Internationale overførsler - Nye Standard Contractual Clauses i høring

Udkastet til SCC’erne udgøres af en Kommissionsbeslutning. Dette er også grundlaget for de aktuelle SCC’er, jf. GDPR art. 46, stk. 1, litra c.

Kommissionsbeslutningen – altså SCC’erne – består af en hovedkontrakt og et Annex. Både kontrakt og Annex indeholder ordlyd fra forordningen og EU-Domstolens afgørelse i Schrems II-sagen den 16. juli 2020. Der er således direkte forbindelse mellem SCC’erne og pligterne i forordningen, som er fortolket i lyset af Schrems II-afgørelsen.

I hovedsagen regulerer kontraktenSCC’ernes stilling i et øvrigt kontraktkompleks samt andre retlige forhold. Det fremgår fx af præamblen, at de nugældende SCC’er, som anvendes af mange virksomheder i dag, forbliver gyldige, indtil de tilbagetrækkes af EU-Kommissionen.

Annex’et regulerer primært i overførselsaktørernes forpligtelser, som kort gennemgås nedenfor.

Annex’et er struktureret i ”Sections”:

Section I indeholder blandt andet bestemmelser om, at datasubjekter kan støtte ret på SCC’ens bestemmelser i visse tilfælde samt bestemmelser om forran, hierarki, tilslutningsmekanisme for tilkommende parter til kontrakten, som ønsker at være bundet af dens bestemmelser.

Section II er struktureret omkring parternes forpligtelser og indeholder 4 moduler, som hver repræsenterer et overførslesscenarie fra en dataeksportør i EU til en dataeksportør uden for EU.

1. Dataansvarlig -- dataansvarlig
2. Dataansvarlig -- databehandler
3. Databehandler -- databehandler
4. Databehandler -- dataansvarlig

Overførselsscenarie nr. 1 og 2 er i forvejen behandlet i de nugældende SCC’er, men det har ikke været tilfældet for scenarie 3 og 4. Det har hidtil krævet særlig tilpasning af kontraktkomplekset at beskrive overførselsscenarierne 3 og 4.

Det er af essentiel praktisk betydning, at overførselsaktørernes forpligtelser i alle 4 scenarier er tilpasset kravene i Schrems II-afgørelsen.

Section III indeholder bestemmelse om blandt andet ophør af kontrakten på grund af dataimportørens manglende overholdelse af SCC’ens bestemmelser, samt lov- og væretingsbestemmelser.

Høringsfristen er sat til den 10. december 2020 og kontrakt og Annex kan hentes fra EU-Kommissionens hjemmeside.

Bech-Bruun mener

Med udkastet til det nye sæt SCC’er bliver det tydeligt, at EU ønsker at gøre alvor af databeskyttelsesforordningens beskyttelse af EU-borgeres personoplysninger, som vi for nyligt har set eksempliseret  i EU-Domstolens afgørelse i Schrems II-sagen.

SCC’er bruges i forvejen i stort omfang af mange organisationer verden over – og spås en fremtid som det mest brugte overførselsgrundlag for dataoverførsler ud af EU. EU-kommissionens udkast til nye SCC’er er således endnu et tiltag, som skriver europæisk databeskyttelse ind i en global politisk dagsorden. Det bliver ganske interessant at følge eftervirkningerne heraf. Her tænkes der særligt på dataimportørenes mulighed for reelt at overholde de materielle krav i Annex’et, samt deres incitament til at overholde kontraktens forpligtelser til at orientere og samarbejde.

De nye SCC’er kommer derfor, såfremt de bliver vedtaget i deres nuværende form,  i vores optik til at betyde, at livet for organisationer med naturligt fokus på og incitament til databeskyttelse kan blive nemmere. Mens livet for andre aktører på markedet bliver mere vanskeligt, fordi databeskyttelsespligterne og konsekvenserne ved ikke at overholde dem nu er gjort tydeligere.

Det har stor praktisk betydning, at de nugældende SCC’er forbliver gyldige, indtil EU-Kommissionen træffer beslutning om andet. Det betyder formentlig, at mange kan ”fortsætte som før”, hvis ellers SCC’erne i dag er rigtigt sat op og indeholder den nødvendige beskyttelse. Men når det er sagt, bør alle dataeksporterende organisationer med tiden arbejde for en udskiftning, da dette vil lette arbejdet og højne sandsynligheden for, at alle relevante omstændigheder ved overførslen er vurderet og dokumenteret i tråd med Schrems II-afgørelsen.

Det er samtidig vigtigt at være opmærksom på Det Europæiske Databeskyttelsesråds anbefalinger ominternationale dataoverførsler, som udkom den 10. november. Læs mere om det i Bech-Bruuns tidligere nyhed: Nye EU-anbefalinger om internationale overførsler af personoplysninger – hvad gælder nu?