Wat u moet weten.

Op 7 juni 2021 werden de lang verwachte nieuwe modelcontractbepalingen voor de doorgifte van persoonsgegevens buiten de Europese Economische Ruimte (‘EER’) gepubliceerd in het Publicatieblad van de Europese Unie.

Bij wijze van opfrissing, ondernemingen mogen persoonsgegevens enkel doorgeven buiten de EER wanneer de persoonsgegevens daar een bescherming genieten die gelijkwaardig is aan de bescherming binnen de EER. Ook opslag van persoonsgegevens buiten de EER, en (loutere) toegang van buiten de EER, vallen hieronder. Een gelijkwaardige bescherming kan op verschillende manieren verzekerd worden. De modelcontractbepalingen van de Europese Commissie vormen één van die manieren: één of meer ‘verzendende’ ondernemingen sluiten een overeenkomst met één of meer ‘ontvangende’ ondernemingen overeenkomstig de modelcontractbepalingen.

De ‘oude’ modelcontractbepalingen, vastgesteld voor de inwerkingtreding van de AVG, voorzagen in twee sets van bepalingen: één voor doorgiften tussen een EER-verwerkingsverantwoordelijke en een niet-EER-verwerkingsverantwoordelijke en één voor doorgiften tussen een EER-verwerkingsverantwoordelijken en een niet-EER-verwerker. De nieuwe modelcontractbepalingen voegen twee (welgekomen) sets toe: één voor doorgiften tussen een EER-verwerker en een niet-EER-verwerker en één tussen een EER-verwerker en een niet-EER-verwerkingsverantwoordelijke.

De modelcontractbepalingen voorzien nu in (1) algemene bepalingen die van toepassing zijn op alle (vier) voormelde types van doorgiften, (2) modulaire bepalingen die geselecteerd moeten worden in functie van het type van doorgifte en (3) drie annexen die door de partijen moeten worden ingevuld. Enkele blikvangers:

• De Europese Commissie heeft de modelcontractbepalingen in lijn gebracht met de AVG en de Schrems II rechtspraak van het Hof van Justitie. Zo bevatten de modelcontractbepalingen de nodige taal overeenkomstig artikels 28.3 en 28.4 AVG. Waar relevant, is er dus geen afzonderlijke verwerkersovereenkomst meer noodzakelijk. Tegelijkertijd lijkt dit ook de mogelijkheid weg te nemen voor partijen om zelf zo’n overeenkomst te onderhandelen. Conform de Schrems II rechtspraak bevatten de modelcontractbepalingen verder ook de vermelding dat naast de modelcontractbepalingen bijkomende waarborgen nodig kunnen zijn om een gelijkwaardig beschermingsniveau te garanderen (zie deze Privacy Talk).
• Meer dan twee partijen kunnen toetreden tot de nieuwe modelcontractbepalingen. Er is ook een toetredingsclausule voorzien. Dit is goed nieuws voor (complexe) verwerkingen waarbij meerdere partijen betrokken zijn en voor intra-groep doorgiften van persoonsgegevens. De betrokken partijen moeten worden opgenomen in annex I bij de modelcontractbepalingen.
• De partijen moeten in annex II een overzicht opnemen van de technische en organisatorische maatregelen van één of meerdere van de partijen. De modelcontractbepalingen bevatten een lijst met voorbeelden van dergelijke maatregelen. Helaas adviseert de Europese Commissie niet wanneer het passend is welke maatregelen te gebruiken.

De nieuwe modelcontractbepalingen treden in werking op 27 juni 2021. Voor nieuwe doorgiften kunnen de oude modelcontractbepalingen desalniettemin nog gebruikt worden tot 27 september 2021 (al lijkt het weinig zinvol om dat te doen). Voor bestaande doorgiften kunnen de oude modelcontractbepalingen nog gebruikt worden tot 27 december 2022.

Tot slot is het belangrijk om te herhalen dat ondernemingen die een beroep doen op de (oude dan wel nieuwe) modelcontractbepalingen, als gevolg van het Schrems II arrest, een data transfer impact analyse moeten uitvoeren (zie deze Privacy Talk).

Wat u moet doen.

Met de publicatie van de nieuwe modelcontractbepalingen, en de vereiste van een data transfer impact analyse als gevolg van de Schrems II rechtspraak, is er geen reden meer om een afwachtende houding aan te nemen. Actie is vereist!

We hebben het al eerder aangeraden in onze Privacy Talk:

• Identificeer (‘map’) de internationale doorgiften van persoonsgegevens door uw onderneming. Vergeet hierbij de ruime draagwijdte van het concept ‘doorgifte’ niet. Identificeer zowel doorgiften naar derde partijen als intra-groep doorgiften. Ook alle verdere doorgiften moeten in kaart worden gebracht (bijv. wanneer een leverancier buiten de EER op zijn beurt de persoonsgegevens doorgeeft aan een onderaannemer in een land buiten de EER).
• Ga na of die internationale doorgiften absoluut noodzakelijk zijn en, indien zo, welk transfer mechanisme gebruikt kan worden voor de doorgiften: als er een adequaatheidsbesluit of één van de uitzonderingen in artikel 49 AVG van toepassing is, hoeft uw onderneming verder niets te doen. Het is interessant om op te merken dat de rechter-rapporteur in de Schrems zaken (Von Danwitz) eerder dit jaar op een seminarie van het Duitse Ministerie van Binnenlandse zaken heeft verklaard (in eigen naam) dat de uitzonderingen in artikel 49 AVG in het bijzonder interessant zijn voor internationale doorgiften binnen een intra-groep context. De rechter-rapporteur suggereert dat de mogelijkheden van artikel 49 AVG nog niet ten volle zijn verkend en dat ze niet al te eng mogen worden geïnterpreteerd.
• Indien uw onderneming gebruik maakt van de modelcontractbepalingen, zijn een data transfer impact analyse en eventuele bijkomende waarborgen noodzakelijk (zie deze Privacy Talk). Het is aan te raden om u te laten bijstaan door experts in deze stap.
• Implementeer vanaf 27 juni 2021 de nieuwe modelcontractbepalingen voor alle nieuwe doorgiften en vervang de oude modelcontractbepalingen voor 27 december 2022.