Overføring av personopplysninger til Storbritannia etter Brexit

Den 31. desember 2020 opphører Brexit-overgangsperioden. Det betyr blant annet at alle som overfører personopplysninger til Storbritannia etter denne datoen må følge reglene om overføring av personopplysninger til tredjeland.

For å overføre personopplysninger til et tredjeland, altså land utenfor EØS, trenger man normalt et overføringsgrunnlag. Dessuten må man følge tilleggsvilkårene fra Schrems II-dommen. Dette kan innebære tidkrevende og komplekse vurderinger.

Les Personvernrådets veiledning om Schrems II-dommen

Les våre spørsmål og svar om Schrems II-dommen

Les mer om overføring av personopplysninger til tredjeland

Avventer mulig adekvansbeslutning

Man trenger imidlertid ikke å foreta disse stegene dersom EU-kommisjonen har gitt det aktuelle landet en såkalt adekvansbeslutning. Kommisjonen kan gi en adekvansbeslutning dersom den har kommet frem til at beskyttelsesnivået i landet er tilsvarende som i EØS. I slike tilfeller kan man overføre personopplysninger fritt til landet.

EU-kommisjonen holder på å vurdere om den skal gi Storbritannia en adekvansbeslutning. Det er per nå usikkert om dette arbeidet vil komme i mål før 1. januar.

  • Dersom EU-kommisjonen gir Storbritannia en adekvansbeslutning før nyttår, trenger ikke virksomheter foreta seg noe med tanke på overføring av personopplysninger.
  • Dersom EU-kommisjonen ikke gir Storbritannia en adekvansbeslutning før nyttår, må virksomheter som overfører personopplysninger til Storbritannia, sikre et overføringsgrunnlag og følge tilleggsvilkårene fra Schrems II-dommen dersom de skal fortsette å overføre personopplysninger etter 31. desember.

Både sending av data og fjerntilgang regnes som overføring av personopplysninger.