Door Nick Vrugt | Algemeen | 28 juni 2021 | 3 min. leestijd
De Europese Commissie (EC) heeft op 4 juni 2021 een nieuw modelcontract voor de internationale doorgifte van persoonsgegevens gepubliceerd. En dat werd tijd. De oude modelcontracten dateren nog van ruim vóór de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG). In deze blog leg ik uit wat het modelcontract is en wanneer deze moet worden overeengekomen.
Internationale doorgifte en het modelcontract
De hoofdregel is dat doorgifte van persoonsgegevens aan partijen buiten de Europese Economische Ruimte (EER) (“derde landen”) alleen is toegestaan als dat derde land een passend beschermingsniveau biedt.
Van een passend beschermingsniveau is sprake als de EC heeft besloten dat dit derde land een passend beschermingsniveau waarborgt. Zo’n besluit van de EC wordt een adequaatheidsbesluit genoemd.
Als er geen adequaatheidsbesluit geldt voor een derde land, dan kan de doorgifte van persoonsgegevens naar dat derde land nog plaatsvinden als er passende waarborgen worden genomen voor de betrokkenen. Deze passende waarborgen kunnen op verschillende wijzen worden gerealiseerd. Bijvoorbeeld door het sluiten van een modelcontract (artikel 46.2 sub c AVG). Dit is een door de EC vastgesteld document met standaardbepalingen voor de verwerking van persoonsgegevens.
Het nieuwe modelcontract
Het door de EC vastgestelde en gepubliceerde document bestaat uit een algemeen deel met bepalingen die dienen te worden overeengekomen tussen iedere verstrekker en ontvanger van de persoonsgegevens. Daarnaast bestaat het document uit vier modules die – afhankelijk van de rol van partijen – dienen te worden overeengekomen. Het document bestaat uit de volgende modules:
- doorgifte van verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke
- doorgifte van verwerkingsverantwoordelijke naar verwerker
- doorgifte van verwerker naar verwerker
- doorgifte van verwerker naar verwerkingsverantwoordelijke
Het nieuwe modelcontract biedt daarmee voor meer situaties uitkomst dan de oude modelcontracten. De oude modelcontracten waren immers alleen vastgesteld voor de doorgifte tussen twee verwerkingsverantwoordelijken en de doorgifte van een verwerkingsverantwoordelijke naar een verwerker. Indien dit niet passend was op een situatie, dan moesten partijen zelf gaan “knutselen” aan de modelcontracten. Met het nieuwe modelcontract zal dat minder snel nodig zijn.
Een ander pluspunt aan het nieuwe contract is dat deze geschreven is met inachtneming van de AVG. Het nieuwe modelcontract sluit dus beter aan bij de huidige situatie en bij de verplichtingen van beide partijen.
Vervang de oude modelcontracten tijdig!
De bepalingen in het nieuwe modelcontract vervangen de oude modelcontracten die door de EC waren vastgesteld onder de – inmiddels ingetrokken – Privacyrichtlijn.
Partijen die gebruik maken van de oude modelcontracten hebben 18 maanden om het nieuwe modelcontract overeen te komen.
Heb je met bepaalde partijen de oude modelcontracten gesloten? Zorg dan dat je deze tijdig vervangt door het nieuwe modelcontract! We helpen je hier graag bij. Ook helpen we je vanzelfsprekend graag bij een algemeen advies over (het sluiten van) het nieuwe modelcontract.
