Wat u moet weten.
Op 19 december 2019 bevestigde Advocaat-Generaal bij het Hof van Justitie Saugmandsgaard Øe de geldigheid van de modelcontractbepalingen voor de internationale doorgifte van persoonsgegevens (“de Schrems II zaak”). De opinie van de Advocaat-Generaal komt er na een klacht van privacy activist Max Schrems. Die is van oordeel dat de doorgifte van zijn persoonsgegevens door Facebook Ireland naar Facebook Inc. in de VS op basis van de modelcontractbepalingen geen passende waarborgen biedt voor de bescherming van zijn persoonsgegevens.
Waar gaat dit over? Een doorgifte van persoonsgegevens aan andere ondernemingen brengt bepaalde verplichtingen met zich mee (voor meer informatie over deze verplichtingen zie GDPR toolkit - transfer). Een doorgifte van persoonsgegevens buiten de EER is in principe verboden, tenzij de onderneming zich kan beroepen op één van de door de GDPR voorziene doorgiftemechanismen: adequaatheidsbesluiten, modelcontractbepalingen, bindende bedrijfsvoorschriften, … Deze mechanismen moeten in essentie garanderen dat de persoonsgegevens van Europeanen buiten de EER dezelfde bescherming genieten als onder de GDPR.
In de praktijk is gebleken dat ondernemingen voor internationale doorgiften in grote mate beroep doen op de modelcontractbepalingen. Door de klacht van privacy activist Schrems komt dat mechanisme op de helling te staan. Het Hof van Justitie kan immers nog steeds een ander arrest vellen. Bovendien werden de huidige modelcontractbepalingen opgesteld door de Europese Commissie onder de oude wetgeving en worden ze daarom momenteel herzien.
Wat u moet doen.
Voor zover dat nog niet werd gedaan, is dit het uitgelezen moment voor uw onderneming om alle doorgiften van persoonsgegevens buiten de EER te identificeren en te evalueren. Ook in de voorbereidingen op de Brexit is dit een belangrijk element.
Op basis van de locatie van de ‘ontvangende’ ondernemingen kan uw onderneming nagaan of een adequaatheidsbesluit voorhanden is voor dat specifieke land. Uw onderneming hoeft dan verder niets te doen. Indien een dergelijk adequaatheidsbesluit niet voorhanden is, moet u nagaan of u kan terugvallen op één van de passende waarborgen, waaronder bijv. de modelcontractbepalingen, dan wel op één van de uitzonderingsgronden.
Indien uw onderneming gebruik maakt van modelcontractbepalingen is er op dit ogenblik nog geen reden tot paniek. De Advocaat-Generaal bevestigde in zijn opinie de geldigheid van de modelcontractbepalingen. Het blijft wel afwachten of het Hof van Justitie de Advocaat-Generaal hierin zal volgen – het arrest wordt verwacht in de eerste maanden van 2020 – en wanneer de Europese Commissie nieuwe modelcontractbepalingen zal uitvaardigen.
