Sinds 2018 is de Algemene Verordening Gegevensbescherming ''AVG'' of in het Engels: ''GPDR'') in Europa ingevoerd, waardoor in de gehele Europese Unie (''EU'') een gelijkwaardig niveau van bescherming van persoonsgegevens van kracht is. Door de invoering van de AVG werd het mogelijk om vrij gemakkelijk persoonsgegevens binnen de EU te delen. Aangezien niet ieder land een gelijkwaardig beschermingsniveau voor persoonsgegevens kent, heeft de AVG regels gesteld aan de doorgifte van Europese persoonsgegevens buiten de EU.

Om persoonsgegevens buiten de EU te mogen delen, moet de verwerkingsverantwoordelijke of verwerker die deze gegevens wil doorgeven passende waarborgen treffen ter bescherming van de persoonsgegevens. Een mogelijke manier om passende waarborgen te treffen, is door het toepassen van de door de Europese Commissie goedgekeurde standaardbepalingen inzake gegevensbescherming, beter bekend als de 'Standard Contractual Clauses' (''SCC's'').

De SCC's zijn modelcontractbepalingen die in beginsel ongewijzigd tussen de verzender en ontvanger van de persoonsgegevens moeten worden toegepast. Tot 27 juni 2021 waren er drie verschillende modellen SCC's goedgekeurd door de Europese Commissie, afhankelijk van of de verzender en ontvanger van de persoonsgegevens als verwerkingsverantwoordelijke of als verwerker kwalificeerde.

Op 27 juni 2021 heeft de Europese Commissie een nieuwe model SCC's goedgekeurd die alle drie de eerder vastgestelde SCC's vervangt. Het nieuwe model SCC's is flexibeler dan de oude SCC's en bestrijkt meerdere situaties. Zo kan het nieuwe model worden toegepast in het geval van:

• doorgifte van verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke;
• doorgifte van verwerkingsverantwoordelijke naar verwerker;
• doorgifte van (sub)verwerker naar (sub)verwerker; en
• doorgifte van (sub)verwerker naar verwerkingsverantwoordelijke.

Aangezien het nieuwe model alle oude modellen SCC's vervangt, moeten reeds toegepaste SCC's worden vervangen door het nieuwe model. Bedrijven die nu al een doorgifte op basis van SCC's laten plaatsvinden, krijgen in totaal 18 maanden de tijd om hun huidige SCC's in lijn te brengen met de het nieuwe model. Dit betekent dat de oude SCC's uiterlijk op 27 december 2022 moeten zijn vervangen door het nieuwe model. De Nederlandse versie van het nieuwe model SCC's kan worden geraadpleegd via hier.

Let op: Sinds de uitspraak van het Hof van Justitie in Schrems II in juli 2021 kan een doorgifte van persoonsgegevens alleen rechtsgeldig op basis van SCC's plaatsvinden indien de ontvanger van de persoonsgegevens zich bevindt in een land met een gelijkwaardig beschermingsniveau. Indien er geen gelijkwaardig beschermingsniveau is, dienen er voor de doorgifte – naast passende waarborgen – ook nog aanvullende maatregelen te worden getroffen voordat de doorgifte rechtsgeldig kan plaatsvinden. Dit geldt onder meer voor de doorgifte van persoonsgegevens aan de Verenigde Staten.

Mocht u hulp nodig hebben bij het implementeren van het nieuwe model SCC's of andere vragen hebben over de doorgifte van persoonsgegevens buiten de EU, neem dan gerust contact op met Larissa Peereboom-Bogers.