Nieuw modelcontract voor internationale doorgifte van persoonsgegevens

Geeft uw bedrijf persoonsgegevens door naar een land buiten de Europese Economische Ruimte (EER)? En gebruikt u daarbij een modelcontract van de Europese Commissie? Dan moet u overstappen op een nieuw modelcontract of uw contract in lijn brengen met dit nieuwe modelcontract. U heeft daarvoor tot 27 december 2022 de tijd.

Aanleiding nieuw modelcontract

De Europese Commissie had eerder al modelcontracten vastgesteld die u kon gebruiken voor de doorgifte van persoonsgegevens naar landen en organisaties buiten de EER (alle EU-landen plus Liechtenstein, Noorwegen en IJsland). Maar deze modelcontracten waren verouderd, niet in lijn met de AVG en konden niet in iedere situatie worden toegepast.

In de nieuwe situatie is er nog maar één modelcontract, dat bestaat uit 4 modules en waarmee vrijwel alle doorgiften worden gedekt:

• Module 1: doorgifte tussen twee verwerkingsverantwoordelijken.
• Module 2: doorgifte tussen een verwerkingsverantwoordelijke en een verwerker.
• Module 3: doorgifte tussen twee (sub)verwerkers.
• Module 4: doorgifte tussen een (sub)verwerker en een verwerkingsverantwoordelijke.

Het nieuwe modelcontract is bovendien in lijn met de AVG en flexibeler. Daarnaast houdt het rekening met de uitspraak van het Europees Hof van Justitie in het Schrems II-arrest. In dit arrest verklaarde het Hof het EU-VS privacy shield ongeldig omdat de Amerikaanse overheid persoonsgegevens onvoldoende beschermt. In diezelfde uitspraak gaf het Hof aan dat modelcontracten wél een geldige grondslag kunnen bieden voor een veilige internationale gegevensdoorgifte, mits in de praktijk een gelijkwaardig beschermingsniveau als binnen de EU kan worden gewaarborgd. In het modelcontract is daarom een stappenplan en een overzicht van maatregelen opgenomen die organisaties kunnen gebruiken om dat beschermingsniveau te waarborgen.

Wat betekent dit voor u?

Als u persoonsgegevens wilt gaan doorgeven naar een land of organisatie buiten de EER en daarbij kiest voor een modelcontract, dan mag u alleen nog maar gebruikmaken van het nieuwe modelcontract.

Als u op dit moment al persoonsgegevens doorgeeft naar een land of organisatie buiten de EER en daarvoor een van de oude modelcontracten van de Europese Commissie gebruikte, is het raadzaam om na te gaan of de nieuwe modules niet beter bij uw feitelijke situatie passen. Er is namelijk een kans dat u, bij gebrek aan beter, een niet passend model gebruikt.

Gebruikt u wel een passend model? Dan moet u nagaan tot wanneer uw contract loopt. Is dat tot uiterlijk 27 december 2022? Dan hoeft u in principe niets te doen. Loopt uw contract langer door? Dan moet u het voor 27 december 2022 in lijn brengen met het nieuwe modelcontract. Overstappen op het nieuwe modelcontract kan natuurlijk ook.

U vindt de nieuwe modelcontracten in het Publicatieblad van de Europese unie (in de bijlagen).

Vragen?

Heeft u hier vragen over? Of heeft u behoefte aan advies? Neem dan gerust contact op met een van onze advocaten privacyrecht. Dat kan door te bellen met 072 514 46 66. U kunt ook het contactformulier invullen.