Europese Commissie kondigt nieuwe SCCs aan

02/10/2024 – De recentelijke boete die de Autoriteit Persoonsgegevens aan Uber oplegde zit nog vers in het geheugen, terwijl de Europese Commissie vlak daarna alweer aankondigde in het vierde kwartaal van 2024 een publieke consultatie te starten voor nieuwe modelcontracten (SCCs). Deze SCCs zijn gericht op internationale doorgifte naar verwerkingsverantwoordelijken en verwerkers in derde landen die direct onder de Algemene Verordening Gegevensbescherming (‘AVG’) vallen. Een situatie die nog niet gecoverd is onder de huidige SSCs. In deze blog leg ik uit waarom de nieuwe SCCs van grote betekenis kunnen zijn voor uw organisatie.  

Een korte terugblik, wat zijn SCCs?   

Doorgifte van persoonsgegevens aan organisaties in landen buiten de EER is niet zomaar toegestaan, omdat deze landen geen beschermingsniveau kennen dat gelijk is aan of vergelijkbaar met het beschermingsniveau dat de AVG biedt. Daarom moeten er passende waarborgen worden getroffen. Een van deze waarborgen betreft het sluiten van SSCs. Andere doorgifte instrumenten zijn doorgifte op basis van een adequaatheidsbesluit, binding corporate rules (BCRs) of specifieke uitzonderingen uit artikelen 48-49 AVG. De SCCs, opgesteld door de Europese Commissie, zijn openbaar beschikbare modelclausules die door organisaties kunnen worden gebruikt om hun doorgiften tussen EER-landen en landen buiten de EER te beschermen, ook wel doorgiften genoemd tussen een gegevensexporteur (gevestigd in de EER) en gegevensimporteur (gevestigd buiten de EER). 

De huidige SCCs bestaan sinds juni 2021. Sindsdien is ook een discussie ontstaan over het toepassingsgebied van deze SCCs. Zo zijn de SCCs opgesteld voor situaties waarin de gegevensexporteur gevestigd is in de EER of anderzijds valt onder het toepassingsgebied van de AVG en de gegevensimporteur gevestigd is buiten de EER en niet valt onder dit toepassingsgebied. De SSCs lijken daarmee niet geschikt voor situaties waarin de gegevensimporteur rechtstreeks onder de het territoriale toepassingsgebied van de AVG valt. Het territoriaal toepassingsgebied houdt in dat niet alleen verwerkingsverantwoordelijke gevestigd in de Unie gehouden zijn aan de AVG. Artikel 3 AVG stelt namelijk dat de AVG ook van toepassing is op verwerkingsverantwoordelijke die buiten de Unie zijn gevestigd en goederen of diensten aanbieden aan personen in de Unie of gedrag van personen in de Unie monitoren.  

Hierdoor zijn twee belangrijke vragen ontstaan:  

• Kunnen de huidige SCCs als rechtsgeldig doorgifte instrument worden gebruikt voor situaties waarin een gegevensimporteur zelf rechtstreeks onder de AVG valt?
• Indien het antwoord daarop nee luidt, kunnen organisaties dan helemaal geen persoonsgegevens rechtsgeldig doorgeven aan derde landen wanneer dat land niet over een adequaatheidsbesluit beschikt, de organisatie geen BCRs heeft en er geen sprake is van incidentele doorgifte?  

Voor de VS geldt een bijzonder adequaatheidsbesluit: het Data Privacy Framework. Meer lezen over gegevensdoorgifte aan de VS? Klik dan hier.  

Waarom is dit belangrijk?  

Deze vragen staan centraal in de hoogste boete die de Autoriteit Persoonsgegevens  (‘AP’) ooit heeft opgelegd. In augustus 2024 publiceerde de AP het boetebesluit, waarin zij Uber een boete van 290 miljoen euro oplegt voor het doorgeven van persoonsgegevens aan haar vestiging in de VS zonder rechtsgeldig doorgiftemechanisme in de periode tussen augustus 2021 en november 2023. Voor augustus 2021 maakte Uber gebruik van SCCs voor de doorgifte en in november 2023 is Uber gecertificeerd voor het Data Privacy Framework (EU-VS adequaatheidsbesluit). In de tussentijd had Uber de SCCs verwijderd uit haar intra-group data processing agreement. Had Uber hier anders moeten handelen?  

Uber beargumenteerde dat zij een gecentraliseerde IT-infrastructuur hanteert waardoor persoonsgegevens direct opgeslagen worden in de VS. Daarnaast zijn Uber B.V. en het Amerikaanse UTI gezamenlijk verwerkingsverantwoordelijk. Met beide argumenten betoogt Uber dat er geen doorgifte plaats zou hebben gevonden van een gegevensexporteur in de EER naar een gegevensimporteur buiten de EER. Wat ook meewoog voor Uber was een Q&A van de Europese Commissie (EC) in 2021 waarin de EC had aangegeven dat de nieuwe SCCs niet gebruikt konden worden wanneer de gegevensimporteur gevestigd is buiten de EER en direct valt onder de AVG. Bovendien had de EC in 2021 aangekondigd aanvullende SCCs te ontwikkelen voor dit specifieke scenario en zijn deze tot op heden nog niet gepubliceerd.  

De AP verwerpt deze argumenten van Uber. Zij vindt dat gezamenlijke verwerkingsverantwoordelijke partijen niet uitgesloten zijn van de doorgifte bepalingen uit de AVG. Ook is er sprake van doorgifte wanneer persoonsgegevens direct worden opgeslagen in een IT-infrastructuur buiten de EER. Daarnaast kon Uber volgens de AP niet afleiden uit een Q&A van de EC dat SCCs of andere doorgifte instrumenten niet nodig zouden zijn in dit geval.   

Waarom nieuwe SCCs?   

Zoals zojuist beschreven is er juridische onduidelijkheid ontstaan die tot grote gevolgen kan leiden voor uw organisatie. De Europese Commissie wil met deze langverwachte nieuwe SCCs heldere verplichtingen stellen voor gegevensimporteurs gevestigd buiten de EER, die onder het territoriale toepassingsgebied van de AVG vallen. De publieke consultatie zal in Q4 starten en de conceptversies van de SCCs zullen naar verwachting in Q2 van 2025 worden goedgekeurd. 

Wat nu?  

Internationale doorgifte blijft voor veel organisaties een lastig vraagstuk. De recente boete van de AP aan Uber toont echter aan dat het verstandig is om dit onderwerp boven op de agenda te zeten. Maar waar te beginnen? Begin in ieder geval met het beantwoorden van de volgende vragen:   

• Aan welke organisaties of vestigingen geeft uw organisatie persoonsgegevens door? 
• In welke landen bevinden deze organisaties of vestigingen zich?  
• Kunt u deze doorgifte baseren op een adequaatheidsbesluit?  
• Zo niet, beschikt uw organisatie over BCRs? 
• Zo niet, zijn met deze partijen SSCs gesloten?  
• Zo ja, welke versie van de SSCs en moeten uw contracten nu – of in de toekomst – worden geactualiseerd?