Hvilken indvirkning vil Brexit have på GDPR?

Efter Storbritanniens udtræden af EU har mange organisationer undret sig over, hvilken indvirkning Brexit vil have på GDPR, og hvilke skridt der skal tages for at overholde de nye love og regler.

Da GDPR trådte i kraft den 25. maj 2018, var det den største omlægning af lovgivningen om databeskyttelse i 20 år. Lovgivningen blev udformet med henblik på at standardisere databeskyttelsesreglerne i hele EU og anerkende enkeltpersoners rettigheder med hensyn til brugen af deres personlige data.

Organisationer har brugt en masse tid og kræfter i de sidste to år på at forbedre databeskyttelsesprocesser og gennemføre nye foranstaltninger for at overholde den skelsættende lovgivning.

Dette engagement i databeskyttelse har ikke været forgæves, da mange af de foranstaltninger, der er truffet, fortsat vil være relevante og ikke vil ændre den måde, hvorpå virksomheder i Det Forenede Kongerige behandler oplysninger om personer i dette land.

Men nu, hvor Storbritannien formelt har forladt EU, skal organisationer vurdere, hvilke ændringer der skal foretages for at sikre overholdelse af den relevante databeskyttelseslovgivning.

For at besvare eventuelle spørgsmål har vi udarbejdet en kort vejledning, der beskriver, hvad ændringerne kan betyde for din virksomhed.

Brexit og GDPR - alt, hvad du skal vide

Vil GDPR stadig gælde i Storbritannien?

Den^1. januar 2021 ophørte EU's GDPR med at gælde i Storbritannien, da det er en EU-forordning. Hvis din virksomhed opererer i Storbritannien, skal du dog stadig overholde den britiske databeskyttelseslovgivning. Den britiske regering har indarbejdet GDPR i britisk lovgivning som UK GDPR.

I praksis betyder det, at meget lidt har ændret sig. Der er foretaget nogle ændringer for at afspejle Det Forenede Kongeriges status uden for EU, men i det væsentlige er de centrale databeskyttelsesprincipper, rettigheder og forpligtelser i GDPR fortsat de samme og er blevet indskrevet i den britiske GDPR.

Vil GDPR stadig gælde, hvis din virksomhed opererer i Det Europæiske Økonomiske Samarbejdsområde (EØS)?

Ja. Hvis din virksomhed opererer i Europa, tilbyder varer eller tjenester til enkeltpersoner i Europa, eller hvis du overvåger enkeltpersoners adfærd i Europa, gælder EU's GDPR stadig. Hvis din organisation har behandlingsaktiviteter i både EU og Storbritannien, skal du overholde både den britiske GDPR og EU GDPR.

Hvordan påvirker Brexit internationale dataoverførsler?

Som en del af den nye handelsaftale har EU indvilliget i at udsætte overførselsrestriktionerne i en begrænset periode på op til fire måneder, som kan forlænges til seks måneder. Denne overgangsordning vil gøre det muligt for personoplysninger at strømme frit fra Det Europæiske Økonomiske Samarbejdsområde (EØS) til Det Forenede Kongerige, indtil der er truffet en afgørelse om tilstrækkeligheden af beskyttelsesniveauet.

Da Det Forenede Kongerige nu har forladt EU, er det klassificeret som et "tredjeland" i forhold til Europa i henhold til GDPR. Tredjelande er stater, der falder uden for EU's GDPR-område. Overførsel af data fra EU til tredjelande er underlagt restriktioner, medmindre Europa-Kommissionen giver en status, der kaldes "tilstrækkelighed".

Europa-Kommissionen tildeler lande en passende beskyttelse, hvis de anses for at have et tilstrækkeligt databeskyttelsesniveau. Andre lande, som EU har tildelt status som tilstrækkeligt beskyttede lande, er bl.a. Argentina, New Zealand, Israel og Japan. Hvis Det Forenede Kongerige får tildelt tilstrækkelig beskyttelse, vil den frie udveksling af personoplysninger fortsætte uden nye begrænsninger.

Vil EU være tilstrækkelig til at håndtere dataoverførsler fra Det Forenede Kongerige?

Ja. Den britiske regering har bekræftet, at den midlertidigt vil anerkende EU som tilstrækkelig til at tillade datastrømme fra Det Forenede Kongerige uden yderligere overførselsmekanismer.

Har din virksomhed brug for en europæisk repræsentant?

Hvis din virksomhed tilbyder varer eller tjenester til enkeltpersoner i EØS, eller hvis du overvåger enkeltpersoners adfærd i EØS, skal du muligvis udpege en EU-repræsentant. Hvis din virksomhed ikke er baseret i Det Forenede Kongerige, men du behandler personoplysninger om borgere i Det Forenede Kongerige, skal du muligvis udpege en britisk repræsentant i henhold til den britiske GDPR.

