Modelcontract persoonsgegevens buiten eu opstellen: dit hoort erin

Een modelcontract persoonsgegevens buiten eu opstellen doe je in de praktijk door de juiste Standard Contractual Clauses te kiezen, de bijlagen zorgvuldig in te vullen en de doorgifte te onderbouwen met een transfer impact assessment. De Standard Contractual Clauses zijn de door de Europese Commissie vastgestelde modelbepalingen die als passende waarborg gelden onder artikel 46 AVG. Je neemt die bepalingen ongewijzigd over en vult ze aan met de details van jouw doorgifte. Zo houd je de bescherming van persoonsgegevens ook buiten de EER op AVG-niveau.

Het korte antwoord

• Controleer eerst of er een adequaatheidsbesluit geldt (art. 45 AVG); dan is een modelcontract niet nodig.
• Kies anders de juiste module van de Standard Contractual Clauses (art. 46 AVG).
• Vul de bijlagen in met de gegevens, doeleinden, ontvangers en beveiligingsmaatregelen.
• Voer een transfer impact assessment uit en leg aanvullende maatregelen vast.
• Neem de modelbepalingen ongewijzigd over; passages aanpassen tast de waarborg aan.

Modelcontract persoonsgegevens buiten eu opstellen: de eerste stap

De eerste stap is niet het contract, maar de vraag of je het contract wel nodig hebt. Ga na naar welk land je gegevens doorgeeft en of daarvoor een adequaatheidsbesluit bestaat op grond van artikel 45 AVG. Is dat zo, dan mag je doorgeven zonder aanvullende waarborgen. Ontbreekt zo’n besluit, dan heb je passende waarborgen nodig, en de Standard Contractual Clauses zijn daarvoor de gebruikelijke route.

Breng vervolgens de doorgifte in kaart. Welke persoonsgegevens gaan naar welke partij, voor welk doel en met welke frequentie? Wie is de exporteur en wie de importeur, en in welke rol treden zij op? Dit bepaalt welke module van de Standard Contractual Clauses je nodig hebt. Zonder dit overzicht kun je het contract niet correct invullen, want juist de bijlagen vragen om deze gegevens.

De juiste module en de bijlagen

De Standard Contractual Clauses zijn modulair. Er zijn modules voor de verschillende verhoudingen tussen partijen, bijvoorbeeld van verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke of van verwerkingsverantwoordelijke naar verwerker. Kies de module die past bij jouw situatie. Een verkeerde module maakt het contract juridisch ongeschikt, ook al staat er verder correcte tekst in. Dit is een van de plekken waar het in de praktijk misgaat.

De bijlagen zijn minstens zo belangrijk als de hoofdtekst. Daarin beschrijf je de categorieen persoonsgegevens, de categorieen betrokkenen, de doeleinden van de doorgifte, de bewaartermijnen en de technische en organisatorische beveiligingsmaatregelen. Vul die volledig en concreet in. Lege of algemene bijlagen ondermijnen de waarborg, omdat dan niet is vast te stellen wat er precies wordt doorgegeven en hoe het is beveiligd.

De transfer impact assessment uitvoeren

Na het Schrems II-arrest uit 2020 volstaat het tekenen van de Standard Contractual Clauses niet zonder meer. Je moet per doorgifte beoordelen of het derde land in de praktijk voldoende bescherming biedt, met name tegen toegang door overheden en inlichtingendiensten. Die beoordeling, de transfer impact assessment, leg je schriftelijk vast. Je kijkt naar de wetgeving in het derde land, de aard van de gegevens en de vraag of de importeur in de praktijk aan de clausules kan voldoen.

Concludeer je dat het beschermingsniveau tekortschiet, dan neem je aanvullende maatregelen. Denk aan sterke versleuteling waarbij de sleutel in de EER blijft, aan pseudonimisering of aan contractuele en organisatorische waarborgen. Documenteer welke maatregelen je hebt getroffen en waarom die volstaan. Deze documentatie is jouw verantwoording richting de Autoriteit Persoonsgegevens en betrokkenen.

Aansluiting op de verwerkersovereenkomst

Een modelcontract voor doorgifte staat zelden op zichzelf. Vaak is de importeur ook een verwerker, en dan heb je daarnaast een verwerkersovereenkomst op grond van artikel 28 AVG nodig. De Standard Contractual Clauses bevatten in sommige modules al verwerkersafspraken, maar controleer of alle vereiste onderwerpen zijn geregeld. Zorg dat het doorgiftecontract en de verwerkersovereenkomst op elkaar aansluiten en elkaar niet tegenspreken.

Een softwarebedrijf gebruikt een hostingpartij in een land zonder adequaatheidsbesluit. Het bedrijf sluit de Standard Contractual Clauses in de module verwerkingsverantwoordelijke naar verwerker, vult de bijlagen in met de gegevens en beveiligingsmaatregelen, en voert een transfer impact assessment uit. Omdat de hostingpartij ook verwerker is, wordt gecontroleerd of de verwerkersafspraken volledig zijn. Zo vormen de documenten samen een sluitend geheel in plaats van losse stukken.

Eerlijke aanbeveling

Je hoeft het niet altijd zelf van de grond af op te bouwen. Geef je door aan een land met een adequaatheidsbesluit, of levert je leverancier de ingevulde Standard Contractual Clauses en een verwerkersovereenkomst standaard mee, dan kun je met de kant-en-klare modelbepalingen en een zorgvuldige controle van de bijlagen prima uit de voeten. Het wordt maatwerk zodra je gevoelige gegevens of grote volumes doorgeeft naar een land zonder adequaatheidsbesluit. De keuze van de juiste module en een deugdelijke transfer impact assessment zijn dan lastig zelf sluitend te krijgen. Laat het in die gevallen opstellen of controleren, want een tekortschietende doorgifte kan tot handhaving leiden.

Verder lezen? Bekijk het modelcontract persoonsgegevens buiten eu op onze contractenpagina, lees eerst wat is een modelcontract persoonsgegevens buiten eu en bekijk wat het kost om een modelcontract persoonsgegevens buiten eu laten opstellen te doen.

Veelgestelde vragen