Meer dan ooit worden persoonsgegevens gedeeld met andere partijen. Dat kan zowel op nationaal als op internationaal niveau zijn. Dit verlangt een weloverwogen afweging op basis van gedegen kennis van de wettelijke regels. Het verantwoord delen van persoonsgegevens binnen samenwerkingsverbanden of anderszins verlangt bovendien goede afspraken. Dit is wettelijk vereist en noodzakelijk voor een juiste risicoallocatie.
Doorgifte buiten EU
Bijzondere aandacht behoeft de doorgifte van persoonsgegevens naar landen waar de regels minder strikt zijn dan in Nederland of de andere EU-landen (bijv. in het kader van outsourcing van dienstverlening naar een lagelonenland). Conform de Algemene Verordening Gegevensbescherming is doorgifte van persoonsgegevens binnen de EU in beginsel geen probleem. Doorgifte naar landen buiten de EU is alleen rechtmatig als daarvoor de juiste waarborgen zijn getroffen, zoals het afsluiten van EU Standard Contractual Clauses, Binding Corporate Rules en het in de Verenigde Staten geïntroduceerde Privacy Shield.
Wij adviseren u graag bij het maken van afspraken en vastleggen daarvan met partijen met wie u persoonsgegevens deelt. Uiteraard kunnen wij ook contractteksten voor u opstellen, beoordelen of aanpassen en desgewenst de onderhandelingen voor u voeren.
Wij vertalen strategische keuzes naar operationele contracten. U kunt daarbij denken aan bijvoorbeeld:
-
verwerkersovereenkomsten
-
outsourcingscontracten
-
cloud overeenkomsten
-
privacy policies
-
samenwerkingsovereenkomsten
-
samenwerkingsprotocollen
-
contracten voor internationale doorgifte
Uitdagingen bij internationale doorgifte van gegevens
De internationale doorgifte van persoonsgegevens, vooral buiten de EER, brengt aanzienlijke risico's en complexiteiten met zich mee vanwege de strenge vereisten van de AVG. Naleving van de regelgeving is essentieel om sancties te voorkomen en het vertrouwen van klanten en partners te behouden.
Wettelijke mechanismen voor gegevensdoorgifte
Het is cruciaal om legitieme mechanismen voor gegevensdoorgifte te gebruiken, zoals adequaatheidsbesluiten, standaard contractuele clausules (SCC's), of bindende bedrijfsvoorschriften (BCR's) voor intragroepsoverdrachten. Deze instrumenten helpen bij het waarborgen van een passend beschermingsniveau voor persoonsgegevens bij doorgifte.
Ondernemers en internationale doorgifte
Voor ondernemers die persoonsgegevens internationaal willen overdragen, is het essentieel om de AVG strikt na te leven. Dit betekent het implementeren van geldige overdrachtsmechanismen, het monitoren van gegevensstromen, en het voorbereid zijn op mogelijke datalekken of inbreuken.
Documentatie bij internationale doorgifte
Het correct documenteren van alle aspecten van internationale gegevensdoorgiften is niet alleen een vereiste van de AVG, maar het stelt uw organisatie ook in staat om verantwoording af te leggen en compliance aan te tonen. Hier is een overzicht van essentiële documentatie die u moet bijhouden:
-
1. Rechtmatige mechanismen voor doorgifte:
documenteer welke mechanismen u gebruikt voor elke doorgifte, zoals adequaatheidsbesluiten, standaard contractuele clausules (SCC's), of bindende bedrijfsvoorschriften (BCR's). Zorg ervoor dat kopieën van relevante contracten of overeenkomsten gemakkelijk toegankelijk zijn. -
2. Gegevensbeschermingseffectbeoordelingen (DPIA's):
voer DPIA's uit voor doorgiften die waarschijnlijk een hoog risico vormen voor de rechten en vrijheden van natuurlijke personen en documenteer de bevindingen en maatregelen die zijn genomen om eventuele risico's te verminderen. -
3. Overzicht van doorgiften:
houd een gedetailleerd register bij van alle internationale doorgiften van persoonsgegevens, inclusief informatie over de aard van de gegevens, het doel van de doorgifte, de ontvangende partij en het land, en de toegepaste gegevensbeschermingsmaatregelen. -
4. Toestemmingen:
als de doorgifte is gebaseerd op de toestemming van de betrokkene, documenteer dan hoe, wanneer, en in welke context die toestemming werd verkregen, en hoe een betrokkene zijn toestemming kan intrekken. -
5. Meldingen van inbreuken:
in het geval van een gegevensinbreuk tijdens de doorgifte, documenteer de details van de inbreuk, de effecten, de getroffen individuen, de genomen maatregelen om de inbreuk aan te pakken, en alle communicatie met toezichthoudende autoriteiten en betrokkenen. -
6. Beoordelingen van derde partijen:
als u gegevens doorgeeft aan derden, zorg dan voor gedocumenteerde beoordelingen van hun gegevensbeschermingspraktijken en zekerheden, en houd een overzicht bij van alle derde partijen waaraan u gegevens doorgeeft.
