Doorgifte van persoonsgegevens naar landen en organisaties buiten de EU

Auteur: Helmi van Bergen, werkzaam als zelfstandig juridisch adviseur en als voorlichter bij Grensinfopunt Maastricht en de ZZP-desk. Dit artikel is geschreven op persoonlijke titel (info@juridiqua.nl) De AVG, GDPR of in het Duits DS-GVO, is een Verordening, die rechtstreekse werking heeft in de EU. Dat betekent dat alle 27 landen van de EU(1) en de landen van de EER(2) zich dienen te houden aan de regels van de AVG. In elk land van de EU heeft de AVG hetzelfde beschermingsniveau voor de verwerking van persoonsgegevens. Een van de dingen die de AVG regelt is de doorvoer van persoonsgegevens van het ene land, bijvoorbeeld Nederland naar een ander land in de EU. Binnen de EU is het doorvoeren van persoonsgegevens toegestaan, uiteraard met inachtneming van alle andere regels van de AVG. Maar geldt dat ook voor doorvoer van persoonsgegevens aan landen en organisaties van buiten de EU? En zo ja, onder welke voorwaarden? Voorwaarden De EU heeft het sterkste gegevensverwerkingsregime ter wereld. Wanneer je dus gegevens wilt laten verwerken door landen of organisaties in landen buiten de EU, zouden in deze landen hetzelfde gegevensbeschermingsniveau als in de EU moeten gelden. Aangezien dat natuurlijk niet overal het geval is, staan in de AVG de regels en voorwaarden, die aangeven onder welke voorwaarden doorvoer van persoonsgegevens naar landen buiten de EU mogelijk is. In eerste instantie zal bepaald moeten worden of de AVG van toepassing is op de organisaties, die vanuit buiten de EU persoonsgegevens verwerken in de EU. Ten tweede zal er bepaald moeten worden of de verwerking en doorvoer van persoonsgegevens naar landen buiten de EU volgens de AVG mag. Bepaald dient te worden of er een adequaat beschermingsniveau is voor het betreffende land en/of de betreffende organisatie. AVG / GDPR van toepassing Volgens artikel 3 AVG is de AVG van toepassing op verwerkers van persoonsgegevens, die een vestiging hebben in de EU. Uiteraard zijn op alle EU-verwerkers de AVG van toepassing. De algemene regel is dat de AVG van toepassing is bij de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke of de verwerker is gevestigd in de EU. Er zijn echter ook volgens dit artikel 3 vier situaties waarop de AVG van toepassing is van verwerkers, die niet in de EU gevestigd zijn: wanneer het gaat om activiteiten van de vestiging van een bijkantoor of een dochteronderneming van een internationaal concern. Ook wanneer het hoofdkantoor van dit concern bepaalt hoe de verwerking van persoonsgegevens uitgevoerd wordt &eacute;n als de activiteiten van het concern via het bijkantoor of de dochteronderneming zich richten op personen in de EU; wanneer de organisatie niet gevestigd is in de EU, maar zich wel bewust richt op EU-burgers. De organisatie biedt producten en/of diensten aan EU-burgers en verzamelt gegevens over die EU-burgers. Het gaat in deze situatie om de feiten en omstandigheden, die bepalen of dit inderdaad zo is. Bijvoorbeeld een website met een extensie .nl of .de, de taal van de website of het maken van reclame voor die betreffende website. Is de AVG van toepassing dan zal deze organisatie een vertegenwoordiger moeten aanstellen, die de organisatie vertegenwoordigt op EU-grondgebied. wanneer een organisatie niet gevestigd is in de EU, maar wel het gedrag van EU-burgers monitort of observeert in de EU. Dit zal voornamelijk via internet plaatsvinden. Voorbeelden hiervan zijn profiling en behavioral advertising. Ook in deze situatie dient de organisatie, wanneer de AVG van toepassing is, een vertegenwoordiger aan te stellen, die deze organisatie vertegenwoordigt op EU-grondgebied. Wanneer het ambassades, consulaten en/of andere internationaalrechtelijke organisaties betreft. Voorbeeld de Nederlandse ambassade in de VS. Hier is de AVG van toepassing. Adequaat beschermingsniveau Zoals al gezegd is het beschermingsniveau van de EU het sterkste van de wereld. Dus een land met een gelijkwaardig niveau bestaat niet. Voor de verwerking van persoonsgegevens buiten de Europese Unie moet in elk geval een grondslag voor deze verwerking bestaan. Daarnaast dient de legitimiteit voor de gegevensdoorvoer naar landen buiten de EU beoordeeld te worden. Hiervoor zijn er drie vragen, die in deze volgorde beantwoordt dienen te worden: Heeft het land een adequaat beschermingsniveau voor de verwerking van persoonsgegevens? Indien ja, dan is de doorvoer van persoonsgegevens geoorloofd. Indien het antwoord op vraag 2 negatief is, dan dient de vraag gesteld te worden of de organisatie waarnaartoe de persoonsgegevens worden gestuurd een adequaat beschermingsniveau heeft. Indien ja, dan is in dit