Overdracht van Persoonsgegevens naar Derde Landen Praktische Case

Overdracht van Persoonsgegevens naar Derde Landen Praktische Case Studies Thomas De Meese Advocaat Kunstlaan 27 - 1040 Brussel Tel : 02/231. 17. 99 - Fax : 02/230. 63. 99 Email : tdemeese@crowell. com www. crowell. com

Inhoud Casus 1 • Persoonsgegevens en due diligence in het kader van een internationale overname Casus 2 • Doorgifte van klantenbestand na een internationale overname

Casus 1 Persoonsgegevens en due diligence in het kader van een internationale overname

Due diligence • werknemers • klanten • leveranciers EU Company A Casus 1 Data ? JAPAN Company B

Due diligence • werknemers • klanten • leveranciers EU Company A Casus 1 Data ? JAPAN Company B

Due diligence Casus Vertrekpunt • Verwerkingen : – Personeelsadministratie – Loonadministratie • Bron : – werknemers zelf • informatieverstrekking (art. 9§ 1) : – in AO of op formulier waarmee gegevens worden verkregen; – “behalve indien hij hiervan reeds op de hoogte is”.

Due diligence Casus Vertrekpunt • Aangifte CBPL : – Personeelsadministratie : vrijstelling (art. 52 KB van 13 februari 2001) – Loonadministratie : vrijstelling (artikel 51 KB van 13 februari 2001

Considerans n° 60 Richtlijn 95/46/EG “Overwegende dat doorgifte naar derde landen slechts mogelijk is met volledige inachtneming van de bepalingen welke de Lidstaten hebben vastgesteld ter uitvoering van deze richtlijn en met name (o. a. ) van artikel 8”

Compatibiliteitsvereiste Art. 4§ 1, 2° WBPL • (…) niet verder worden verwerkt op een wijze die, rekening houdend met alle relevante factoren, met name met de redelijke verwachtingen van de betrokkene, …, onverenigbaar is met die doeleinden.

Compatibiliteitsvereiste Art. 4§ 1, 2° WBPL • (…) niet verder worden verwerkt op een wijze die, rekening houdend met alle relevante factoren, met name met de redelijke verwachtingen van de betrokkene, …, onverenigbaar is met die doeleinden.

Compatibiliteitsvereiste Registratiekamer (NL) 2 november 1998 Art. 4§ 1, 2° WBPL • Nevendoel ‘verstrekken van persoonsgegevens aan (potentiële) overnemers’ staat te ver af van de oorspronkelijke arbeidsverhouding

Legitimiteitsvereisten Art. 4§ 1, 2° WBPL • Voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen en verwerkt

Legitimiteitsvereisten Art. 5 WBPL • ondubbelzinnige toestemming • noodzaak voor de uivoering van een overeenkomst waarbij betrokkene partij is • wettelijke verplichting • (…) • gerechtvaardigd belang van de verantwoordelijke voor de verwerking of van de derde aan wie de gegevens worden verstrekt dat zwaarder doorweegt dan het belang en de rechten van de betrokkene op de bescherming van zijn persoonlijke levenssfeer.

Legitimiteitsvereisten Art. 5 WBPL • ondubbelzinnige toestemming • noodzaak voor de uivoering van een overeenkomst waarbij betrokkene partij is • wettelijke verplichting • (…) • gerechtvaardigd belang van de verantwoordelijke voor de verwerking of van de derde aan wie de gegevens worden verstrekt dat zwaarder doorweegt dan het belang en de rechten van de betrokkene op de bescherming van zijn persoonlijke levenssfeer

Proportionaliteitsvereiste Art. 4§ 1, 3° WBPL • Toereikend, terzake dienend en niet overmatig zijn gelet op de doeleinden van de verwerking.

Legitimiteit & proportionaliteit Dubbele test • Belangenafweging • Proportionaliteit

Legitimiteit & proportionaliteit Registratiekamer (NL) 2 november 1998 Belangenafweging • Belang van de werkgever weegt in dit geval niet op tegen het privacybelang van de werknemer • Potentiële koper heeft in principe voldoende aan gegevens op gegaggregeerd niveau Proportionaliteit

Basisregel Belangenafweging • Belang van de werknemer weegt het zwaarst • Geen doorgifte aan Company B van tot personen herleidbare gegevens

Uitzondering Belangenafweging • Gerechtvaardige noodzaak werkgever (Company A) /overnemer (Company B) Proportionaliteit • Beperking van het aantal ontvangers tot strikte minimum • Geen vrijgave van meer gegevens dan strikt noodzakelijk

Uitzondering Belangenafweging • Lopende fraudeonderzoeken binnen Company A • Claims wegens arbeidsongevallen bij company A Proportionaliteit • Enkel advocaten van Company B die het due diligence onderzoek verrichten

Uitzondering Belangenafweging • Vervaldatum van het uitgavecontract met een auteur van bestsellers Proportionaliteit • Company B zelf.

