Overføring av personopplysninger etter Brexit

Den 31. desember 2020 opphører Brexit-overgangsperioden. Dette innebærer blant annet at virksomheter som overfører personopplysninger til Storbritannia må, etter denne datoen, følge GDPRs regler om overføring av personopplysninger til «tredjeland».

For å overføre personopplysninger til Storbritannia etter 31. desember, altså til land utenfor EØS («tredjeland»), må dermed et av overføringsgrunnlagene i kapittel V i GDPR-forordningen kunne benyttes. Dessuten må virksomheten følge tilleggsvilkårene for overføring som ble stilt i Schrems II-dommen. Dette er tidkrevende og komplekse vurderinger. 

Les mer om overføringsgrunnlag og Schreems II-dommen her. 

EU-kommisjonen kan imidlertid gi et tredjeland en såkalt adekvansbeslutning. Kommisjonen kan gi en adekvansbeslutning dersom den kommer frem til at beskyttelsesnivået i landet er tilsvarende som i EØS, og i slike tilfeller kan personopplysninger overføres fritt til landet. 

EU-kommisjonen vurderer nå om den skal gi Storbritannia en slik adekvansbeslutning, i og med Storbritannias nylige tilknytning til EU og GDPR-regelverket. 

Det er per nå usikkert om dette arbeidet vil komme i mål før 1. januar. Virksomheter som skal fortsette å overføre personopplysninger til Storbritannia etter 31. desember, må derfor være forberedt på at det vil gjelde nye krav for overføringen – at det foreligger overføringsgrunnlag samt følge tilleggsvilkårene fra Schrems II-dommen.  

Vi i ADVISO arbeider jevnlig med personvernrettslige problemstillinger. Ta gjerne kontakt med våre advokater hvis du har spørsmål eller din virksomhet ønsker bistand.