Wat is een Data Transfer Impact Assessment ("DTIA")

Inleiding

De Data Transfer Impact Assessment (“DTIA”) is een relatieve nieuwkomer op het gebied van het privacy- en gegevensbeschermingsrecht. De opkomst van de DTIA is één van de soms onderbelichte gevolgen van de geruchtmakende Schrems II – uitspraak van het Hof van Justitie van de EU omtrent doorgifte van persoonsgegevens buiten de EU/EER.

Wat is een Data Transfer Impact Assessment (“DTIA”) en hoe weet u wanneer u een Data Transfer Impact Assessment moet uitvoeren?

Wat is de achtergrond van de Data Transfer Impact Assessment?

De EU Standard Contractual Clauses (“SCC’s”) zijn één van de middelen onder de Algemene Verordening Gegevensbescherming (AVG) om persoonsgegevens op rechtmatige wijze door te geven aan entiteiten die zich buiten de EU/Europese Economische Ruimte bevinden. De Nederlandse term voor SCC’s is ‘modelcontractsbepalingen’. De benaming die de AVG aan het exporteren van persoonsgegevens naar buiten de EU/EER geeft is doorgifte naar een derde land.

Doorgifte naar een derde land

De SCC’s hebben ten doel voor de grondrechten van de personen wier persoonsgegevens buiten de EU/EER worden doorgegeven, eenzelfde niveau van bescherming te bieden als de Algemene verordening gegevensbescherming van de EU (AVG) en aanverwante wet- en regelgeving. Een dergelijk beschermingsniveau wordt bereikt door middel van:

• passende waarborgen;
• afdwingbare rechten; en
• doeltreffende rechtsmiddelen voor de betrokkene.

Modelcontractbepalingen niet bindend autoriteiten derde land

Er is echter een probleem met het gebruik van SCC’s om passende waarborgen, afdwingbare rechten en doeltreffende rechtsmiddelen voor datasubjecten te realiseren buiten de EU/EER. Door hun contractuele aard zijn de modelcontractbepalingen namelijk niet bindend voor de lokale autoriteiten van een derde land, aangezien die lokale autoriteiten geen partij zijn bij de overeenkomst waarin de SCC’s zijn opgenomen. Risico’s die kunnen ontstaan als gevolg van deze leemte zijn bijvoorbeeld: 

• het risico dat de wetten of praktijken van het derde land één van beide partijen belet zich te kunnen houden aan de inhoud van de SCC's;
• het risico dat de lokale autoriteiten (on)rechtmatig de openbaarmaking van of toegang tot persoonsgegevens eisen;
• het risico dat de lokale wetgeving en praktijken de teruggave of vernietiging van persoonsgegevens verhinderen.

De DTIA is een onderdeel van de invulling van de verantwoordelijkheden van een partij die persoonsgegevens buiten de EU/Europese Economische Ruimte wenst te exporteren. Het vooraf uitvoeren van een DTIA dient om in kaart te brengen welke risico’s spelen of kunnen spelen bij een voorgenomen doorgifte van persoonsgegevens naar een derde land.

Voor wie geldt de verplichting om een Data Transfer Impact Assessment uit te voeren?

De voor de verwerking verantwoordelijke en/of verwerker in de zin van de AVG zijn verplicht het risico voor het beschermingsniveau voor de rechten van de betrokkene te onderzoeken bij de doorgifte van zijn persoonsgegevens naar een derde land. Indien het risico voor de rechten van de betrokkenen onaanvaardbaar hoog is, moeten aanvullende maatregelen worden genomen naast de SCC's die zijn vastgesteld.

Indien het niet mogelijk is voldoende aanvullende maatregelen te nemen om het vereiste beschermingsniveau te herstellen, is de voor de verwerking verantwoordelijke en/of de verwerker uiteindelijk verplicht de doorgifte van persoonsgegevens naar het derde land op te schorten of te beëindigen. De nationale gegevensbeschermingsautoriteit kan ook gelasten dat de doorgifte van persoonsgegevens wordt opgeschort of beëindigd wegens onverenigbaarheid van de wetgeving en de praktijken van het SCC en de plaatselijk toepasselijke wetgeving en praktijken.

Bij het sluiten van modelcontractbepalingen garanderen de partijen dat zij geen reden hebben om aan te nemen dat de wetgeving en praktijken in het derde land de gegevensimporteur verhinderen aan zijn verplichtingen krachtens de SCC's te voldoen.

Welke onderwerpen moeten worden beoordeeld in een Data Transfer Impact Assessment?

Bij het verstrekken van onder de SCC’s verplichte garanties omtrent de bescherming van de rechten van datasubjecten bij een doorgifte van hun persoonsgegevens naar een derde land verklaren de partijen rekening te hebben gehouden met de volgende elementen:

• De specifieke omstandigheden van de doorgifte;
• De wetgeving en praktijken van het derde land;
• alle relevante contractuele, technische of organisatorische waarborgen ter aanvulling van de waarborg krachtens de SCC's.

