Artikel:

Nieuwe modelcontracten voor internationale doorgifte persoonsgegevens

10 juni 2021

De Europese Commissie heeft op 4 juni de nieuwe modelcontracten voor internationale doorgifte van persoonsgegevens gepubliceerd (ook wel: standard contractual clauses). Deze update was hoognodig: de oude contracten sloten niet meer aan op de huidige regels en verplichtingen, waren slechts mogelijk tussen twee partijen en door de Schrems II uitspraak kon met het tekenen van deze contracten niet meer worden volstaan. 

Inhoud contracten

De nieuwe contracten zijn modulair opgebouwd: ze bestaan uit een algemeen deel en vier modules voor de volgende situaties:

  1. doorgifte van verantwoordelijke naar verantwoordelijke;
  2. doorgifte van verantwoordelijke naar verwerker;
  3. doorgifte van (sub)verwerker naar (sub)verwerker;
  4. doorgifte van (sub)verwerker naar verantwoordelijke.

De contracten kunnen enkel worden gebruikt wanneer de verantwoordelijke of verwerker niet onder de AVG valt. Daarnaast kunnen meerdere partijen zich aansluiten bij de overeenkomst (zoals een subverwerker van verwerker). 

Schrems II

Diverse bepalingen zijn specifiek opgenomen naar aanleiding van Schrems II. Kortgezegd moeten beide partijen beoordelen en garanderen dat het recht van het land van de ontvanger de bepalingen in de modelovereenkomst niet in de weg staat. Deze beoordeling moet worden gedocumenteerd en kan worden opgevraagd door de toezichthoudende autoriteit. Daarnaast moet de gegevensimporteur - waar mogelijk - de gegevensexporteur informeren over een verzoek om toegang tot persoonsgegevens van een overheidsinstantie, de wettigheid van het verzoek beoordelen en betwisten en hooguit een minimale set gegevens beschikbaar stellen. Zie voor de overige verplichtingen de nieuwe modelcontracten.

Aandachtspunten

  • Deze bepalingen zijn geen sluitende oplossing voor de Schrems II problematiek: partijen moeten zelf bepalen welke “aanvullende maatregelen” nodig zijn. Dit kan een flinke opgave zijn.  
  • De beoordeling van de situatie in het ontvangende land is niet vrijblijvend: deze moet worden gedocumenteerd en desgevraagd aan de bevoegde toezichthouder worden verstrekt.
  • De huidige modelbepalingen zijn nog maximaal 18 maanden te gebruiken; partijen moeten tijdig  omschakelen naar de nieuwe bepalingen.
  • Partijen moeten ook bij gebruik van dit modelcontract voldoen aan hun verplichting om betrokkenen te informeren over de (voorgenomen) data-export.
  • Aan de modelcontracten mag geen afbreuk worden gedaan, bij aanpassing of inbedding in andere contracten blijft het raadzaam om zeer zorgvuldig (en wellicht terughoudend) aanpassingen te doen.
  • Commerciële aspecten (bijv. kosten het uitvoeren van audits bij ontvanger) zijn niet opgenomen in dit model en zullen uitonderhandeld moeten worden.
  • De beveiligingsmaatregelen kunnen niet meer opgenomen worden in algemene bewoordingen, maar moeten vrij gedetailleerd worden weergegeven. 

Conclusie

De nieuwe modelcontracten voor internationale doorgifte van persoonsgegevens sluiten beter aan op de AVG en zijn in de praktijk beter bruikbaar. Ze zijn er niet leesbaarder en makkelijker op geworden: het zijn feitelijk 4 contracten samengevoegd in één model van 34 pagina’s lang. Het selecteren van de juiste modules en aanpassen van het stuk op de specifieke situatie zal, zeker in het begin, de nodige tijdinvestering kosten. Daarnaast lost dit contract de “Schrems II-problematiek” niet op. Integendeel: er rusten heel wat verplichtingen op partijen, die moeten kunnen aantonen dat zij zich serieus met deze problematiek bezig hebben gehouden.

Meer lezen of vragen? Neem contact op met Micha Groeneveld of Menno Weij.