Na Schrems II en de Brexit : kan u persoonsgegevens doorgeven aan de VS en het VK of niet? (07/04/2022)
De GDPR of AVG geldt binnen heel de Europese Economische Ruimte. Zolang u binnen de Europese Unie gegevens verwerkt en/of doorstuurt, kan u dit dus met een gerust hart doen.
Doorgifte van persoonsgegevens buiten de E.E.R. gebeurt echter sneller dan u denkt.
Zo heeft de Brexit tot gevolg dat het Verenigd Koninkrijk sinds 1 januari 2021 niet meer onder de GDPR valt en doorgifte van persoonsgegevens dus in principe uit den boze is.
Gelukkig heeft de EU – zij het vrij laat – een adequatheidsbesluit genomen, waardoor het VK erkend wordt als land dat voldoende waarborgen biedt inzake de verwerking van persoonsgegeven en de doorgifte geen enkel probleem vormt.
Andere landen die dezelfde erkenning genieten zijn Andorra, Argentinië, Canada (voor commerciële organisaties), de Faeröer eilanden, Guernsey, Israël, Isle of Man, Japan, Nieuw Zeeland, Republiek van Korea en Uruguay.
Daarnaast moet u er ook rekening mee houden dat, wanneer u gebruik maakt van Microsoft, Facebook, Amazon, … persoonsgegevens toegankelijk zijn vanuit de V.S., zelfs indien de gegevens opgeslagen worden op een server die in de E.E.R. staat.
Sinds het Schrems II arrest van 16 juli 2020 is het Privcay Shield weggevallen: dit maakte het tot juli 2020 mogelijk om persoonsgegevens uit te wisselen met de VS zonder bijkomende waarborgen of beperkingen.
Het Europese Hof van Justitie oordeelde echter dat dit Privacy Shield niet voldoende waarborgen biedt omdat de Amerikaanse inlichtingendiensten op verregaande wijze toegang konden verkrijgen tot de persoonsgegevens: data is dus nooit echt ‘veilig’.
Kan dan nog samengewerkt worden met Amerikaans bedrijven?
Ja dit kan – elk bedrijf zal echter zelf een inschatting van het risico moeten maken.
Vooreerst zullen er “standard contract clauses” moeten afgesloten worden. Dit is een standaardovereenkomst waarvan de inhoud door de Europese Commissie werd bepaald. De overeenkomst moet afgesloten tussen alle bedrijven die buiten de E.E.R. gaan samenwerken en in het kader daarvan persoonsgegevens gaan uitwisselen.
Daarnaast moeten eventueel, op basis van een risico analyse, bijkomende beveiligings-en beschermingsmaatregelen genomen worden zoals bv. encryptie van de gegevens: zelfs indien er tot bepaalde gegevens toegang genomen kan worden vanuit de VS, kan men de gegevens niet lezen omdat deze beveiligd zijn en de sleutel enkel in Europa ligt.
Stelt u zich vragen of uw gegevens wel voldoende beveiligd zijn, aarzel dan niet ons te contacteren.
Bericht geplaatst door Veerle Stroobants & Sven Mertens - Advocaat op 07/04/2022.
