Doorgifte van persoonsgegevens - Oude standaardcontracten ingetrokken vanaf 27 september 2021

    oktober 22, 2021

    De doorgifte van persoonsgegevens naar een derde land is een gegevensverwerking die onder de AVG valt. Om wettelijk geoorloofd te zijn, moeten de importeur en exporteur van gegevens voldoen aan de bepalingen van hoofdstuk V van de AVG om de persoonsgegevens door te geven (artikel 44 van de AVG). De exporteur en de importeur van de gegevens kunnen, opdat de doorgifte rechtmatig is, i) de doorgifte o.a. baseren op een adequaatheidsbesluit van de Europese Commissie waarbij een beschermingsniveau passend wordt verklaard, ii) op bindende bedrijfsvoorschriften of iii) onderling overeenkomen passende waarborgen in te voeren.

    Eén van de passende waarborgen die kunnen worden overwogen, is dat de gegevensimporteur en -exporteur zich contractueel kunnen verbinden tot de door de Europese Commissie vastgestelde standaardcontractbepalingen (artikel 46, onder c), van de AVG). Gegevensimporteurs en -exporteurs maakten in het verleden vaak gebruik van dergelijke clausules om doorgiften naar derde landen uit te voeren, die als rechtmatig worden beschouwd indien de partijen de standaardbedingen en -voorwaarden naleven.

    In juli 2020 heeft het Hof van Justitie in het arrest "Schrems II" echter aangegeven dat het gebruik van standaardcontractbepalingen, afhankelijk van het toepasselijke recht in het land van bestemming van de gegevens, mogelijk niet volstaat om de doorgifte van persoonsgegevens te legitimeren en dat de exporteur en de importeur van de gegevens moeten beoordelen of de toepassing van aanvullende waarborgen nodig is om een doeltreffend niveau van bescherming van de doorgegeven gegevens te waarborgen.

    Naar aanleiding van dit arrest is de Commissie begonnen met het bijwerken van de standaardcontractbepalingen, teneinde nieuwe modelcontracten op te stellen om de oude modellen te vervangen. Deze nieuwe modellen van standaardcontractbepalingen zijn enkele maanden geleden door de Commissie gepubliceerd en zijn beschikbaar via de volgende hyperlink:https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32021D0914&qid=1632831214923

    Er werd voorzien in een aanpassingsperiode van drie maanden om de exporteurs en importeurs van gegevens in staat te stellen naar keuze hetzij de oude, hetzij de door de Commissie goedgekeurde nieuwe modellen te gebruiken. Sinds 27 september 2021 is deze overgangsregeling niet langer van toepassing en worden de oude standaardcontractbepalingen modellen ingetrokken (Besluit 2001/497/EG en Besluit 2010/87/EU).

    Dit betekent dat de oude modelclausules niet meer door exporteurs en importeurs kunnen worden gebruikt als basis voor de doorgifte van persoonsgegevens in het kader van nieuwe contracten. Alleen de modellen in de bijlage bij Besluit 2021/914 bieden nu passende waarborgen in de zin van artikel 46 van de GDPR.

    Voor de overeenkomsten van vóór 27 september 2021 waarin standaardcontractbepalingen van het oude model zijn opgenomen, is voorzien in een overgangsperiode van 15 maanden gedurende welke doorgiftes nog op basis van de oude modellen kunnen plaatsvinden. Na deze datum zullen importeurs en exporteurs geen transfers meer kunnen verrichten op basis van de oude modellen.

    Het gebruik van deze nieuwe modellen ontslaat de importeur en exporteur echter niet van de verplichting om na te gaan of er aanvullende waarborgen moeten worden ingebouwd, en van de verplichting om de wetgeving van het land van bestemming te evalueren om er zeker van te zijn dat de standaardcontractbepalingen doeltreffend zullen zijn (zie met name artikel 14 van de modellen).

    Daarom is het vanaf 27 september belangrijk om :

    - de nieuwe standaardcontractmodellen te gebruiken voor nieuwe contracten.

    - voor lopende contracten, na te gaan of er na de overgangsperiode nog overdrachten moeten worden verricht. Zo ja, dan hebben de importeur en de exporteur 15 maanden de tijd om de standaardcontractbepalingen aan te passen of een andere grondslag voor de transfer te vinden.

    - ervoor te zorgen dat de wetgeving van het land van bestemming de toepassing van de standaardcontractbepalingen niet in gevaar brengt, in welk geval (i) in aanvullende garanties moeten worden voorzien om deze risico's te beperken of (ii) de overdracht niet mag worden verricht.

    Guillaume Pomes