Schrems II: zijn standaardcontractbepalingen straks nog geldig?

UPDATE: Op 16 juli 2020 heeft het Hof van Justitie geoordeeld dat de modelcontractbepaligen soms niet voldoende zijn en aanvullende maatregelen nodig kunnen zijn. Het Privacy Shield is daarnaast ongeldig verklaard. Dit artikel is geschreven voor die uitspraak.

Het Hof van Justitie heeft onlangs aangekondigd op 16 juli 2020 zijn arrest te zullen wijzen in de “Schrems II”-zaak. Dit langverwachte arrest ziet op geldigheid van standaardcontractbepalingen, een veelgebruikt instrument voor doorgifte van persoonsgegevens naar buiten de Europese Economische Ruimte (EER).

Verbod doorgifte

De Algemene Verordening Gegevensbescherming (AVG) verbiedt doorgifte van persoonsgegevens naar een derde land (kort gezegd: een land buiten de EER). Er zijn echter uitzonderingen op dit verbod.

Uitzondering doorgifteverbod

Een van de uitzonderingen zijn de zogenaamde “passende waarborgen”.

Standaardcontractbepalingen

Een veelgebruikte vorm van passende waarborgen zijn de ‘standaardcontractbepalingen’ (standard contractual clauses), vastgesteld door de Europese Commissie.

Die standaardcontractbepalingen moeten worden afgesloten tussen de gegevensexporteur in de EER en de gegevensimporteur buiten de EER. In de standaardconctractbepalingen zijn waarborgen opgenomen ter bescherming van de doorgegeven persoonsgegevens. De standaardcontractbepalingen hebben wel iets weg van een ‘verwerkersovereenkomst’, hoewel het wel degelijk een ander instrument is met een ander doel.

Schrems II

De zaak Schrems II vloeit voort uit een verzoek van de Oostenrijkse jurist en activist Max Schrems aan de Ierse privacytoezichthouder om Facebook Ierland te verbieden zijn persoonsgegevens door te geven aan Facebook Inc. in de Verenigde Staten.

Facebook gebruikt hiervoor standaardcontractbepalingen.

De zaak heet Schrems II, omdat Schrems eerder betrokkene was in een zaak die heeft geleid tot ongeldigverklaring door het Hof van Justitie in 2015 van de Safe Harbor-besluit van de Europese Commissie, een voorbeeld van een andere uitzondering om doorgifte te laten plaatsvinden, namelijk een adequaatsheidsbesluit van de Commissie over de Verenigde Staten.

Ongeldigverklaring Safe Harbor-besluit 

De ongeldigverklaring was met name ingegeven door de Snowden-onthullingen over grootschalige surveillance van internetverkeer door de Amerikaanse inlichtingen- veiligheidsdiensten. Dit heeft uiteindelijk geleid tot de vervanger van Safe Harbor, het EU-US Privacy Shield. Daarover loopt ook een zaak bij het Hof van Justitie, maar die is vertraagd.

Standaardcontractbepalingen: geldig?

De Ierse High Court die zich over deze zaak boog, stelde prejudiciële vragen aan het Hof van Justitie van de EU. In de kern is de vraag of de standaardcontractbepalingen wel geldig zijn. Immers, de autoriteiten in het derde land zijn niet gebonden aan die standaardcontractbepalingen en dit zou, afhankelijk van de wetgeving in dat derde land, kunnen leiden tot ondermijning van de in die bepalingen opgenomen waarborgen.

Conclusie advocaat-generaal

De advocaat-generaal van het Hof van Justitie (adviseur van het Hof) heeft geconcludeerd dat er geen redenen zijn om de standaardcontractbepalingen ongeldig te verklaren. Tot zover lijkt er geen reden voor ongerustheid voor organisaties die van deze bepalingen gebruikmaken. Te meer nu het Hof van Justitie de adviezen van de advocaat-generaal pleegt te volgen.

Daarmee is de kous echter niet af. Het Hof van Justitie moet nog beslissen. Daarnaast maakt de advocaat-generaal een aantal belangrijke observaties. Het is verstandig hiermee rekening te houden om zo goed mogelijk voorbereid te zijn.

In de conclusie wordt benadrukt dat het enkele feit dat de standaardcontractbepalingen niet bindend zijn voor de autoriteiten in derde landen, nog niet maakt dat deze ongeldig zijn.

Wel benadrukt de advocaat-generaal dat een doorgifte alleen mag plaatsvinden als de betrokkenen (degenen op wie de persoonsgegevens zien) afdwingbare rechten en doeltreffende rechtsmiddelen hebben. De advocaat-generaal constateert vervolgens dat die rechtsmiddelen er zijn. Zo bieden de standaardcontractbepalingen via een ‘derdenbeding’ aan betrokkenen het recht om op te treden tegen niet-naleving van de bepalingen. Verder rust op de bevoegde nationale toezichthouder op grond van de AVG de bevoegdheid en verplichting om doorgiftes te onderzoeken en in het uiterste geval te verbieden indien de standaardcontractbepalingen niet nagekomen worden.

Let op

Hiermee is meteen de nuancering gegeven voor het hoofdoordeel van de advocaat-generaal. De standaardcontractbepalingen zijn in algemene zin geldig volgens de advocaat-generaal, maar hij lijkt te benadrukken dat daarnaast steeds een concrete beoordeling in het specifieke geval vereist is om te beoordelen of ook de doorgifte op basis van die standaardcontractbepalingen is toegestaan.

Zo lijkt veel af te hangen van de vraag of de specifieke gegevensimporteur daadwerkelijk in staat is de standaardcontractbepalingen na te leven. Hierbij zal waarschijnlijk ook relevant zijn de vraag in hoeverre de gegevensimporteur verplicht zal zijn de persoonsgegevens te verstrekken aan de autoriteiten van het derde land.

Nogmaals, de conclusie is niet bindend voor het Hof van Justitie en het arrest moet nog volgen. Maar organisaties die persoonsgegevens doorgeven naar derde landen op basis van standaardcontractbepalingen (let op: dus niet alleen naar de Verenigde Staten), doen er goed aan zich goed voor te bereiden. Dit voor het geval het Hof van Justitie nadere eisen stelt aan het gebruik van standaardcontractbepalingen of, in het uiterste geval, de standaardcontractbepalingen geheel of gedeeltelijk ongeldig verklaart (men verwacht niet dat de kans daarop groot is, maar het zou kunnen).

Voorbereiding

In de eerste plaats is het van belang het internationale gegevensverkeer van de organisatie precies in kaart te brengen. Ten tweede is aan te raden te starten met een inventarisatie van de partijen naar wie persoonsgegevens worden doorgegeven. Kunnen deze gegevensimporteurs daadwerkelijk aan de standaardcontractbepalingen voldoen? Welke bewijzen zijn hiervoor?

Met een gedocumenteerde inventarisatie bent u beter voorbereid. U kunt dan ook sneller schakelen naar eventuele oplossingen, mocht de beslissing van het Hof van Justitie daartoe nopen.

Advies

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!