In een steeds meer geglobaliseerde wereld, waarin gegevensuitwisseling tussen landen constant en noodzakelijk is voor het functioneren van diverse economische en technologische activiteiten, legt de Algemene Verordening Gegevensbescherming (AVG) strenge regels op om ervoor te zorgen dat de rechten van gegevenssubjecten worden gerespecteerd, zelfs wanneer deze informatie grensoverschrijdend wordt uitgewisseld.
Over dit onderwerp heeft de Nationale Autoriteit voor Gegevensbescherming (ANPD) op 23/08/2024 Resolutie CD/ANPD nr. gepubliceerd. 19/2024 ("Resolutie"), die de procedures en de regels vastlegt die van toepassing zijn op internationale gegevensoverdrachten.
In eerste instantie is het belangrijk om te vermelden dat internationale overdracht plaatsvindt wanneer de agent, binnen of buiten Brazilië, toegang tot persoonsgegevens overdraagt, deelt of beschikbaar stelt buiten het nationale grondgebied. De overdrachtelijke agent wordt de exporteur genoemd, terwijl de agent die de gegevens ontvangt de importeur wordt genoemd.
Wel, de internationale overdracht van persoonsgegevens mag alleen plaatsvinden als deze is gebaseerd op een wettelijke grondslag zoals voorzien in de LGPD en op een van de volgende mechanismen: landen met adequate bescherming, standaardcontractclausules, wereldwijde corporate normen of specifieke contractclausules en ten slotte waarborgen voor bescherming en specifieke behoeften.
Van de hierboven beschreven mechanismen was het instrument van de standaardcontractclausules al bekend in internationale wetgevende contexten (vooral in Europa, onder de werking van de Algemene Verordening Gegevensbescherming). In de Braziliaanse context is het ook mogelijk om een breed gebruik van dit instrument in contracten te voorzien.
De tekst van de standaardcontractclausules bevindt zich in dezelfde Verordening, bijlage II, die een set van 24 clausules bevat, opgesteld door de ANPD, die in contracten moeten worden opgenomen die betrekking hebben op de internationale overdracht van gegevens, om ervoor te zorgen dat de exporterende en importerende partijen van persoonsgegevens een passend beschermingsniveau handhaven, gelijk aan dat vereist door de Braziliaanse wetgeving. De bedrijven hebben een termijn van 12 maanden vanaf de publicatie om hun contracten aan te passen.
Nu, het gebruik van standaardclausules brengt een reeks gevolgen met zich mee voor de contracten van de agenten. Onder deze belangrijkste invloeden benadrukken wij:
Wijzigingen in de contractvoorwaardenNaast dat de tekst van de standaardclausules niet gewijzigd mag worden, bepaalt de Resolutie ook dat de oorspronkelijke tekst van het contract niet in tegenspraak mag zijn met hetgeen in de standaardclausules is vastgelegd. Op deze manier moet de agent de contracten herzien en, indien nodig, aanpassen om de naleving van de internationale overdracht te waarborgen.
Verdeling van verantwoordelijkhedenDe clausules definiëren duidelijk de verantwoordelijkheden van de betrokken partijen bij de verwerking en bescherming van persoonsgegevens, en wijzen specifieke taken toe aan zowel verwerkers als verwerkingsverantwoordelijken. Deze verantwoordelijkheden worden verdeeld tussen het aantonen van het nemen van effectieve maatregelen, transparantieverplichtingen, naleving van de rechten van de betrokkenen, communicatie over beveiligingsincidenten, schadeloosstelling en naleving van verschillende vormen van verwerking.
TransparantieDe controller moet de houder, op verzoek, de volledige contractclausules verstrekken, met inachtneming van handels- en bedrijfsgeheimen, evenals duidelijke en toegankelijke informatie over de internationale gegevensoverdracht publiceren op zijn website, op een specifieke pagina of geïntegreerd in het Privacybeleid.
Risico op sanctiesHet niet naleven van de standaardclausules kan leiden tot zware sancties, waaronder boetes, en kan de reputatie van de betrokken bedrijven schaden.
Definitie van forum en jurisdictieEventuele geschillen over de voorwaarden van de standaardclausules zullen worden opgelost voor de bevoegde rechtbanken in Brazilië.
Vanwege dergelijke impacten zal de heronderhandeling van contracten tussen actoren in veel gevallen nodig zijn om de standaardclausules op te nemen. Precisiever, de standaardclausules van de ANPD voor internationale overdrachten van persoonsgegevens voegen een nieuwe laag complexiteit toe aan zakelijke contracten, wat gedetailleerde herzieningen, aanpassingen in de clausules en een grotere formaliteit in de handelsrelaties vereist. Echter, door het standaardiseren van praktijken en het waarborgen van juridische zekerheid dragen deze clausules bij aan het creëren van een veiligere en betrouwbaardere omgeving voor de circulatie van gegevens over nationale grenzen heen, essentieel in een steeds meer onderling verbonden wereld.
