Blog
Published
Reading time
Auteur
Overeenkomsten voor internationale gegevensdoorgiften, of Standard Contractual Clauses (“SCC”), moeten vóór 27 december dit jaar zijn aangepast, zoals ook al toegelicht in ons vorige blog. Organisaties die de deadline niet halen riskeren een substantiële boete of bevel van de toezichthouder om de doorgifte per direct te staken. In deze blog beschrijven we stapsgewijs hoe de SCC moeten worden geupdate, inclusief praktische handvatten.
Identificatie huidige SCC en noodzaak sluiten SCC
De SCC is het meest gebruikte doorgifte mechanisme voor persoonsgegevens naar landen buiten de Europees Economische Ruimte Het is overigens niet altijd bekend bij organisaties dat SCC de basis van de doorgifte, aangezien SCC vaak een bijlage zijn bij een hoofdovereenkomst, waarover vaak niet uitvoerig wordt onderhandeld.
Vooral voor grotere organisaties kan het identificeren en beoordelen van alle contracten een behoorlijk tijdrovende klus zijn. Deze taak kan een stuk eenvoudiger en efficiënter worden door gebruik te maken van legal tech. Zo kunnen bepaalde AI systemen herkennen of in een contractuele relatie SCC zijn gebruikt. Het inzetten van dergelijke systemen leidt doorgaans tot een substantiële lastenverlichting binnen het juridische of privacy team.
Na deze exercitie is er een aantal formaliteiten om in acht te nemen, waarvan een aantal hieronder is uitgewerkt.
Kiezen van de juiste module
Bij het sluiten van nieuwe SCC met de partij die de persoonsgegevens ontvangt moet gekozen worden uit één van de vier modules van de SCC, te weten:
- Module 1: doorgifte van verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke;
- Module 2: doorgifte van verwerkingsverantwoordelijke naar verwerker;
- Module 3: doorgifte van verwerker naar verwerker; en
- Module 4: doorgifte van verwerker naar verwerkingsverantwoordelijke.
De toepasselijke module hangt af van de privacyrechtelijke kwalificatie van partijen. Het vaststellen daarvan kan vrij complex zijn en vereist een beoordeling van de feitelijke situatie.
- Verwerkingsverantwoordelijke: Dit is, kortgezegd, de partij die het doel en middelen van de verwerking vaststelt. Belangrijkste is om vast te stellen welke partij bepaalt waarom, hoelang en van welke personen de persoonsgegevens worden verwerkt, welke gegevens dit zijn, en hoe de verwerking dient plaats te vinden. Hierbij kan worden gedacht aan bijvoorbeeld een organisatie die van de eigen werknemers, personeelsdossiers bijhoudt of een organisatie die besluit om persoonsgegevens op te laten slaan in een externe cloudomgeving.
- Verwerker: De partij die op instructie van de ander persoonsgegevens verwerkt en dit niet voor eigen doeleinden doet, kwalificeert als verwerker. Dit is bijvoorbeeld vaak de aanbieder van een clouddienst, die voor zijn klanten gegevens opslaat en beschikbaar maakt.
Overige formaliteiten
De SCC zijn standaardovereenkomsten die in beginsel niet kunnen worden aangepast. Er is echter een (beperkt) aantal clausules waarbij partijen een keuze moeten maken. Zo moeten ze bijvoorbeeld bepalen of zede docking clausule opnemen in de SCC. Hiermee kunnen in de toekomst gemakkelijk andere partijen, zoals dochterondernemingen, contractspartij worden bij de SCC – bijvoorbeeld als ook die dochteronderneming dezelfde persoonsgegevens gaat doorgeven. Ook dienen partijen keuzes te maken over de bevoegde toezichthouder en tijdslijnen om elkaar te informeren bij bijvoorbeeld een datalek.
Verwerken van input Data Transfer Impact Assessment (“DTIA”)
De belangrijkste wijziging ziet echter op het in kaart brengen en monitoren van wet- en regelgeving Partijen moeten namelijk garanderen dat de wetgeving en praktijk van het land van de organisatie met wie de persoonsgegevens worden gedeeld geen afbreuk doen aan de verplichtingen zoals vastgelegd in de SCC. Zoals in de vorige blog aangegeven, doen partijen dit door de (surveillance- en privacy)wetgeving in kaart te brengen van het land waar de gegevens naar worden doorgegeven. Zij dienen te beoordelen welke risico’s hieruit voortvloeien, onder andere in het kader van de mogelijkheid die overheidsinstanties hebben tot toegang tot de gegevens te verkrijgen (surveillance wetgeving). Deze risico’s dienen te worden gemitigeerd met technische, organisatorische en contractuele maatregelen. Bij deze beoordeling dienen de specifieke omstandigheden van de doorgifte in acht te worden genomen – waaronder het aantal doorgiften per verwerking, de betrokken partijen, typen persoonsgegevens en doeleinden van de verwerking.
Een aantal partijen die dit niet zorgvuldig heeft gedaan, heeft van (EU) toezichthouders al een bevel ontvangen om per direct de doorgifte te staken. Het is te verwachten dat de Nederlandse Autoriteit Persoonsgegevens, zeker na verstrijken van de deadline van 27 december aanstaande, de juiste implementatie van de SCC zal gaan zal gaan handhaven, waarbij de uitgevoerde DTIA van groot belang is.
Wilt u meer weten? Klik dan hier om naar onze Schrems II pagina te gaan.