Contact us

Contact details HerikVerhulst

Phone: +31 10 41 000 55

Email: info@herikverhulst.nl

Contact form: Click here

Address:
“Wilhelminatoren”
Wilhelminaplein 16
3072 DE Rotterdam

Contact

Phone: 010 41 000 55

Email: info@herikverhulst.nl

Contact form: Click here

Address: Click here

Een update over het delen van persoonsgegevens met ‘derde landen’

Persoonsgegevens delen met organisaties buiten de EU kan leiden tot complexe situaties. Op 4 juni 2021 heeft de Europese Commissie nieuw herziene standaardbepalingen, de zogenoemde ‘Standard Contractual Clauses’, gepubliceerd die deze gegevensuitwisseling in goede banen moeten leiden. Daarnaast is op 28 juni 2021 een adequaatheidsbesluit genomen op basis waarvan persoonsgegevens met het Verenigd Koninkrijk gedeeld kunnen worden als ware het een gegevensuitwisseling binnen de EU.

Het doorgeven van persoonsgegevens buiten de EU

Onder de Algemene Verordening Gegevensbescherming (“AVG”) mogen persoonsgegevens niet zomaar worden doorgegeven naar een land buiten de Europese Unie, zogenoemde ‘derde landen’. Dit is alleen toegestaan als de verwerkingsverantwoordelijke (de partij die het doel en de middelen voor de verwerking van de persoonsgegevens bepaalt) en de verwerker (de partij die in opdracht en ten behoeve van de verantwoordelijke de persoonsgegevens feitelijk verwerkt) passende maatregelen hebben getroffen om de bescherming van de persoonsgegevens te garanderen.

Als persoonsgegevens vanuit het derde land vervolgens weer worden doorgegeven naar een volgend land geldt de verplichting tot het treffen van passende beschermingsmaatregelen ook voor deze opvolgende doorgifte. ‘Doorgeven’ moet ruim worden opgevat. Als een partij bijvoorbeeld gebruik maakt van een clouddienst waarbij de fysieke server in een derde land staat, is er sprake van doorgifte. Ook als de persoonsgegevens op een fysieke server in de EU zijn opgeslagen, maar de helpdesk van een bepaalde software leverancier in een derde land is gevestigd en de helpdesk op afstand toegang kan krijgen tot de persoonsgegevens is er sprake van doorgifte.

Passende maatregelen

Op basis van de wetgeving en de door de Europese Commissie gegeven richtlijnen is er sprake van ‘passende maatregelen’ als:

  1. de Europese Commissie een adequaatheidsbesluit heeft genomen voor het derde land (of een bepaalde regio). Dit betekent kortweg dat is geoordeeld dat in het betreffende land een vergelijkbaar beveiligingsniveau qua regelgeving geldt als in de EU; of
  2. er sprake is van één van de in de AVG genoemde passende waarborgen. Hieronder valt bijvoorbeeld het hanteren van de op 4 juni 2021 door de Europese Commissie gepubliceerde ‘Standard Contractual Clauses’; of
  3. er sprake is van bindende bedrijfsvoorschriften. Deze bindende bedrijfsvoorschriften moeten echter op voorhand door de Europese Commissie worden goedgekeurd. Dit kan niet op korte termijn door een onderneming worden gerealiseerd; of
  4. er sprake is van een specifieke in de wet genoemde uitzondering. Bijvoorbeeld toestemming van de betrokkene, of een noodzaak voor de uitvoering van een overeenkomst waarbij de betrokkene partij is. Binnen een arbeidsrelatie geldt toestemming in de regel niet als vrijwillig gegeven. In andere relaties geldt dat de betrokkene duidelijk moet worden gewezen op de risico’s van de doorgifte naar het derde land. Bovendien mag toestemming te allen tijde worden ingetrokken. Voor de overige uitzonderingen geldt dat de gegevensverwerking geen repetitief karakter mag hebben.