De partijen zijn krachtens de SCC's verplicht de beoordeling met documenten te staven. De DTIA kan als deze documentatie dienen.

Ook is een element van de beoordeling bovendien de relevante en gedocumenteerde praktijkervaring met eerdere gevallen van verzoeken van lokale autoriteiten om openbaarmaking, met name interne dossiers of andere documentatie die voortdurend wordt opgesteld in overeenstemming met de zorgvuldigheidseisen en die op het niveau van het hoger management wordt gecertificeerd. Op voorwaarde dat de praktijkervaringen kunnen worden gestaafd door andere relevante objectieve elementen, op passende wijze worden gewogen in termen van representativiteit en niet in strijd zijn met openbaar beschikbare informatie over de toepassing van het vreemde recht in de praktijk binnen dezelfde sector in jurisprudentie en verslagen van onafhankelijke toezichthouders.

Wat zijn de gevolgen wanneer geen Data Transfer Impact Assessment wordt uitgevoerd?

Boetes en aansprakelijkheid

Wordt geen DTIA uitgevoerd terwijl dat wel had moeten gebeuren dan riskeren de data exporteur en de data importeur dat aan hen boetes worden opgelegd door de nationale toezichthouder, in Nederland de ‘Autoriteit Persoonsgegevens’. Data subjecten kunnen partijen ook uit eigen beweging aansprakelijk stellen op grond van de AVG wanneer zij materiele of immateriële schade hebben geleden als gevolg van een doorgifte naar een derde land waarbij hun rechten onvoldoende gewaarborgd waren. Kortom, het is zeer verstandig om na te gaan of een DTIA noodzakelijk is alvorens over te gaan tot een doorgifte van persoonsgegevens buiten de EU/EER en om deze ook daadwerkelijk uit te voeren en te documenteren.

Wat is het verschil tussen een Data Transfer Impact Assessment (“DTIA”) en een Data Protection Impact Assessment (“DPIA”)?

De Data Protection Impact Assessment (“DPIA”) is voor veel bedrijven en organisaties inmiddels een bekend begrip. Het is van belang om deze twee typen risicobeoordelingen niet met elkaar te verwarren. De DPIA en de DTIA hebben betrekking op verschillende risico’s en scenario’s, hoewel beide uiteraard gelijktijdig of in combinatie zouden kunnen worden uitgevoerd. Een Data Protection Impact Assessment is verplicht wanneer voorafgaand aan de verwerking van persoonsgegevens blijkt dat er waarschijnlijk sprake zal zijn van een hoog risico voor de privacy van betrokkenen, onder andere bij grootschalige, systematisch en stelselmatige verwerking van persoonsgegevens. Zelfs wanneer een Data Protection Impact Assessment niet wettelijk verplicht is onder de AVG kan het verstandig zijn er een uit te laten voeren alvorens met de grootschalige verwerking van (bijzonder of gevoelige) persoonsgegevens aan te vangen. Het verschil met de DTIA is dus dat de DTIA ziet op de impact die een doorgifte naar een ontvanger buiten de EU/EER plaatsvindt, terwijl de DPIA ziet op een analyse van impact van de voorgenomen verwerking van persoonsgegevens op de betrokkene.

Conclusie

De Data Transfer Impact Assessment kan verplicht zijn wanneer uw organisatie op basis van modelcontractsbepalingen voornemens is persoonsgegevens door te geven aan een entiteit in een derde land buiten de EU/EER, waarvoor de Europese Commissie geen adequaatheidsbesluit heeft afgegeven. Voor doorgifte van persoonsgegevens naar derde landen buiten de EU/EER is van belang dat eenzelfde beschermingsniveau als onder de AVG in stand wordt gehouden door middel van passende waarborgen, afdwingbare rechten en doeltreffende rechtsmiddelen voor de datasubjecten. Vanwege de contractuele aard van de modelcontractsbepalingen ontstaan diverse risico’s dat de lokale autoriteiten en wetgeving van het derde land de bescherming geboden door de SCC’s ondermijnen. Partijen geven bij gebruik van de SCC’s de garantie af dat zij hebben beoordeeld en gedocumenteerd of het risico bestaat dat zij de contractuele waarborgen uit de SCC’s niet waar kunnen maken. De DTIA is de benaming voor deze risicobeoordeling door partijen en kan indien het goed is uitgevoerd als de benodigde documentatie dienen.

Om boetes of aansprakelijkheidsclaims te vermijden wanneer uw organisatie voornemens is persoonsgegevens door te geven naar een derde land buiten de EU/EER is het verstandig om na te gaan of u een DTIA moet (laten) uitvoeren.

Wlit u een Data Transfer Impact Assessment uitvoeren? Heeft u voldoende zicht op de datastromen van persoonsgegevens van en naar uw organisatie? Exporteert uw organisatie persoonsgegevens buiten de Europese Economische Ruimte of zijn er plannen om dat te doen?

Advies

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!