Gegevensverkeer naar landen buiten de EU
In de Wbp staan specifieke bepalingen voor gegevensverkeer naar derde landen. Derde landen zijn alle landen buiten de EU, met uitzondering van Noorwegen, Liechtenstein en IJsland. De hoofdregel is dat persoonsgegevens alleen mogen worden doorgegeven naar derde landen met een passend beschermingsniveau. Daarbuiten is doorgifte alleen toegestaan op basis van een wettelijke uitzondering of met vergunning van de Minister van Justitie. Steeds moet ook voldaan zijn aan de algemene vereisten van de Wbp. Eén van die algemene vereisten is bijvoorbeeld de meldingsplicht bij het College bescherming persoonsgegevens (CBP).
Passend beschermingsniveau
Om te bepalen of een land een passend niveau van bescherming heeft, moet de verantwoordelijke eerst nagaan of er sprake is van een besluit van de Minister van Justitie of van de Europese Commissie (EC) over het niveau van bescherming in een derde land. U bent de verantwoordelijke als u degene bent die het doel en middelen bepaalt van een gegevensverwerking en de persoonsgegevens voor eigen doeleinden gebruikt. Met verwerken wordt bedoeld alle handelingen met die gegevens vanaf het verzamelen tot en met het vernietigen van persoonsgegevens. Doorgifte is dus een vorm van gegevensverwerking.
Op de CBP-internetsite vindt u een lijst met landen waar de EC een besluit over heeft genomen. Deze lijst bevat de landen waar een passend niveau van bescherming aanwezig wordt geacht. Is er geen besluit dan moet u zelf aan de hand van een aantal criteria een analyse van de situatie maken.
De Verenigde Staten
In de Verenigde Staten bestaat geen algemene wetgeving voor de bescherming van persoonsgegevens. Daarom heeft de Europese Commissie ten aanzien van de Verenigde Staten een speciale beslissing genomen: alleen voor die organisaties die zich verplicht hebben tot naleving van de zogenaamde Veilige Haven Beginselen ("Safe Harbour Principles") geldt dat er sprake is van een passend beschermingsniveau. Deze bedrijven staan op een lijst zodat duidelijk is welke bedrijven zich aan de Beginselen houden. U kunt de lijst vinden op de website van het U.S. Department of Commerce.
Uitzonderingen en vergunning minister van Justitie
Als een derde land geen passend beschermingsniveau heeft, zijn er twee mogelijkheden om toch gegevens naar derde landen te mogen doorgeven. De eerste mogelijkheid is doorgifte op basis van de uitzonderingen die in de wet worden genoemd, bijvoorbeeld ondubbelzinnige toestemming van betrokkenen of doorgifte noodzakelijk in het kader van een overeenkomst. Deze uitzonderingen dienen restrictief geïnterpreteerd te worden.
De tweede mogelijkheid is doorgifte op basis van een vergunning van de Minister van Justitie. Aan een dergelijke vergunning worden nadere voorwaarden verbonden die als waarborg voor de bescherming van persoonsgegevens dienen. Een vorm van deze waarborg is het gebruik van modelcontracten die goedgekeurd zijn door de EC. De EC heeft tot nog toe twee modelcontracten goedgekeurd: 1) voor doorgifte tussen twee verantwoordelijken waarvan de één gevestigd is in een EU-land en de ander buiten de EU, en 2) voor doorgifte naar een bewerker in een derde land. Het gebruik van een modelcontract bespoedigt het verkrijgen van een vergunning. Informatie over de modelcontracten van de EC en het passend beschermingsniveau in derde landen is te vinden op de website van de Europese Unie.
Vergunningaanvraag via het CBP
Een vergunning van de Minister van Justitie dient u via het CBP aan te vragen. Daarvoor dient u gebruik te maken van het aanvraagformulier dat u kunt vinden achter in de brochure Derde landen en op de website van het CBP. De aanvraag moet vergezeld gaan van stukken waaruit blijkt dat er voldoende waarborgen bestaan voor de doorgifte. De afgifte van een vergunning vindt plaats nadat het CBP daarover advies aan de Minister van Justitie heeft uitgebracht. Als u gebruik maakt van de door de Europese Commissie goedgekeurde modelcontracten zonder aanvullingen of wijzigingen, is de behandeltermijn van uw aanvraag bij het CBP in principe 2 tot 4 weken. Als u gebruik maakt van de modelcontracten met aanvullingen is de behandeltermijn in principe 6 weken. Tenslotte is de behandeltermijn 13 weken als u gebruik maakt van de modelcontracten met wijzigingen of als u zelf een instrument heeft opgesteld. De termijnen hangen mede af van de tijd die de verantwoordelijke nodig heeft om gedurende deze adviesperiode eventuele aanpassingen door te voeren.
Toezicht door het CBP
Als een land geen passend beschermingsniveau heeft en er geen beroep kan worden gedaan op een wettelijke uitzondering of een afgegeven vergunning, is doorgifte naar dat land onrechtmatig en dus niet toegestaan. Het CBP houdt toezicht op de naleving van de bepalingen van de Wbp door in Nederland gevestigde verantwoordelijken die gegevens verstrekken aan derde landen. Dit zal het CBP ambtshalve doen of naar aanleiding van klachten van burgers. Bij zijn toezicht hierop zal het CBP zich met name richten op categorieën van doorgiftes die bijzondere risico's kunnen opleveren. Voorbeelden van dergelijke doorgiftes zijn:
- doorgiftes die een (financieel) risico inhouden, bijvoorbeeld creditcardbetalingen via het internet;
- herhaalde doorgifte van grote hoeveelheden gegevens.
Het CBP kan op grond van de Wbp gebruik maken van bestuursdwang of een last onder dwangsom.
Meer informatie
Zie voor een uitvoerige bespreking van de problematiek de Nota derde landen.