In een eerdere blog wezen wij u er reeds op dat de Europese Commissie (‘EC’) op 4 juni 2021 een nieuw modelcontract heeft gepubliceerd voor de doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte (‘EER’). Indien u gebruik maakt van modelcontractbepalingen van de EC, gaan er een aantal zaken voor u veranderen. In deze bijdrage zetten wij de gevolgen voor u kort op een rijtje.
Achtergrond
Binnen de EER is het niveau van gegevensbescherming gelijk. De doorgifte van persoonsgegevens binnen de EER hoeft dus alleen te voldoen aan de algemene eisen uit de Algemene Verordening Gegevensbescherming (‘AVG’). Doorgifte van persoonsgegevens naar ontvangers buiten de EER daarentegen, mag op grond van de AVG alleen indien het ontvangende land een passend beschermingsniveau biedt (adequaatheidsbesluit) of als sprake is van andere passende waarborgen zoals door de EC goedgekeurde modelcontracten, binding corporate rules (‘BCR’) of sprake is van specifieke uitzonderingen.
Indien er geen sprake is van een adequaatheidsbesluit, moet er dus een andere passende waarborg zijn om persoonsgegevens door te geven aan een ontvanger in een derde land. Dit kan door middel van de Europese modelcontracten, ook wel modelcontractbepalingen, standard contractual clauses of SCC. Deze contracten bevatten bepalingen die passende waarborgen bieden. Bedrijven kunnen modelcontracten gebruiken voor de doorgifte van persoonsgegevens naar ontvangers buiten de EER. Door het gebruik van modelcontracten kunnen bedrijven persoonsgegevens van bijvoorbeeld klanten en werknemers goed beschermen. Dus ook wanneer ze die persoonsgegevens doorsturen naar landen waar persoonsgegevens in principe minder goed zijn beschermd dan in Europa, zo stelt ook de Autoriteit Persoonsgegevens.
Wat is er veranderd?
Op 4 juni 2021 heeft de Europese Commissie een nieuw modelcontract gepubliceerd. Dit nieuwe modelcontract geldt vanaf 27 juni 2021 en vervangt de drie oude modelcontracten die de EC eerder heeft vastgesteld. Het nieuwe modelcontract is flexibeler dan de oude modelcontracten en bestaat uit vier modules. Het nieuwe modelcontract bestaat uit een algemeen gedeelte met standaardcontractbepalingen en een modulair gedeelte, waarbij in het modulaire gedeelte aansluiting kan worden gezocht bij de module die aansluit bij de toepasselijke posities in de praktijk. Het gaat om de volgende vier modules:
- Doorgifte tussen twee verwerkingsverantwoordelijken
- Doorgifte tussen een verwerkingsverantwoordelijke en een verwerker
- Doorgifte tussen twee (sub)verwerkers
- Doorgifte van een (sub)verwerker naar de verwerkingsverantwoordelijke
Het contract kan dus ook als verwerkerscontract worden gebruikt. De bepalingen kunnen overigens worden geïntegreerd in bredere commerciële overeenkomsten (let op: de bepalingen mogen niet worden gewijzigd of tegengesproken door andere bepalingen in de bredere overeenkomst). Het nieuwe model maakt het eenvoudig om andere partijen door medeondertekening mee te laten doen (door middel van een zogenaamde ‘docking clausule’).
Wat betekent dit voor u?
Nieuwe doorgiftecontracten mogen sinds 27 september 2021 alleen nog maar op basis nieuwe SCC worden afgesloten. Vóór 27 september 2021 afgesloten doorgiftecontracten moeten uiterlijk op 27 december 2022 zijn aangepast aan de nieuwe SCC.
Wilt u weten wat de nieuwe modelcontractbepalingen voor u betekenen? Of heeft u hulp nodig bij vraagstukken over internationale doorgifte?
Neem vrijblijvend contact op.