geval de doorvoer van persoonsgegevens geoorloofd. Indien de antwoorden op de vorige vragen negatief zijn, dan kan er alleen doorvoer van persoonsgegevens plaatsvinden wanneer er een uitzonderingsgrond van toepassing is. Uiteraard is doorvoer van persoonsgegevens niet legitiem, indien op alle drie de voorgaande vragen negatief is geantwoord. Een land met een adequaat beschermingsniveau De Europese Commissie heeft op grond van artikel 45 AVG bepaald welke landen een adequaat beschermingsniveau hebben. Hiervoor beoordeelt de commissie de privacybescherming in dat land aan de hand van onder andere de volgende criteria: de mate van bescherming van privacy in dat land; dit zal in de kern gelijk moeten zijn aan die van de EU een onafhankelijke toezichthouder, die toeziet op de toepassing van de privacyregels een afdoende bescherming van de subjectieve rechten van datasubjecten. Op dit moment zijn de volgende landen die een adequaat beschermingsniveau hebben: Andorra Argentini&euml; Canada (alleen voor het delen van informatie in de commerci&euml;le sector) Faer&ouml;er Eilanden Guernsey Isra&euml;l Isle of Man Jersey Nieuw-Zeeland Zwitserland Er waren afspraken met de Verenigde Staten &ndash; het zogenaamde privacy shield-, echter door recente rechtspraak (Schrems II) is dit niet meer het geval. De bespreking hiervan is voor dit artikel te uitgebreid en verdient een eigen artikel. Een organisatie met een adequaat beschermingsniveau Wanneer een organisatie in de EU persoonsgegevens wil laten verwerken door een organisatie in een land dat niet door de Europese Commissie als adequaat is aangemerkt, dan is het mogelijk dat er tussen die twee verschillende organisaties of binnen een internationaal concern afspraken worden gemaakt dat de organisatie buiten de EU zich zal houden aan een beschermingsniveau dat ongeveer vergelijkbaar is met de AVG. De toezichthouder van het EU-land geeft ofwel een kader waarbinnen de afspraken gemaakt moeten worden, ofwel keurt vooraf de afspraken goed ofwel achteraf. Het betreft hier de zogenaamde bindende bedrijfsvoorschriften, ook wel genoemd Binding Corporate Rules. In deze Binding Corporate Rules dienen een aantal zaken te worden opgenomen waaronder: de aard en de contactgegevens van de bedrijven; een beschrijving van de implementatie en toepassing van de Fair Information Principles (de beginselen van het gegevensbeschermingsrecht); een beschrijving van de gegevensdoorgifte en de geldende grondslag; de waarborg van de plichten van de verwerkingsverantwoordelijke; het naleven van de rechten van de datasubjecten; een klachtenprocedure; intern toezicht op deze Binding Corporate Rules. Uitzonderingen Indien het betreffende land niet door de Europese Commissie als adequaat is aangewezen en indien er geen Binding Corporate Rules zijn afgesproken, dan kan er een beroep worden gedaan op een uitzondering. Hiervoor moet aan drie cumulatieve eisen worden voldaan: de uitzondering geldt voor &eacute;&eacute;n niet-structurele situatie; ook gelden bij de uitzondering alle beginselen, principles, rechten en plichten zoals beschreven in de AVG; er moet sprake zijn van een van de volgende acht genoemde uitzonderingsgronden, artikel 49 AVG: de betrokkene heeft uitdrukkelijk toestemming verleend; doorgifte persoonsgegevens is noodzakelijk voor de uitvoering van een overeenkomst tussen betrokkene en verwerkingsverantwoordelijke; doorgifte persoonsgegevens is noodzakelijk voor de uitvoering van een overeenkomst tussen de verwerkingsverantwoordelijke en een derde in het belang van de betrokkene; doorgifte is noodzakelijk wegens gewichtige redenen van algemeen belang; doorgifte is noodzakelijk ten behoeve van een rechtszaak; doorgifte is noodzakelijk voor de bescherming van vitale belangen van de betrokkenen of van andere personen; doorgifte is noodzakelijk voor het inrichten van een publiek register; Conclusie De AVG is bij uitstek de strengste wetgeving in de wereld met betrekking tot de bescherming van persoonsgegevens. Om te voorkomen dat door het doorgeven en/of laten verwerken van persoonsgegevens buiten de EU deze bescherming teniet wordt gedaan, heeft de EU bovenstaande regels voor verwerking van persoonsgegevens buiten de EU opgesteld. Een organisatie, gevestigd in de EU, dient zich er dus van bewust te zijn op welke wijze zij met de bescherming van persoonsgegevens niet alleen binnen de EU, maar ook buiten de EU dient om te gaan. Noten 1 Over de AVG tussen de EU en het VK wordt nog onderhandeld. 2 In het vervolg van het artikel zijn overal, waar EU genoemd is, de landen van de EER, IJsland, Liechtenstein en Noorwegen, inbegrepen.

Menu

Doorgifte van persoonsgegevens naar landen en organisaties buiten de EU

Nieuws