Beroep op derde partijen (in landen buiten de EER)

De AVG onderscheidt 2 actoren die betrokken (kunnen) zijn bij de verwerking van persoonsgegevens: de verwerkingsverantwoordelijke (artikel 4.7 AVG) en de verwerker (artikel 4.8 AVG).

De verwerkingsverantwoordelijke beslist alleen of samen met anderen (de ‘gezamenlijke’ verwerkingsverantwoordelijke(n)) het doel en de essentiële middelen van de verwerking, met name waarom persoonsgegevens worden gebruikt en hoe ze worden gebruikt.

De verwerker levert bepaalde diensten of producten aan de verwerkingsverantwoordelijke en krijgt in die hoedanigheid toegang tot persoonsgegevens. De verwerker beslist niet, maar verwerkt de persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke(n).

De (individuele) advocaat / het advocatenkantoor is (quasi) altijd de verwerkingsverantwoordelijke.

De AVG bepaalt in artikel 26 en 28 AVG wat die actoren moeten doen wanneer zij samenwerken voor de verwerking van persoonsgegevens.

Een verwerkingsverantwoordelijke mag enkel beroep doen op verwerkers die afdoende garanties bieden dat zij passende technische en organisatorische maatregelen hebben getroffen om de naleving van de AVG te waarborgen.

Een verwerkingsverantwoordelijke en een verwerker moeten een verwerkersovereenkomst afsluiten die de bepalingen bevat van artikel 28.3 AVG. Deze verwerkersovereenkomst moet worden overeengekomen voordat de verwerking van persoonsgegevens start. Het opnemen van een retroactieve clausule in de overeenkomst verhelpt het ontbreken van het sluiten van overeenkomst voor de start van de verwerking van gegevens niet. Anderzijds vormt het gebrek aan een handtekening geen inbreuk voor zover aangetoond kan worden dat de verwerkersovereenkomst werd uitgevoerd

Gezamenlijke verwerkingsverantwoordelijken moeten een onderlinge taakverdeling afspreken waarin zij afspreken wie welke verplichtingen onder de AVG voor zijn rekening zal nemen.

Wanneer persoonsgegevens worden doorgegeven aan een andere ‘afzonderlijke’ verwerkingsverantwoordelijke (dus met wie u niet samen beslist) moet u geen verdere afspraken maken.

Verder bepaalt hoofdstuk V van de AVG welke waarborgen noodzakelijk zijn indien u samenwerkt met, en/of persoonsgegevens doorgeeft aan, een derde partij die zich buiten de Europese Economische Ruimte (‘EER’) bevindt. Een dergelijke samenwerking/doorgifte is in principe immers pas toegelaten indien de persoonsgegevens in het zogenaamde ‘derde land’ een bescherming genieten die gelijkwaardig is aan de bescherming die ze genieten binnen de EER.

Wanneer de derde partij (dit is de verwerker, de gezamenlijke of de afzonderlijke verwerkingsverantwoordelijke) zich in een derde land bevindt waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen, en de persoonsgegevens ook daar verwerkt, is geen verdere actie vereist. Een opsomming van deze landen is gepubliceerd op de website van de Europese Commissie.

Voor de verwerking in derde landen waarvoor er geen adequaatheidsbesluit bestaat, heeft de Europese Commissie modelcontractbepalingen gepubliceerd. De modelcontractbepalingen voorzien (1) in algemene clausules die van toepassing zijn op alle vormen van samenwerking/doorgifte en (2) in specifieke bepalingen die van toepassing zijn afhankelijk van de kwalificatie van de partijen. Zo moet module 1 gebruikt wordenindien de derde partij een gezamenlijke of afzonderlijke verwerkingsverantwoordelijke is. Module 2 moet worden gebruikt wanneer de derde partij een verwerker is. De modelcontractbepalingen zijn gepubliceerd bij Commissie Beslissing 2021/914.

Indien gebruik wordt gemaakt van de modelcontractbepalingen is het niet meer noodzakelijk om een verwerkersovereenkomst of onderlinge taakverdeling af te spreken. Het is niet toegelaten om de modelcontractbepalingen te wijzigen. Er mogen wel (commerciële) bepalingen aan toegevoegd worden voor zover die niet in strijd zijn met de modelcontractbepalingen.

Verwerkingsverantwoordelijken en verwerkers die gebruik maken van de modelcontractbepalingen moeten als gevolg van het Schrems II arrest van het Hof van Justitie daarnaast ook nagaan of de wetgeving en praktijken van het derde land de effectiviteit van de modelcontractbepalingen ondermijnen. Die ‘effectbeoordeling’ moeten zij documenteren en desgevallend moeten zij aanvullende maatregelen nemen.

In een aantal specifieke situaties kan beroep worden gedaan op een uitzonderingsgrond in de AVG. Zo zijn er geen adequaatheidsbesluit noch modelcontractbepalingen vereist wanneer de betrokkene, bijv. de cliënt, specifiek toestemming heeft gegeven voor de doorgifte van zijn persoonsgegevens aan een derde partij buiten de EER. Ook wanneer de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst met een betrokkene of voor de instelling, uitoefening of onderbouwing van een (buitenlandse) procedure, is dit een voldoende grondslag. Die uitzonderingsgronden kunnen in principe enkel gebruikt worden voor een incidentele, dat is niet repetitieve, doorgifte van persoonsgegevens.

• Europees Comité voor Gegevensbescherming, Aanbevelingen inzake maatregelen ter aanvulling op doorgifte-instrumenten teneinde naleving van het beschermingsniveau van persoonsgegevens in de Unie te waarborgen, 10 november 2020, nr. 1/2020.
  
• Europees Comité voor Gegevensbescherming, Richtsnoeren inzake afwijkingen op grond van artikel 49 van Verordening 2016/679, 25 mei 2018, nr. 2/2018.