Adequaatheidsbesluit na de Brexit

Er is slechts een zeer beperkt aantal landen waarvoor een adequaatheidsbesluit geldt. Daarnaast kan een adequaatheidsbesluit doorlopend worden herzien door de Europese Commissie. Het is te adviseren dit regelmatig te controleren als een dergelijk besluit als grondslag voor de doorgifte naar een derde land wordt gebruikt. Als het adequaatheidsbesluit ‘wegvalt’, is de doorgifte naar het derde land per direct in strijd met de AVG.

Op 28 juni 2021 heeft de Europese Commissie een adequaatheidsbesluit afgegeven voor het Verenigd Koninkrijk. Hierdoor kunnen persoonsgegevens – ook na de Brexit – ‘gewoon’ met het Verenigd Koninkrijk worden gedeeld, als ware het een doorgifte binnen de EU.

De Standard Contractual Clauses herzien

Als er geen adequaatheidsbesluit is, zoals bijvoorbeeld bij doorgifte naar Amerika, kan gebruik worden gemaakt ‘Standard Contractual Clauses’. Deze Standard Contractual Clauses moeten dan voorafgaand aan de doorgifte van de persoonsgegevens tussen de verzender en ontvanger worden overeengekomen. Deze zijn recent herzien en op 4 juni 2021 gepubliceerd. Daarin is rekening gehouden met de uitspraak van het Hof van Justitie waarin het EU-VS Privacy Shield (vergelijkbaar met een ‘adequaatheidsbesluit’) ongeldig is verklaard. In de Standard Contractual Clauses is opgenomen aan welke verplichtingen moet worden voldaan om een doorgifte van persoonsgegevens naar een derde land, zoals bijvoorbeeld Amerika, mogelijk te maken. Partijen zullen zich volledig moeten committeren aan de Standard Contractual Clauses. Er mogen aanvullende bepalingen worden toegevoegd, mits deze geen afbreuk aan de standaardbepalingen doen. Er mogen geen bepalingen worden verwijderd. Daarnaast gelden over en weer strenge informatieverplichtingen en zal ook een betrokkene nadrukkelijk moeten worden geïnformeerd over de doorgifte van zijn persoonsgegevens naar een derde land.

Als partijen gebruik maken van de oude versie van de Standard Contractual Clauses voor een doorgifte, mag deze oude versie worden gebruikt tot 27 december 2022, mits de onderliggende verwerking van persoonsgegevens niet wijzigt. Nieuwe verwerkingen moeten met ingang van 27 september 2021 gebaseerd worden op de nieuwe Standard Contractual Clauses.

Afsluiting

De praktijk zal moeten leren hoe werkbaar deze herziene Standard Contractual Clauses zullen blijken. Voor nu biedt dit in ieder geval de mogelijkheden om aan de AVG te voldoen bij de doorgifte van persoonsgegevens naar landen buien de EU.

Heeft u vragen over de doorgifte van persoonsgegevens, al dan niet over de grenzen van de EU heen, neem gerust contact met ons op.

Hieronder vindt u de contactgegevens van onze arbeidsrechtspecialisten.

HerikVerhulst N.V.

Sectie Arbeidsrecht:

image image image
Mieke Bestebreurtje

E-mail | Profiel | 06-13762101

Helma van Dijk

E-mail | Profiel | 06-11367770

Erick Hagendoorn

E-mail | Profiel | 06-82360373

image image
Arjen Kampherbeek

E-mail | Profiel | 06-53388641

Laura Smit

E-mail | Profiel | 06-33793451

 

Deze publicatie heeft slechts ten doel algemene informatie te verschaffen omtrent de daarin opgenomen onderwerpen en vormt geen juridisch advies in een concrete zaak. Deze publicatie is met zorgvuldigheid samengesteld, maar
HerikVerhulst N.V. aanvaardt geen aansprakelijkheid voor de inhoud van deze publicatie. Aansprakelijkheid kan uitsluitend worden aanvaard voor concrete op verzoek uitgebrachte juridische adviezen.