Standaardcontractbepalingen

Standaardcontractbepalingen (SCB's) zijn door de Europese Commissie vooraf goedgekeurde juridische sjablonen die organisaties in staat stellen persoonsgegevens vanuit de EU over te dragen naar landen buiten de EU die geen adequate wetgeving inzake gegevensbescherming hebben. Zij functioneren als een contractuele garantie dat de gegevens volgens EU-normen worden beschermd, ook wanneer zij de Unie verlaten.

Juridische grondslag

Standaardcontractbepalingen zijn vastgesteld onder de AVG als mechanisme voor rechtmatige internationale gegevensoverdrachten:

"De Commissie kan [...] standaardbepalingen inzake gegevensbescherming vaststellen voor de in lid 2, onder c) en d), bedoelde aangelegenheden."

— Artikel 46, lid 2, onder c) en artikel 46, lid 2, onder d), Verordening (EU) 2016/679 (AVG)

Waarom het van belang is

Standaardcontractbepalingen zijn essentieel voor elke organisatie die betrokken is bij politieke reclame en persoonsgegevens grensoverschrijdend verwerkt. Wanneer diensten voor politieke reclame gebruikmaken van targetingtechnieken of technieken voor het leveren van advertenties die afhankelijk zijn van persoonsgegevens, en deze gegevens worden overgedragen naar landen buiten de EU/EER, bieden SCB's de juridische grondslag voor deze overdrachten.

Voor uitgevers, aanbieders van diensten voor politieke reclame en sponsors die samenwerken met internationale partners—zoals cloudserviceproviders in de Verenigde Staten, analyseplatforms of wereldwijde advertentienetwerken—zijn SCB's vaak het meest praktische instrument om AVG-naleving te waarborgen. Zonder adequate overdrachtsmechanismen zoals SCB's is het overdragen van persoonsgegevens buiten de EU onrechtmatig en kan dit leiden tot aanzienlijke sancties van gegevensbeschermingsautoriteiten.

Het Hof van Justitie van de Europese Unie heeft duidelijk gemaakt dat SCB's alleen niet altijd voldoende zijn. Organisaties moeten ook beoordelen of de wetgeving van het bestemmingsland de door de bepalingen gewaarborgde bescherming kan ondermijnen en, indien nodig, aanvullende waarborgen treffen.

Kernpunten

• Vooraf goedgekeurde sjablonen: SCB's worden opgesteld door de Europese Commissie en kunnen niet worden gewijzigd in hun inhoudelijke bepalingen, waardoor consistente beschermingsnormen worden gewaarborgd
• Bindende verplichtingen: Zowel de gegevensexporteur (in de EU) als de gegevensimporteur (buiten de EU) zijn contractueel gebonden om de gegevens volgens EU-wetgeving te beschermen
• Beoordeling van de gevolgen van de overdracht vereist: Organisaties moeten beoordelen of de wetgeving van het bestemmingsland de door de SCB's geboden waarborgen kan aantasten
• Meerdere versies beschikbaar: Er bestaan verschillende sets SCB's voor verschillende overdrachtsscenario's (verwerkingsverantwoordelijke-naar-verwerkingsverantwoordelijke, verwerkingsverantwoordelijke-naar-verwerker, verwerker-naar-verwerker)
• Alternatief voor adequaatheidsbesluit: SCB's worden gebruikt bij overdracht van gegevens naar landen die geen EU-adequaatheidsbesluit hebben (zoals de Verenigde Staten na Privacy Shield)
• Monitoring en naleving: Beide partijen moeten voortdurende naleving waarborgen en moeten overdrachten mogelijk opschorten of beëindigen als bescherming niet kan worden gegarandeerd

Standaardcontractbepalingen versus adequaatheidsbesluit

Standaardcontractbepalingen en adequaatheidsbesluit zijn beide juridische mechanismen voor het overdragen van persoonsgegevens buiten de EU, maar zij functioneren anders.

Een adequaatheidsbesluit is een formele vaststelling door de Europese Commissie dat een specifiek land een in wezen gelijkwaardig niveau van gegevensbescherming biedt als de EU. Wanneer een adequaatheidsbesluit bestaat (zoals voor het EU-VS-gegevensbeschermingskader, het Verenigd Koninkrijk of Canada), kunnen gegevens vrij naar dat land stromen zonder aanvullende waarborgen.

Standaardcontractbepalingen worden daarentegen gebruikt wanneer geen adequaatheidsbesluit bestaat. Zij zijn contractuele overeenkomsten die vereisen dat beide partijen zich verbinden tot specifieke verplichtingen inzake gegevensbescherming. Hoewel SCB's flexibiliteit bieden en kunnen worden gebruikt voor elk derde land, vereisen zij actievere implementatie, voortdurende monitoring en beoordelingen van de gevolgen van de overdracht—terwijl adequaatheidsbesluit de naleving vereenvoudigen door deze aanvullende stappen te elimineren.

Gerelateerde termen

• Persoonsgegevens
• Verwerkingsverantwoordelijke
• Verwerker
• AVG
• Derde land
• Gegevensbeschermingsautoriteit
• Beoordeling van de gevolgen van de overdracht
• Adequaatheidsbesluit
• Bindende bedrijfsvoorschriften
• Rechten van betrokkenen