Stap over op het Europese Modelcontract

Het nieuwe Europese modelcontract (SCC) is  in juridisch privacyland opnieuw onderwerp van gesprek. Kort geleden is de nieuwe versie gepubliceerd.

Het modelcontract is een privacy waarborg

Iedere ondernemer die op basis van het oude modelcontract persoonsgegevens uitwisselt buiten de grenzen van de Europese Economische Ruimte, moet deze de komende maanden vernieuwen. In het modelcontract staan namelijk standaard afspraken die ervoor moeten zorgen dat organisaties veilig met persoonsgegevens omgaan.

De autoriteit persoonsgegevens is de partij die hierop controleert en ook mag handhaven. Het oude modelcontract wordt na die 18 maanden niet meer als voldoende beschouwd. Het biedt dan geen voldoende passende waarborgen meer.

Sluit het nieuwe modelcontract binnen 18 maanden

Het nieuwe Europese modelcontract vervangt het oude Europese modelcontract. De Europese Commissie heeft organisaties 18 maanden de tijd gegeven om deze vernieuwing door te voeren. Deze termijn begint op 27 juni a.s. te lopen. Dat betekent dat voor elke nieuwe verwerkingsrelatie de nieuwe versie gebruikt kan worden.

Voor oude versies van het Europese modelcontract moet een nieuwe versie worden ondertekend of online geaccordeerd. Zowel de verwerker als de verwerkingsverantwoordelijke zijn er verantwoordelijk voor om dit te regelen. Daarbij ligt het wel voor de hand dat de verwerkingsverantwoordelijke direct het voortouw neemt. Dat is immers de partij die aan de betrokkene belooft de gegevens goed te beschermen.

Neem het Europees model op in het contract of voeg toe aan bestaande afspraken

Het is toegestaan om de modelbepalingen over te nemen in het contract. Zo zorg je ervoor dat de afspraken goed op elkaar aansluiten. Je mag ook extra waarborgen met elkaar afspreken. Belangrijk is dat de afspraken niet in strijd zijn met hetgeen standaard is opgenomen in het Europees modelcontract.

Het Europees modelcontract sluiten alleen is niet genoeg

Niet nieuw, maar wel goed om te vermelden. Een verwerkingsverantwoordelijke moet bij doorgifte van persoonsgegevens buiten de Europese Economische Ruimte nog meer doen. De betrokkenen moeten worden geïnformeerd over de doorgifte. Bij die informatie moet verwezen worden naar de passende waarborgen. Daarnaast moet de verwerkingsverantwoordelijke onderzoek doen naar passende waarborgen. Met andere woorden: verwerkt de verwerker wel echt zo veilig als hij stelt?