Door Schrems II lagen de SCC’s echter onder vuur. Daarbij waren ze sowieso nog niet geüpdatet met de komst van de Algemene Verordening Gegevensbescherming (AVG). De nieuwe SCC’s waren dan ook zeer gewenst, en ze zijn er sinds 4 juni 2021!
De nieuwe SCC’s bestaan uit een algemeen deel en modulair deel waarbij in het modulaire deel kan worden gekozen voor de module die aansluit bij de toepasselijke privacy posities. In het algemene deel worden zaken geregeld als het doel en onderwerp van de SCC’s, priortering, mogelijkheid tot uitbreiding van de partijen bij de SCC’s en algemene waarborgen. Daarbij zijn er algemene bijlagen toegevoegd waarin relevante partijen, persoonsgegevens, betrokkenen, details over de doorgifte, de bevoegde toezichthouder, beveiligingsmaatregelen en de subverwerkers nader kunnen worden gespecificeerd. Bij het modulaire deel kan er worden gekozen uit vier modules die van toepassing zijn op vier verschillende situaties:
Binnen deze modules worden verder ook nog een aantal opties geboden. Zo kan er bijvoorbeeld worden gekozen tussen het geven van algemene of specifieke toestemming voor het inschakelen van subverwerkers.
De nieuwe SCC’s kunnen worden gebruikt voor doorgifte van persoonsgegevens naar derde landen (landen buiten de EER), waarbij de data exporter kan zijn gevestigd in een land binnen de EER maar ook buiten de EER (en deze valt onder het toepassingsbereik van de AVG). Daarbij kunnen de SCC’s op ieder moment worden uitgebreid en/of aangevuld met nieuwe partijen die worden toegevoegd als (sub)verwerkers maar ook nieuwe partijen die een positie als data importer of data exporter innemen. Verder mogen er net als bij de vorige SCC’s geen aanpassingen worden gemaakt in de artikelen. Zaken als aansprakelijkheden, garantieverplichtingen en informatie die partijen onderling en aan betrokkenen moeten verstrekken staan bijvoorbeeld allemaal vast. Wel mogen de SCC’s worden opgenomen in een ‘groter’ contract en mogen er bepalingen worden toegevoegd, mits deze de SCC’s niet tegenspreken.
Buiten dat de nieuwe SCC’s veel omvangrijker zijn, meer keuzemogelijkheden bieden en bepalingen over relevante AVG-onderdelen bevatten vallen er de volgende zaken op:
Officieel kunnen de nieuwe SCC’s vanaf 27 juni 2021 gebruikt worden. Tot en met 26 september 2021 mogen organisaties vanwege de overgangsperiode de oude SCC’s echter ook nog blijven gebruiken. Vanaf 27 september 2021 mogen alleen de nieuwe SCC’s nog worden gebruikt voor nieuwe contracten. Verder krijgen organisaties tot 27 december 2022 de tijd om al hun reeds gesloten oude SCC’s te vervangen door nieuwe SCC’s.
Wilt u meer weten over de nieuwe SCC’s of heeft u hulp nodig bij het vervangen van uw oude SCC’s? Neem dan gerust contact op.
Michelle Wijnant, Legal Counsel IT, Privacy & Cybersecurity