TL;DR voor de FG
De CNPD schrijft dat de toetsing van de vereisten van art. 28 lid 3 INHOUDELIJK moet zijn en niet formeel, en zich niet mag beperken tot het kiezen van een willekeurige set standaardbepalingen. Dat is de zin die de boete waard is: het contract van de leverancier tekenen zonder het te lezen is geen naleving, het is het schriftelijke bewijs van het tegendeel.
De vijf bevindingen
- Onrechtmatige verwerking van gezondheids- en religiegegevens: de vragenlijst maakte niet duidelijk dat die antwoorden vrijwillig waren, waardoor mensen geen geïnformeerde keuze konden maken.
- Schending van de informatieplichten jegens de invullers van de vragenlijst.
- Schending van de zorgvuldigheidsplicht bij de keuze van de verwerker.
- Schending van de regels over internationale doorgiften, art. 44 en 46 lid 2.
- Het achterwege laten van een gegevensbeschermingseffectbeoordeling voor de gehele volkstelling.
Het punt over art. 28
Het INE vertrouwde de infrastructuur toe aan een leverancier met een kantoor in Lissabon. Het contract werd echter gesloten met de in de Verenigde Staten gevestigde vennootschap, en bepaalde dat de rechter in Californië bevoegd was voor geschillen. Datzelfde contract stond toe dat persoonsgegevens via elk van de tweehonderd servers van het bedrijf werden geleid, waarbij partijen uitdrukkelijk voorzagen dat gegevens buiten de Europese Economische Ruimte konden worden verwerkt.
De bepalingen waren er. Ze volstonden niet.
Het contract bevatte de door de Commissie goedgekeurde modelcontractbepalingen voor doorgiften naar de Verenigde Staten. Toch stelde de CNPD een schending van art. 44 en 46 lid 2 vast, omdat er geen enkele aanvullende maatregel was voorzien die toegang door overheidsinstanties van het derde land zou verhinderen, zoals Schrems II vereist. Het is precies de denkfout die overal opduikt: de bepalingen erbij voegen en de zaak als afgedaan beschouwen, zonder het rechtsstelsel van het bestemmingsland te beoordelen.
Wat er eerder was gebeurd
Tijdens de volkstelling opende de CNPD na meerdere klachten een onderzoek en gelastte zij de onmiddellijke opschorting van de doorgifte van tellingsgegevens naar de Verenigde Staten en andere derde landen zonder passend beschermingsniveau. De zaak werd pas afgesloten met het eindbesluit, waarin één gecumuleerde boete voor de vijf overtredingen werd opgelegd.
Wat u nu doet, bij uw klanten
1) Kijk bij elke leverancier in het verwerkersregister met welke rechtspersoon het contract is gesloten, niet welk kantoor de telefoon opneemt. Een Europees kantoor volstaat niet als de contractuele wederpartij buiten de EU zit. 2) Lees de forumkeuzebepaling: verwijst die naar een rechter buiten de EU, vraag u dan af hoe u de verplichtingen van art. 28 denkt af te dwingen op de dag dat het nodig is. 3) Staat het contract transport van gegevens via niet nader omschreven infrastructuur toe, dan is dat een doorgifte en moet die worden beoordeeld, niet genegeerd. 4) Modelcontractbepalingen zijn het startpunt van de beoordeling, nooit het eindpunt: zonder gedocumenteerde aanvullende maatregelen is art. 46 niet vervuld. 5) Documenteer de toetsing van art. 28 lid 3 met bewijs en met een datum: alleen zo toont u aan dat zij inhoudelijk was.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
