14 december 2020

Schrems-saga heeft een vervolg: nieuwe concept SCC’s onder de loep

AVG

Afgelopen juli heeft het Hof van Justitie van de Europese Unie het Privacy Shield met onmiddellijke ingang ongeldig verklaard. Dit gebeurde in de spraakmakende Schrems II-zaak. Deze uitspraak legde een bom onder het internationale dataverkeer en de onzekerheid neemt toe. Eerder berichtten wij al over de aanbevelingen van de EDPB. In dit bericht een update en onze input op de ‘Standard Contractual Clauses’ (SCC’s).  

Onze feedback

Op 12 november jl. heeft de Europese Commissie een tweetal concept Standard Contractual Clauses gepubliceerd. Dit zijn modelcontracten die ervoor moeten zorgen dat het beschermingsniveau van data buiten de EU/EER gelijk is aan dat van binnen de EU. De consultatieperiode is gesloten op 10 december jl. Mede dankzij input van onze leden hebben wij uitvoerig kunnen reageren.

Zowel op de SCC’s voor de ‘Verwerkingsverantwoordelijke – verwerker’ als die voor de ‘Doorgifte naar derde landen’ hebben we feedback aangeleverd. Waarbij laatstgenoemde SCC’s met name van belang zijn in de Schrems-saga.

Onze reacties op de Standard Contractual Clauses kun je hier en hier vinden.

We hebben in onze reacties een aantal algemene punten gemaakt en een gedetailleerde tabel met aanbevelingen. De algemene punten noemen we hieronder kort en de gedetailleerde punten kun je vinden in de ingediende reacties.

SCC’s: Verwerkingsverantwoordelijke – Verwerker

  1. De SCC’s gaan nagenoeg niet in op plichten voor de verwerkingsverantwoordelijke. Als verwerker ben je daarmee in het nadeel, terwijl de SCC’s juist bedoeld zijn om (kleinere) verwerkers te ondersteunen. Er moet wat ons betreft een betere balans komen tussen de belangen van de verwerkingsverantwoordelijke en de verwerker.
  2. We vinden het format voor de clausules onlogisch en doen suggesties om de overeenkomst meer flexibel toe te kunnen passen. Datgene wat partijen moeten invullen in de bijlagen (annexes) zou vooraan moeten komen in het document, en de bepalingen die vaststaan (de clauses) zouden naar de achtergrond kunnen schuiven. Precies andersom dan het voorstel dat er nu ligt.
  3. Er worden plichten aan de verwerker opgelegd die volgens de Avg bij de verwerkingsverantwoordelijke horen. Het opleggen van meer verplichtingen dan wettelijk vereist aan verwerkers, is oneerlijk en onwenselijk. We stellen dan ook voor deze te schrappen.

SCC’s: Doorgifte derde landen

  1. We zijn het eens met de ‘risk based approach’ die de EC in tegenstelling tot de EDBP hanteert. Er moet worden gezocht naar harmonisatie tussen de EDBP aanbevelingen, de SCC’s en de Avg.
  2. De transitieperiode van één jaar vinden wij te kort, gelet op de uitdaging waar organisaties voor komen te staan.
  3. De middelen en mogelijkheden voor (kleinere) organisaties zijn vaak te beperkt om het door de SCC’s opgelegde onderzoek te kunnen uitvoeren. Bovendien is dit een politiek probleem dat niet door bedrijven kan worden opgelost. We blijven hier in Den Haag en Brussel aandacht voor vragen.
  4. Ook hier vinden wij het format weer onlogisch, net als hierboven onder 1. genoemd bij de andere SCC’s.
  5. We hebben praktische bezwaren tegen de plicht voor verwerkingsverantwoordelijken om partij te zijn bij de SCC’s in het geval dat module 3 (P2P) gebruikt wordt.

Input op openstaande consultatie EDPB

De EDBP heeft momenteel ook een consultatie openstaan tot 21 december aanstaande. Wij hebben daar al eerder over bericht en zullen er uitvoerig op gaan reageren. Als jullie input willen geven, dan is die van harte welkom. Er moet een werkbare handreiking komen, zodat er een oplossing komt die overeenstemt met de middelen en mogelijkheden van de meeste (Nederlandse) organisaties. Daarnaast biedt dit een mogelijkheid om de aanbevelingen te laten aansluiten bij de net besproken meer pragmatische en realistische concept standaardclausules van de Europese Commissie.

[Update 4 januari 2021: inmiddels heeft NLdigital een reactie ingediend bij de ‘European Data Protection Board’ (EDPB). Onze reactie vind je hier.]  

Hoe helpt NLdigital jouw organisatie?

Heb je vragen hierover of wil je dat we je voorzien van breder Avg-advies? Op onze website en in ons Data Pro oriëntatiepakket vind je veel informatie over specifieke onderdelen van de Avg. Onze juristen geven advies en ondersteuning op het gebied van privacy en Avg. Ook kunnen bedrijven die hun klanten willen laten zien dat ze privacy serieus nemen en verantwoord omgaan met persoonsgegevens, zich laten certificeren. Certificering gebeurt op basis van de Avg-gedragscode van NLdigital, de Data Pro Code.

NLdigital respecteert jouw privacy. Daarom geven we je de controle over de manier waarop wij met je data omgaan.

In onze privacyverklaring lees je hoe we dat doen. Hieronder lees je over de cookies die we gebruiken.

Privacystatement
Instellingen

NLdigital respecteert jouw privacy

Daarom geven we je de controle over de manier waarop wij met je data omgaan. In onze privacyverklaring lees je hoe we dat doen. Hieronder lees je over de cookies die we gebruiken.

Deze cookies zijn noodzakelijk voor het tonen van de website en de bijbehorende functionaliteit, en voor het uitvoeren van de gevraagde dienstverlening.

Lees meer

We optimaliseren continu onze website. Daarvoor analyseren we websitebezoek via Google Analytics. Dit hebben we op de privacyvriendelijke wijze, volgens de handleiding van de Autoriteit Persoonsgegevens, ingericht.

Lees meer

Met Linkedincampagnes introduceren we ons collectief en onze diensten in de digitale sector. We slaan gegevens over websitebezoek op om de effectiviteit van onze advertenties te meten, om advertenties te leveren die relevant zijn en om het aantal keren dat je een advertentie ziet te beperken.

Lees meer
Vergeet alles Jouw voorkeuren zijn verwijderd