Nederland ICT: zonder Brexit-akkoord overgangsregeling data-uitwisseling nodig

De Brexit gaat niet alleen gevolgen hebben voor fysiek verkeer, ook digitaal verkeer komt onder druk te staan. Nu er geen Brexit-akkoord komt, vervallen per 29 maart de huidige afspraken voor de uitwisseling van data tussen Nederland en het Verenigd Koninkrijk. Wat daarvoor in de plaats komt blijft waarschijnlijk nog lang onzeker. Nederland ICT roept daarom op tot een overgangsregeling om deze bedrijven de tijd te gunnen zich aan te passen aan de nieuwe situatie.

Als het Verenigd Koninkrijk na de Brexit geen onderdeel meer is van de Europese Unie, krijgt het land een andere status: het wordt een ‘derde’ land. In de Europese wet is vastgelegd dat gegevens van Europeanen die zijn opgeslagen buiten de Europese Unie, een gelijkwaardig beschermingsniveau moeten hebben als voor data-opslag binnen de EU. Het is op dit moment nog niet duidelijk hoe Europa het niveau van bescherming van data in het VK gaat beoordelen. Afhankelijk van deze beoordeling moeten Nederlandse bedrijven wel of geen aanpassingen gaan doorvoeren.

Probleem breder dan ICT-sector
“Deze onzekerheid treft veel bedrijven en gaat breder dan alleen de ICT-sector,” zegt Lotte de Bruijn, directeur van Nederland ICT. “Denk aan een securitybedrijf dat meekijkt of je website niet wordt aangevallen, waarbij het personeel is gevestigd in Engeland, of aan een handige app om bestanden te delen met klanten waarvan hun server in Engeland staat. Maar ook een internationaal bedrijf waarvan de helpdesk in Engeland is gevestigd.”

In het Brexit-akkoord was afgesproken dat de huidige regels voor de uitwisseling van data tot eind 2020 zouden gelden, zodat overheden en bedrijven de tijd hadden nieuwe afspraken te maken. “Nu dat akkoord er hoogstwaarschijnlijk niet komt, vragen we de Autoriteit Persoonsgegevens om een overgangsperiode van minimaal 15 maanden,” zegt De Bruijn. Begin dit jaar gaf de overheid al een zelfde overgangsperiode voor Britten die in Nederland wonen. Zij hebben voldoende tijd gekregen om een nieuwe verblijfsvergunning te regelen.

Juridische wirwar en onnodige kosten
Als er geen overgangsperiode komt, dan moeten bedrijven na 29 mei anticiperen op allerlei scenario’s tegelijk. “In theorie kan de Autoriteit Persoonsgegevens boetes gaan uitdelen,” aldus Lotte de Bruijn. “Maar wat ook kan gebeuren is dat bedrijven het zekere voor het onzekere nemen en allerlei losse nieuwe contracten gaan afsluiten. Dan creëer je een juridische wirwar die achteraf misschien helemaal niet nodig was. Dat jaagt bedrijven enorm op kosten.”

Nederland ICT benadrukt dat de overgangsperiode een tijdelijke maatregel is die bedrijven en overheden de tijd geeft om duidelijkheid te krijgen. “We hebben de Autoriteit Persoonsgegevens benaderd om met ze in gesprek te gaan over de verschillende scenario’s en mogelijke oplossingen,” zegt De Bruijn. “Zodra er meer duidelijk is zullen we onze leden informeren over de maatregelen die ze moeten treffen.”

Oplossingen op langere termijn
Op langere termijn zijn er meerdere oplossingen mogelijk. Een mogelijkheid is dat de EU het Verenigd Koninkrijk op de lijst met veilige landen zet. Bedrijven kunnen dan op dezelfde manier data uitwisselen als pre-Brexit. De EU en het VK kunnen ook tot een nieuwe overeenstemming komen over de bescherming van persoonsgegevens, vergelijkbaar met de afspraken die we al hebben met bijvoorbeeld de Verenigde Staten. Een derde mogelijkheid is dat het Verenigd Koninkrijk definitief de status krijgt van een ‘derde land’. Bedrijven hebben dan aanvullende juridische instrumenten nodig om data uit te wisselen, zoals die nu al gebruikt worden voor andere landen. Tot slot is er nog steeds een scenario denkbaar waarin de Britten alsnog onderdeel van de Europese Unie blijven. Dan blijft de situatie zoals die nu is en hoeven bedrijven niets te doen.