moeten opnieuw worden ingericht en alle processen moeten juridisch ook nog eens kloppen. Billar: "Maak uw AVG-beleid absolute prioriteit en reserveer er tijd en resources voor. Voordat u het weet, is het 12 april. Door nu extra tijd te investeren, voorkomt u een hoop ellende aan het eind van de rit."
 

Doorsturen  |  1 reactie  |  Nieuwsbrief