Praktische problemen Art. 51 KB 13/02/01 “ (…) wanneer de gegevens uitsluitend worden gebruikt voor die loonadministratie en alleen worden meegedeeld aan de ontvangers die daartoe gerechtigd zijn (…)”

Praktische problemen Art. 51 KB 13/02/01 “ (…) wanneer de gegevens uitsluitend worden gebruikt voor die loonadministratie en alleen worden meegedeeld aan de ontvangers die daartoe gerechtigd zijn (…)” Vrijstelling laat geen mededeling aan Company B toe

Praktische problemen Art. 52 KB 13/02/01 “ De verwerkte persoonsgegevens (…) mogen alleen in het kader van de toepassing van een wets- of verordeningsbepaling of indien nodig voor de verwezenlijking van de doelstellingen van de verwerking aan derden worden meegedeeld”

Praktische problemen Art. 52 KB 13/02/01 “ De verwerkte persoonsgegevens (…) mogen alleen in het kader van de toepassing van een wets- of verordeningsbepaling of indien nodig voor de verwezenlijking van de doelstellingen van de verwerking aan derden worden meegedeeld” Vrijstelling laat geen mededeling aan Company B toe

Praktische problemen Oplossing? • Nieuwe aangifte aan de CBPL

Praktische problemen Art. 9§ 2 WBPL • Verplichting tot informatieverstrekking aan de betrokkene – op het ogenblik van de eerste registratie of – bij de eerste mededeling aan de derde ontvanger

Praktische problemen Art. 9§ 2 WBPL • Uitzondering op de verplichting tot informatieverstrekking : “wanneer de kennisgeving aan de betrokkene onmogelijk blijkt of onevenredig veel moeite kost” Art. 30 KB 13/02/01 • Informatieverstrekking bij eerste contactname

Preventieve maatregelen? Art. 5 WBPL Art. 27 KB 13/02/01 • Ondubbelzinnige toestemming in AO? • Geen vrije toestemming in actuele of potentiële arbeidsrelatie

Preventieve maatregelen? Art. 9§ 1 WBPL • Informatieverstrekking bij het verkrijgen van de gegevens

Preventieve maatregelen? Art. 17§ 1 WBPL • Aangifte doen van uw personeelsadministratie en loonsadministratie bij de CBPL, ook indien u in aanmerking komt voor een vrijstelling.

Japan Art. 21 WBPL • Geen doorgifte van persoonsgegevens naar landen buiten de Europese Gemeenschap die geen passend beschermingsniveau bieden

Uitzonderingen Art. 22 WBPL • Ondubbelzinnige toestemming • Uitvoering overeenkomst tussen werknemer en Company A • Uitvoering overeenkomst tussen Company A en derde in het voordeel van werknemer • Individuele machtiging door de Koning.

Uitzonderingen Beschikking 2001/497/EG • Standaard clausules om contractuele garanties te verkrijgen inzake een adequaat beschermingsniveau.

Samenvattend Preventief (Company A) • Correcte informatie aan de werknemers bij het inzamelen van de gegevens • Toestemming in de AO • Aangifte van de verwerkingen aan de CBPL

Samenvattend Vóór due diligence (Company A/B) • TBDF contract overeenkomstig de clausules van het standaardcontract in bijlage bij Beschikking 2001/479/EG.

Samenvattend Tijdens due diligence (Company A/B) • Basisregel : – Enkel doorgifte van gegaggregeerde, niet tot personen herleidbare gegevens. • Uitzondering : – specifieke noodzaak om persoonsgegevens door te geven – beperking van het aantal ontvangers tot strikte minimum – geen vrijgave van meer gegevens dan strikt noodzakelijk

Casus Doorgifte van klantenbestand na een internationale overname

e. Bay-i. Bazar EU i. Bazar Klantengegevens Opt out Casus 2 US

Toestemming ‘Opt Out’ e. Bay • ‘Opt out’ mogelijkheid = ondubbelzinnige toestemming in de zin van artikel 22, 1° WBPL Registratiekamer (NL) • Toestemming veronderstelt “wilsuiting”.

Toestemming ‘Opt Out’ e. Bay • ‘Opt out’ mogelijkheid = ondubbelzinnige toestemming in de zin van artikel 22, 1° WBPL Registratiekamer (NL) • Toestemming veronderstelt “wilsuiting”.

Overeenkomst i. Bazar. Klant e. Bay • Doorgifte is noodzakelijk voor de uitvoering van de overeenkomst tussen i. Bazar en de klant (art. 22, 2° WBPL) Registratiekamer (NL) • Er bestaat geen overeenkomst Klant-e. Bay. • Doorgifte is niet noodzakelijk voor de uitvoering van de overeenkomst Klant-i. Bazar.

Overeenkomst i. Bazar. Klant e. Bay • Doorgifte is noodzakelijk voor de uitvoering van de overeenkomst tussen i. Bazar en de klant (art. 22, 2° WBPL) Registratiekamer (NL) • Er bestaat geen overeenkomst Klant-e. Bay. • Doorgifte is niet noodzakelijk voor de uitvoering van de overeenkomst Klant-i. Bazar.

Overeenkomst in belang Klant e. Bay • Doorgifte is in voordeel Klant (art. 22, 3° WBPL) : privacyverklaring e. Bay biedt betere garanties Registratiekamer (NL) • Privacyverklaring kan niet gelijk worden gesteld met wetgeving • e. Bay doet niet mee aan ‘Safe Harbor’ • Overeenkomst e. Bay-i. Bazar is niet in het belang van de klant gesloten.

Overeenkomst in belang Klant e. Bay • Doorgifte is in voordeel Klant (art. 22, 3° WBPL) : privacyverklaring e. Bay biedt betere garanties Registratiekamer (NL) • Privacyverklaring kan niet gelijk worden gesteld met wetgeving • e. Bay doet niet mee aan ‘Safe Harbor’ • Overeenkomst e. Bay-i. Bazar is niet in het belang van de klant gesloten.

Toestemming ‘Opt in’ Registratiekamer (NL) • Actief onderschrijven van statement : "… j'accepte : que mes coordonnées personnelles ainsi que mes informations de facturation soient transférées et traitées aux Etats-Unis"

Alternatieven Art 22 in fine WBPL • Individuele machtiging in Lidstaten Beschikking 2001/497/EG • Contractuele garanties inzake een adequaat beschermingsniveau US Safe Harbor • Garanties door zelfcontrole onder toezicht FTC

Dank U