Doorgifte van persoonsgegevens naar derde landen

Transcriptie

1 Doorgifte van persoonsgegevens naar derde landen Laura De Boel Senior Associate Wilson Sonsini Goodrich & Rosati 1

2 Doorgifte van persoonsgegevens Wat is een gegevensdoorgifte? Wat is de basisregel? Vrije doorgifte van gegevens binnen de EER. Verbod op doorgifte van gegevens buiten de EER. 2

3 Mechanismen voor gegevensdoorgifte in GDPR 1. Adequacy decision van Europese Commissie Privacy Shield. Derde landen. Gebied. Bepaalde sector in derde land. Internationale organisatie. Zonder «adequacy decision» 2. Passende waarborgen BCRs. Modelovereenkomsten. Goedgekeurde gedragscodes en certificeringsmechanismen samen met bindende en afdwingbare toezeggingen. Ad hoc contracten met toestemming van toezichthoudende autoriteit. Zonder «adequacy decision» of passende waarborgen 3. Afwijkingen Toestemming. Dwingende gerechtvaardigde belangen van de verantwoordelijke Gewichtige redenen van algemeen belang 3

4 «Adequacy Decision» De Europese Commissie heeft slechts enkele landen erkend als «adequaat» : Andorra Argentinië Canada (voor verwerkingen die vallen onder de Canadese PIPEDA-wet) Guernsey Isle of Man Faeröer Eilanden Israël Jersey Nieuw-Zeeland Zwitserland Uruguay Safe Harbor (Verenigde Staten) Privacy Shield (Verenigde Staten) Een adequacy decision kan worden aangenomen m.b.t.: Een derde land; Een gebied ; Een bepaalde sector in een derde land ; of Een internationale organisatie. Nieuw sinds GDPR! Criteria voor adequacy : Adequacy = een beschermingsniveau «in feite overeenkomend met het niveau dat in de Unie wordt verzekerd» Vereisten van Schrems arrest. De Europese Commissie moet «adequacy decisions» om de 4 jaar evalueren en kan ze intrekken, wijzigen of opschorten. 4

5 Passende waarborgen (1) Bindende bedrijfsvoorschriften (BCRs). In tegenstelling tot de Richtlijn, voorziet de GDPR expliciet BCRs. Langdurige en complexe procedure, vooral interessant voor grote multinationals. «Haute couture» van de mechanismen voor gegevensdoorgiftes. BCRs kunnen worden opgesteld door ondernemingen die geen onderdeel uitmaken van dezelfde groep, maar die gezamenlijk een economische activiteit uitoefenen. GDPR voorziet de minimale inhoud van BCRs in 14 punten. Controlemechanisme. 5

6 Passende waarborgen (2) Overeenkomsten voor gegevensdoorgifte. «Standard contractual clauses» (SCC) = Standaardbepalingen die niet gewijzigd mogen worden. Eigenschappen van SCC: Derdenbeding. Audits. Beperking op subverwerking. Soorten SCC: SCC vastgesteld door de Europese Commissie : C2C C2C C2P Voorstel P2P «Ad hoc» contract met toestemming van toezichthoudende autoriteit. SCC vastgesteld door een toezichthoudende autoriteit en goedgekeurd door de Europese Commissie. 6

7 Passende waarborgen (3) Gedragscodes en certificeringsmechanisme. Gedragscodes zullen worden opgesteld door organisaties die bepaalde sectoren vertegenwoordigen. Certificeringen, labels en merktekens zullen worden afgegeven door de toezichthoudende autoriteit of certificeringsorgaan. Gedragscodes en certificeringen zullen enkel een basis vormen voor gegevensdoorgifte indien ze gepaard gaan met bindende en afdwingbare toezeggingen. WP29 zal richtlijnen m.b.t. certificering opstellen. 7

8 Afwijkingen GDPR behoudt de bestaande afwijkingen, maar met beperkingen : De toestemming : Moet uitdrukkelijk zijn (en ook vrij, specifiek en ondubbelzinnig). Informatieplicht m.b.t. de risico s van de doorgifte zonder «adequacy» of passende waarborgen. De «gewichtige redenen van algemeen belang» dienen erkend te zijn in EU of nationaal recht. Nieuwe uitzondering : de «dwingende gerechtvaardigde belangen» van de verwerkingsverantwoordelijke. Beperkt toepassingsgebied : Enkel indien doorgifte niet repetitief is en slechts een beperkt aantal betrokkenen betreft. Enkel indien belangen van verantwoordelijke niet ondergeschikt zijn aan belangen of rechten en vrijheden van betrokkene. Enkel indien verantwoordelijke alle omstandigheden in verband met doorgifte heeft beoordeeld en op basis van die beoordeling passende waarborgen biedt. Extra verplichtingen : Informatie aan toezichthoudende autoriteit en betrokkenen m.b.t. de doorgifte. Documentatie in register van de verwerkingsactiviteiten. 8

9 Van Safe Harbor naar Privacy Shield Privacy Shield (EU VS) vervangt Safe Harbor. Schrems arrest Safe Harbor (EU VS) Sinds 1 augustus 2016 kunnen Amerikaanse bedrijven zich registreren voor Privacy Shield via Privacy Shield (EU VS) Annulatieprocedures EU HvJ Privacy Shield wordt betwist : Al meer dan 2000 Privacy Shield-bedrijven.? Digital Rights Ireland (zaak T-670/16). La Quadrature du Net (zaak T-738/16). En ook: Privacy Shield (Zwitserland VS) sinds 12 januari 2017 (registraties sinds 12 april). 9

10 Schrems II Zaak Schrems II Betwisting van SCC 2015: Na Schrems I komt de zaak terug bij Ierse DPA. 2016: Ierse DPA vraagt aan Ierse High Court om de zaak naar EU HvJ te verwijzen voor prejudiciële vraag m.b.t. geldigheid SCC. 2017: Wachten op beslissing Ierse High Court (zittingen in februari en maart). 10

11 Sancties voor schending van doorgifteregels Vanaf 25 mei 2018 tot of 4 % van de totale wereldwijde jaaromzet (indien dit cijfer hoger is). 11

12 Voorbeeld 1 Belgisch bedrijf Call center in Marokko Welk doorgiftemechanisme gebruiken en waarom? a. BCRs? b. SCC? c. Andere? 12

13 Voorbeeld 2 Contract A Belgisch bedrijf Verwerker in VS Welke verplichtingen in contracten A et B? Contract B a. Als de VS verwerker zich bij Privacy Shield heeft aangesloten? b. Als de verantwoordelijke in België en de VS verwerker SCC hebben afgesloten? Subverwerker in India 13

14 Voorbeeld 3 Verwerker in Mexico Hoofdkantoor in VS Filiaal in België Filiaal in Japan Gecentraliseerde database Hoe de doorgiftes dekken? Filiaal in Brazilië a. C2C + verdere doorgiftes b. Intragroepovereenkomst c. BCRs 14

15 Vragen? Bedankt! Laura De Boel 15