Hvad bliver ICO's rolle?

ICO vil fortsat være det uafhængige tilsynsorgan, der styrer den britiske databeskyttelseslovgivning. Det vil dog ikke længere være en EU-tilsynsmyndighed, så hvis du behandler oplysninger om EU-borgere, skal du have en udpeget EU-repræsentant. ICO har klart tilkendegivet, at hvis du behandler oplysninger om EU-borgere, skal du stadig overholde GDPR.

Hvem vil du underrette i tilfælde af et databrud?

I tilfælde af et databrud vil en britisk baseret virksomhed kontakte ICO i tilfælde af et databrud. Efter Brexit vil ICO kun undersøge databeskyttelsesrelaterede hændelser, der involverer britiske personer. Hvis bruddet involverer flere nationaliteter, vil ICO iværksætte en undersøgelse og håndtere tilsynsmyndighederne i hvert af de berørte territorier. Hvis der er tale om personer fra EU, skal du kontakte de relevante EU-tilsynsmyndigheder direkte.

Vil andre databeskyttelsesforordninger blive berørt?

DPA

Den britiske databeskyttelseslov fra 2018(DPA 2018) vil fortsat gælde som supplement til den britiske GDPR.

PECR

Privacy and Electronic Communications Regulations 2003 (PECR) indeholder regler for markedsføring, cookies og elektronisk kommunikation. Det er en britisk specifik forordning, der er afledt af en EU-lov, der er kendt som eprivacy-direktivet (der er planer om at erstatte eprivacy-direktivet med ePrivacy-forordningen). PECR vil derfor fortsat være gældende og bliver ikke berørt af Det Forenede Kongeriges udtræden af EU.

NIS

Direktivet om sikkerhed i net- og informationssystemer(NIS) stammer også fra EU-lovgivningen, men er fastsat i britisk lovgivning. Som sådan vil de nuværende regler fortsat gælde. Hvis du er en britisk baseret leverandør af digitale tjenester, der tilbyder tjenester i EU, kan du dog blive nødt til at udpege en repræsentant i en af de EU-medlemsstater, hvor du leverer tjenester.

eIDAS

Forordningen om elektronisk identifikation, autentifikation og tillidstjenester er også en EU-lov, men gælder ikke længere i Det Forenede Kongerige. Den britiske regering har dog sagt, at den vil indarbejde eIDAS-reglerne i britisk lovgivning, så hvis du er en britisk trustserviceudbyder, skal du stadig overholde disse regler. Hvis du yder tjenester i EU, skal du desuden også overholde eIDAS-reglerne i EU's medlemslande.

FOIA

Freedom of Information Act 2000 er en del af lovgivningen i Det Forenede Kongerige og vil fortsat være gældende.

EIR

Miljøinformationsforordningerne er fastsat i britisk lovgivning og vil fortsat gælde, medmindre de ophæves eller ændres.

Hvilke skridt bør virksomhederne tage efter Brexit?

Organisationer skal foretage en detaljeret gennemgang af databeskyttelsen for at vurdere, om der er behov for at foretage eventuelle ændringer. Hvis din virksomhed er baseret i Det Forenede Kongerige og hovedsagelig tilbyder varer og tjenesteydelser til britiske kunder, skal du gøre meget lidt. Men hvis du leverer varer og tjenester til både EU og Det Forenede Kongerige, kan det være nødvendigt at foretage ændringer. For at sikre overholdelse af den relevante databeskyttelseslovgivning bør din organisation:

1. Kortlæg datastrømme for at sikre, at din virksomhed kan overholde både den britiske GDPR og EU GDPR.
2. Opdatere registreringer af behandling for at opfylde kravene i EU GDPR og UK GDPR.
3. Vurdere, om der er en EU-tilsynsmyndighed, der nu vil kunne kvalificere sig som ledende tilsynsmyndighed.
4. Opdatering af beredskabsplaner for sikkerhedsbrud for at give mulighed for eventuel underretning af ICO og EU LSA i tilfælde af et brud.
5. Overvej, om din virksomhed har brug for at udpege en britisk og/eller EU-repræsentant.
6. Opdaterer meddelelser om beskyttelse af personlige oplysninger for at sikre, at de beskriver datastrømme og dækker de relevante krav i begge lovgivninger.
7. Ændre eksisterende kontrakter og skabeloner, så de indeholder de relevante henvisninger til både den britiske GDPR og EU GDPR.
8. Overvej, om konsekvensvurderinger af databeskyttelse og vurderinger af legitime interesser skal opdateres for at overholde den britiske GDPR.
9. Sikre, at der er passende sikkerhedsforanstaltninger på plads for grænseoverskridende datastrømme.
10. Vurder, om du har brug for at udpege en separat databeskyttelsesansvarlig for Storbritannien og EU.