GDPR – Derde Landen

Gezien de internationale handel en samenwerking is het tegenwoordig essentieel om ook gegevens naar derde landen te kunnen verzenden. Het onderzoeken van de rechtmatigheid van een dergelijke overdracht gebeurt in twee fasen.

Ten eerste moet de gegevensoverdracht zelf legaal zijn. Elke verwerking van persoonsgegevens is verboden, maar er kan een machtiging worden verleend. Naast toestemming geeft Art. 6 van de Algemene Verordening Gegevensbescherming (AVG) verdere rechtvaardigingsgronden, zoals het uitvoeren van een contract of het beschermen van vitale belangen. Voor bijzondere persoonsgegevens die een hoger beschermingsniveau vereisen, stelt Art. 9 van de AVG afzonderlijke wettelijke vereisten.

Indien de voorgenomen gegevensoverdracht aan de algemene vereisten voldoet, moet in een tweede stap worden nagegaan of overdracht naar het derde land is toegestaan. Er moet een onderscheid worden gemaakt tussen veilige en onveilige derde landen. Veilige derde landen zijn die waarvoor de Europese Commissie een passend niveau van gegevensbescherming heeft bevestigd op basis van een adequaatheidsbeslissing. In die landen bieden nationale wetten een beschermingsniveau voor persoonsgegevens dat vergelijkbaar is met dat van de EU-wetgeving. De derde landen die een passend beschermingsniveau garanderen zijn: Andorra, Argentinië, Canada (alleen commerciële organisaties), Faeröer Eilanden, Guernsey, Israël, Isle of Man, Jersey, Nieuw-Zeeland, Zwitserland, Uruguay, Japan, het Verenigd Koninkrijk en Zuid-Korea. Gegevensoverdracht naar deze landen is uitdrukkelijk toegestaan.

Sinds 10 juli 2023 is er een adequaatheidsbesluit voor het zogenaamde EU-VS Data Privacy Framework. Dit stelt de overdracht van persoonsgegevens vanuit de EU naar Amerikaanse bedrijven en organisaties die zich door middel van certificering hebben aangemeld voor het Data Privacy Framework, mogelijk. De bedrijven en organisaties die al zijn gecertificeerd, zijn te vinden in deze lijst. Gegevensoverdrachten naar niet-gecertificeerde Amerikaanse bedrijven en organisaties kunnen niet langer worden gebaseerd op het Uitvoeringsbesluit van de Commissie (EU) 2016/1250 van 12 juli 2016 overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad inzake de adequaatheid van het EU-VS gegevensbeschermingsschild (Privacy Shield). Want met het arrest “Schrems II” van 16 juli 2020 (in zaak C-311/18), verklaarde het Hof van Justitie van de EU dit Uitvoeringsbesluit met onmiddellijke ingang ongeldig. Gegevensoverdrachten naar niet-gecertificeerde Amerikaanse bedrijven en organisaties vereisen andere garanties, volgens Art. 44 e.v. AVG, om een adequaat niveau van gegevensbescherming te creëren.

Als er geen adequaatheidsbesluit voor een land is, sluit dit een gegevensoverdracht naar dat land niet noodzakelijkerwijs uit. De verwerkingsverantwoordelijke moet er op een andere manier voor zorgen dat de persoonsgegevens voldoende worden beschermd door de ontvanger. Dit kan worden verzekerd door het gebruik van standaardcontractbepalingen, voor gegevensoverdracht binnen een groep via zogenaamde “bindende bedrijfsvoorschriften,” door de verplichting om te voldoen aan gedragscodes die door de Europese Commissie als algemeen toepasselijk zijn verklaard, of door de certificering van de gegevensverwerkingsprocedure.

Bovendien zijn er verschillende uitzonderingen die gegevensoverdracht naar een derde land legitimeren, zelfs als de bescherming van persoonsgegevens niet voldoende kan worden gewaarborgd. Meestal is de toestemming van de betrokkene hier relevant. Tegelijkertijd moet men vooral letten op de vereisten voor het geven van een dergelijke toestemming uit vrije wil. Verdere uitzonderingen, zoals overdracht voor het nakomen van contracten, belangrijke redenen van algemeen belang en de uitoefening van wettelijke rechten, zijn in de praktijk meestal minder relevant.