Stap tijdig over op het nieuwe modelcontract voor de internationale doorgifte van persoonsgegevens

Ondernemingen die persoonsgegevens doorgeven aan een land buiten de EER dienen hun overeenkomst wellicht te laten bijwerken. Door de Brexit gaat het ook om ondernemingen die persoonsgegevens doorgeven aan het Verenigd Koninkrijk. Brussel geeft ondernemers nog tot 27 december 2022 de tijd om over te schakelen op het nieuwe modelcontract. Bij gewijzigde en aangevulde modelcontracten is het belangrijk om het een en ander tijdig aan de AP (Autoriteit Persoonsgegevens) voor te leggen.

Doorgifte van persoonsgegevens aan derde landen

De AVG (Algemene verordening gegevensbescherming) legt strenge regels op wanneer persoonsgegevens aan zogeheten derde landen worden doorgegeven. Derde landen zijn niet-EU-landen, met uitzondering van IJsland, Noorwegen en Liechtenstein. Deze drie EER-landen bieden namelijk een gelijkwaardig niveau van bescherming. De hoofdregel luidt dat ondernemingen enkel persoonsgegevens mogen doorgeven aan landen die een passend beschermingsniveau bieden. Als een Nederlandse onderneming persoonsgegevens doorgeeft aan IJsland, gelden er dus geen extra eisen en hoeft de ondernemer enkel te voldoen aan de algemene AVG-eisen.

Als een land echter geen passend beschermingsniveau biedt, is de doorgave enkel toegelaten op basis van een van de toegestane gronden. Een voorbeeld hiervan is de situatie waarbij de doorgifte gebeurt ter onderbouwing van een rechtsvordering. De meeste ondernemers zullen zich echter beroepen op de zogenaamde ‘doorgifte op basis van passende waarborgen’. Dit wil zeggen dat men zelf de veiligheid van de persoonsgegevens waarborgt. Om een passende waarborg te bieden, biedt de Europese Commissie al langer een modelcontract aan.

Modelcontract was verouderd

Het probleem is dat de modelcontracten die eerder door de Europese Commissie werden vastgesteld, verouderd zijn en niet langer in lijn zijn met de AVG en de recente rechtspraak. Daarom heeft de Europese Commissie een nieuw modelcontract opgesteld dat duidelijker is, flexibeler is, verschillende situaties dekt en wel gewoon in lijn is met de AVG.

Het nieuwe modelcontract houdt bovendien rekening met het Schrems II-arrest van het Hof van Justitie. Dit arrest verklaarde het zogenaamde EU-VS Privacy Shield nietig, omdat de Amerikaanse overheid persoonsgegevens niet voldoende zou beschermen. Op basis van het nieuwe modelcontract kunnen ondernemingen nu wel een geldige grondslag bieden om persoonsgegevens naar de Verenigde Staten door te geven. Het blijft wel nodig om aanvullende maatregelen te treffen.

Modelcontracten aanpassen of aanvullen

Ondernemingen die het nieuwe modelcontract zonder wijzigingen of aanvullingen gebruiken, hebben geen toestemming van de Autoriteit Persoonsgegevens nodig. In het andere geval moet je wel eerst de AP om toestemming vragen. De AP gaat dan na of de aanvullingen niet tegenstrijdig zijn met de standaardbepalingen en of de rechten van de betrokkenen niet worden geschonden. Bij wijzigingen is een grondigere studie nodig. De AP zal dan inschatten hoelang het daarvoor nodig heeft. Als je het modelcontract wil laten aanpassen, is juridische begeleiding aan te raden.

Tijdig actie ondernemen

Als je als ondernemer persoonsgegevens doorgeeft aan een derde land, zijn er veel zaken om op te letten. Het modelcontract is een handig instrument, maar soms kan het modelcontract aanpassingen of wijzigingen gebruiken. In ieder geval is het nodig om binnenkort over te schakelen naar het nieuwe modelcontract. Als je hier vragen over hebt of als je juridische ondersteuning kan gebruiken, helpen onze juristen je graag verder.