Personvernforordningen (GDPR) stiller strenge krav for overføring av personopplysninger til et tredjeland utenfor EØS. En av mekanismene en kan basere seg på for å overføre personopplysninger til tredjeland er en såkalt beslutning om tilstrekkelig beskyttelsesnivå (adekvansbeslutning).
Ved overgangsperioden til Brexit forelå ikke en adekvansbeslutning for Storbritannia, men Brexit-avtalen mellom Storbritannia og EU ga en midlertidig bestemmelse om tillatelse til overføring av personopplysninger. I lys av denne bestemmelsen vedtok regjeringen en midlertidig forskrift som fastslo at overføring av personopplysninger til Storbritannia ikke anses som overføring til et tredjeland etter personopplysningsloven. Forskriften trådte i kraft 1. januar 2021. Konsekvensene av forskriften er at norske virksomheter har kunnet fortsette å overføre personopplysninger til Storbritannia som før, uten behov for ytterligere mekanismer slik som «Standard Contractual Clauses». Imidlertid vil forskriften kun gjelde frem til senest 1. juni 2021, og det har foreligget usikkerhet knyttet til hvorvidt EU-kommisjonen vil tildele Storbritannia en adekvansbeslutning, blant annet grunnet overvåkningslovene i Storbritannia som har gitt adgang til masseovervåkning.
Rett før helgen publiserte imidlertid EU-kommisjonen sitt utkast til en adekvansbeslutning for Storbritannia. EU-kommisjonen har kommet frem til at Storbritannia sørger for et tilstrekkelig beskyttelsesnivå innenfor rammen av GDPR. Dersom adekvansbeslutningen blir vedtatt, vil det innebære fri flyt av personopplysninger mellom EØS og Storbritannia, uten behov for at den enkelte behandlingsansvarlige sørger for et særskilt overføringsgrunnlag.
Beslutningen vil få stor betydning for norske virksomheter, ettersom de da vil kunne fortsette å overføre personopplysninger til Storbritannia uten å måtte bruke ressurser på å få på plass et særskilt rettslig grunnlag for overføring av personopplysninger. Dette er særlig viktig i etterkant av Schrems II-dommen, hvor virksomheter som overfører personopplysninger til tredjeland nå i tillegg må foreta en ressurskrevende landrisikovurdering.
Publiseringen av utkastet er starten på en prosess mot godkjenning av adekvansbeslutningen. Prosessen innebærer at EU-kommisjonen innhenter en uttalelse fra Personvernrådet (EDPB) og deretter ber om grønt lys fra en komité sammensatt av representanter for EUs medlemsstater. Når denne prosedyren er fullført, kan EU-kommisjonen vedta beslutningen.
