Het arrest Schrems II: doorgifte van persoonsgegevens naar derde-landen herbekeken

Geschreven op 29/07/20

Wat heeft het Hof beslist in Schrems II?

Ten eerste verklaart het Hof het EU-VS privacyschild ongeldig. Volgens haar biedt het door het schild in het leven geroepen regime geen niveau van bescherming van persoonsgegevens dat overeenstemt met het niveau binnen de EU.

Volgens het Hof is de toegang tot en het gebruik van de persoonsgegevens door de Amerikaanse overheid te ruim. Het voorziene ombudsmanmechanisme trekt deze situatie onvoldoende recht. Betrokkenen kunnen bij deze instantie namelijk geen beroep instellen, de besluiten zijn niet bindend voor de Amerikaanse inlichtingendiensten en de onafhankelijkheid van de ombudsman is niet verzekerd.

Het Hof van Justitie bevestigt daarentegen wel de geldigheid van de modelcontractbepalingen inzake gegevensbescherming voor de doorgifte van persoonsgegevens aan derde-landen.

Volgens het Hof voorzien deze in voldoende doeltreffende mechanismen waarmee in de praktijk kan worden gewaarborgd dat het vereiste beschermingsniveau in acht wordt genomen. Dit hangt echter niet alleen af van de contractsbepalingen zelf, maar ook van het rechtssysteem van het data-importland.

Het is bijgevolg aan diegene die de data doorgeeft buiten de EU om geval per geval te evalueren, samen met de ontvanger in het derde-land, of het rechtssysteem van het derde-land een adequaat beschermingsniveau kan voorzien voor gegevens die onder de modelcontractbepalingen worden doorgegeven. Waar noodzakelijk moeten bijkomende beschermingsmaatregelen worden voorzien.

Zijn er onvoldoende garanties voor adequate bescherming in het derde-land en effectieve naleving van de contractuele afspraken, dan voorzien de modelcontractbepalingen dat de verantwoordelijke of de verwerker in de EU (en bij gebreke, de gegevensbeschermingsautoriteit) de doorgifte naar het derde-land moet schorsen of beëindigen.

Wat kan dit betekenen voor uw onderneming?

Indien u voorheen gebruik maakte van het regime van het EU-VS privacyschild om een doorgifte naar de VS te verantwoorden, moet u op zoek naar een andere oplossing voor uw doorgifte.

Bij IP Porta adviseren we in de regel om gebruik te maken van de modelcontractbepalingen (‘SCCs’) in het geval onze cliënten persoonsgegevens doorgeven buiten de EU. Hoewel het Hof de geldigheid van dit mechanisme bevestigt, benadrukt het dat de daadwerkelijke naleving ervan in het importland actief moet worden nagegaan. Mogelijks moeten de garanties van de modelcontractbepalingen worden aangevuld met bijkomende bepalingen of beschermingsmaatregelen, of moet de doorgifte alsnog worden gestaakt.

Ingevolge het arrest ‘Schrems II’ moeten de gebruikte mechanismen voor doorgifte van persoonsgegevens in elke onderneming worden herbekeken. Wij raden u daarbij aan om:

(i) de mogelijkheden na te gaan om de verwerking van persoonsgegevens binnen de EU te houden, en indien mogelijk, de doorgifte te vermijden of te beperken;  

(ii) gepaste maatregelen te nemen om de naleving van de modelcontractbepalingen te kunnen aantonen; 

(iii) indien u van doorgifteregime verandert, gerelateerde interne en externe documentatie aan te passen (privacyverklaringen, intern gegevensbeschermingsbeleid en registers).

 

Marie Verheye en Karen Ongena


Naar het nieuwsoverzicht

Contacteer ons

Kortrijksesteenweg 127
9830 Sint-Martens-Latem
Tel. +32 9 324.15.40
Fax +32 9 324.15.45
info@ipporta.be

Of vul het contactformulier in.