Laura Van Gompel – De GDPR had zeker ook impact buiten de EU, bijvoorbeeld in Mexico. Als gevolg van de AVG, gewijzigde nalevings- en gegevensbeschermingsprogramma’s wereldwijd, moesten veel Mexicaanse bedrijven zich aanpassen aan nieuwe processen of praktijken opgelegd door hun Europese zakenpartners of moedermaatschappijen. Bovendien ondergaan ook Mexicaanse bedrijven directe gevolgen van de GDPR.
INVLOED VAN GDPR OP MEXICAANSE BEDRIJVEN
Allereerst wordt de AVG van toepassing op Mexicaanse bedrijven die diensten of goederen aanbieden aan betrokkenen die zich in de EER bevinden. Of het Mexicaanse bedrijf in kwestie optreedt als verwerkingsverantwoordelijke of verwerker is niet relevant, evenals de locatie van de verwerkingsactiviteit. Ook maakt het niet uit of de transactie gratis was of tegen betaling.
De enkele voorwaarde dat de verwerking betrekking heeft op de persoonsgegevens van een in de EER gevestigde betrokkene, omdat goederen of diensten binnen de EER worden aangeboden, maakt de aanbieder/gegevensverwerker aansprakelijk onder de AVG.
Ten tweede is de AVG een belangrijke regelgever wanneer Mexicaanse bedrijven, als gevolg van een gegevensoverdracht, toegang krijgen tot door de AVG beschermde persoonsgegevens. Bijvoorbeeld: wanneer een Europese verwerkingsverantwoordelijke persoonsgegevens doorgeeft aan een Mexicaanse verwerker. In dit geval is niet alleen een schriftelijke overeenkomst voor gegevensverwerking op grond van artikel 28 AVG vereist, maar ook een voldoende overdrachtsinstrument in de zin van de artikelen 46 e.v. AVG.
Een verwerkersovereenkomst artikel 28 hoeft op zich geen probleem te zijn. Aangezien partijen de overeenkomst kunnen “vormen” in overeenstemming met hun gegevensverwerkingskader, hun regelingen en respectieve aansprakelijkheden, inclusief natuurlijk alle elementen die in artikel 28 worden uiteengezet.
ARTIKEL 46
Naleving van artikel 46 e.v. De AVG zal echter niet vanzelfsprekend zijn. Aangezien Mexico geen adequaatheidsbesluit in zijn voordeel heeft ontvangen, zullen de standaardcontractbepalingen, zoals uitgevaardigd door de Europese Commissie, het meest voor de hand liggende instrument zijn (zie de versie van juni 2021). Houd er rekening mee dat ook de officiële SCC’s niet noodzakelijkerwijs voldoende zijn om “voldoende garantie” te geven in de zin van Hoofdstuk V AVG. Volgens de EDPB-aanbevelingen van juni 2021 moeten voor sommige doorgiften buiten de EER, naast de SCC’s, aanvullende maatregelen worden genomen. Dit om “een in wezen gelijkwaardig beschermingsniveau te garanderen dat voldoet aan de EU-normen inzake grondrechten, noodzaak en evenredigheid”.
De EDPB stelt dat “Standaardcontractbepalingen en andere overdrachtsinstrumenten die worden genoemd in artikel 46 AVG niet in een vacuüm werken.” De exporterende partij dient per geval en, indien van toepassing, in samenwerking met de importeur in het derde land na te gaan of de wetgeving of praktijk van het derde land afbreuk doet aan de doeltreffendheid van de passende waarborgen in het artikel 46 AVG-overdrachtstools.
Volgens het EDPB moet deze beoordeling door de exporteur elementen bevatten:
- of overheidsinstanties van het derde land van uw importeur toegang tot de gegevens mogen proberen, met of zonder medeweten van de gegevensimporteur, in het licht van wetgeving, praktijk en gerapporteerde precedenten;
- of overheidsinstanties van het derde land van uw importeur mogelijk toegang hebben tot de gegevens via de gegevensimporteur of via de telecommunicatieaanbieders of communicatiekanalen in het licht van wetgeving, wettelijke bevoegdheden, technische, financiële en personele middelen waarover zij beschikken, en van gerapporteerde precedenten
De Mexicaanse “situatie” is geen onderwerp geweest van enige Europese jurisprudentie. Echter, rekening houdend met Schrems II en de bovengenoemde EDPB-richtsnoeren, lijkt het passend om artikel 46 SCC’s te combineren met aanvullende maatregelen, voor gegevensdoorgifte aan Mexicaanse importeurs. Bepaalde lokale wetten reguleren inderdaad (communicatie)surveillance door overheidsinstanties* en staan deze toe.
BENT U EEN MEXICAANS BEDRIJF OP ZOEK NAAR JURIDISCH ADVIES OF DIENSTEN?
Neem gerust contact met ons op voor juridische expertise op maat via onze Spanish Desk.
Voetnoten:
*Código Nacional de Procedimientos Penales, Ley de la Policía Federal, Ley de Seguridad Nacional, Ley Federal de Telecomunicaciones y Radiodifusión, Ley Federal Contra de Delincuencia Organizada, Ley General para prevenir y Sancionar los Delitos en Materia de Secuestro, etc.
