Concreet houdt dit in: in de eerste 4 maanden van 2021 kan de doorgifte van persoonsgegevens nog op dezelfde manier plaatsvinden als voorheen. Maar alleen op voorwaarde dat het VK in deze periode de regels voor de bescherming van persoonsgegevens niet verandert. De periode kan eventueel worden verlengd naar 6 maanden.

In de tussentijd loopt het besluitvormingsproces rondom een adequaatheidsbesluit; dat wil zeggen dat de Europese Unie kan bepalen dat een land buiten de Europese Unie (Derde land) een gelijkwaardig niveau van bescherming biedt als de EU. Partijen die betrokken zijn bij deze besluitvorming zijn de Europese Commissie (EC), de EDPB (de European Data Protection Board) en een commissie van afgevaardigden, alvorens de EC weer definitief akkoord moet geven.

Alhoewel het heel waarschijnlijk is dat dit adequaatheidsbesluit er komt, is het ook zeer waarschijnlijk dat de besluitvorming lange tijd in beslag zal nemen, ook langer dan de beoogde 4-6 maanden. De EU en het VK kunnen deze periode wanneer zij wensen overigens opnieuw verlengen.

Mocht het adequaatheidsbesluit er niet komen, dan zul je als organisatie de andere instrumenten die de AVG biedt moeten gebruiken, zoals Standard Contractual Clauses (SCC’s) of Binding Corporate Rules. Maar vooralsnog geldt dat de doorgifte van persoonsgegevens aan het VK nog kan plaatsvinden op dezelfde wijze. Wilt u het zekere voor het onzekere nemen, dan is het alvast afsluiten van SCC sowieso een aanrader.

To be continued…