Overdracht van Persoonsgegevens naar Derde Landen Praktische Case Studies

1. Overdracht van Persoonsgegevens naar Derde LandenPraktische Case Studies Thomas De Meese Advocaat Kunstlaan 27 - 1040 Brussel Tel : 02/231.17.99 - Fax : 02/230.63.99 Email : tdemeese@crowell.com www.crowell.com

2. Inhoud Casus 1 • Persoonsgegevens en due diligence in het kader van een internationale overname • Doorgifte van klantenbestand na een internationale overname Casus 2

3. Persoonsgegevens en due diligence in het kader van een internationale overname Casus 1

4. Due diligence • werknemers EU • klanten • leveranciers Company A Data ? Casus 1 JAPAN Company B

5. Due diligence • werknemers EU • klanten • leveranciers Company A Data ? Casus 1 JAPAN Company B

6. Due diligence Casus Vertrekpunt • Verwerkingen : • Personeelsadministratie • Loonadministratie • Bron : • werknemers zelf • informatieverstrekking (art. 9§1) : • in AO of op formulier waarmee gegevens worden verkregen; • “behalve indien hij hiervan reeds op de hoogte is”.

7. Due diligence Casus Vertrekpunt • Aangifte CBPL : • Personeelsadministratie : vrijstelling (art. 52 KB van 13 februari 2001) • Loonadministratie : vrijstelling (artikel 51 KB van 13 februari 2001

8. Considerans n°60 Richtlijn 95/46/EG “Overwegende dat doorgifte naar derde landen slechts mogelijk is met volledige inachtneming van de bepalingen welke de Lidstaten hebben vastgesteld ter uitvoering van deze richtlijn en met name (o.a.) van artikel 8”

9. Compatibiliteitsvereiste Art. 4§1, 2° WBPL • (…) niet verder worden verwerkt op een wijze die, rekening houdend met alle relevante factoren, met name met de redelijke verwachtingen van de betrokkene, …, onverenigbaar is met die doeleinden.

10. Compatibiliteitsvereiste Art. 4§1, 2° WBPL • (…) niet verder worden verwerkt op een wijze die, rekening houdend met alle relevante factoren, met name met de redelijke verwachtingen van de betrokkene, …, onverenigbaar is met die doeleinden.

11. Compatibiliteitsvereiste Registratiekamer (NL)2 november 1998 Art. 4§1, 2° WBPL • Nevendoel ‘verstrekken van persoons-gegevens aan (potentiële) overnemers’ staat te ver af van de oorspronkelijke arbeidsverhouding

12. Legitimiteitsvereisten Art. 4§1, 2° WBPL • Voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen en verwerkt

13. Legitimiteitsvereisten Art. 5 WBPL • ondubbelzinnige toestemming • noodzaak voor de uivoering van een overeenkomst waarbij betrokkene partij is • wettelijke verplichting • (…) • gerechtvaardigd belang van de verantwoordelijke voor de verwerking of van de derde aan wie de gegevens worden verstrekt dat zwaarder doorweegt dan het belang en de rechten van de betrokkene op de bescherming van zijn persoonlijke levenssfeer.

14. Legitimiteitsvereisten Art. 5 WBPL • ondubbelzinnige toestemming • noodzaak voor de uivoering van een overeenkomst waarbij betrokkene partij is • wettelijke verplichting • (…) • gerechtvaardigd belang van de verantwoordelijke voor de verwerking of van de derde aan wie de gegevens worden verstrekt dat zwaarder doorweegt dan het belang en de rechten van de betrokkene op de bescherming van zijn persoonlijke levenssfeer

15. Proportionaliteitsvereiste Art. 4§1, 3° WBPL • Toereikend, terzake dienend en niet overmatig zijn gelet op de doeleinden van de verwerking.

16. Legitimiteit & proportionaliteit Dubbele test • Belangenafweging • Proportionaliteit

17. Legitimiteit & proportionaliteitRegistratiekamer (NL)2 november 1998 Belangen- afweging • Belang van de werkgever weegt in dit geval niet op tegen het privacybelang van de werknemer • Potentiële koper heeft in principe voldoende aan gegevens op gegaggregeerd niveau Propor- tionaliteit

18. Basisregel Belangen- afweging • Belang van de werknemer weegt het zwaarst • Geen doorgifte aan Company B van tot personen herleidbare gegevens

19. Uitzondering Belangen- afweging • Gerechtvaardige noodzaak werkgever (Company A) /overnemer (Company B) • Beperking van het aantal ontvangers tot strikte minimum • Geen vrijgave van meer gegevens dan strikt noodzakelijk Propor- tionaliteit

20. Uitzondering Belangen- afweging • Lopende fraudeonderzoeken binnen Company A • Claims wegens arbeidsongevallen bij company A • Enkel advocaten van Company B die het due diligence onderzoek verrichten Propor- tionaliteit

21. Uitzondering Belangen- afweging • Vervaldatum van het uitgavecontract met een auteur van bestsellers • Company B zelf. Propor- tionaliteit

22. Praktische problemen Art. 51 KB 13/02/01 “ (…) wanneer de gegevens uitsluitend worden gebruikt voor die loonadministratie en alleen worden meegedeeld aan de ontvangers die daartoe gerechtigd zijn (…)”

23. Praktische problemen Art. 51 KB 13/02/01 “ (…) wanneer de gegevens uitsluitend worden gebruikt voor die loonadministratie en alleen worden meegedeeld aan de ontvangers die daartoe gerechtigd zijn (…)” Vrijstelling laat geen mededeling aan Company B toe

24. Praktische problemen Art. 52 KB 13/02/01 “ De verwerkte persoonsgegevens (…) mogen alleen in het kader van de toepassing van een wets- of verordeningsbepaling of indien nodig voor de verwezenlijking van de doelstellingen van de verwerking aan derden worden meegedeeld”

25. Praktische problemen Art. 52 KB 13/02/01 “ De verwerkte persoonsgegevens (…) mogen alleen in het kader van de toepassing van een wets- of verordeningsbepaling of indien nodig voor de verwezenlijking van de doelstellingen van de verwerking aan derden worden meegedeeld” Vrijstelling laat geen mededeling aan Company B toe

26. Praktische problemen Oplossing? • Nieuwe aangifte aan de CBPL

27. Praktische problemen Art. 9§2 WBPL • Verplichting tot informatieverstrekking aan de betrokkene • op het ogenblik van de eerste registratie of • bij de eerste mededeling aan de derde ontvanger

28. Praktische problemen Art. 9§2 WBPL • Uitzondering op de verplichting tot informatieverstrekking : “wanneer de kennisgeving aan de betrokkene onmogelijk blijkt of onevenredig veel moeite kost” • Informatieverstrekking bij eerste contactname Art. 30 KB 13/02/01

29. Preventieve maatregelen? Art. 5 WBPL • Ondubbelzinnige toestemming in AO? • Geen vrije toestemming in actuele of potentiële arbeidsrelatie Art. 27 KB 13/02/01

30. Preventieve maatregelen? Art. 9§1 WBPL • Informatieverstrekking bij het verkrijgen van de gegevens

31. Preventieve maatregelen? Art. 17§1 WBPL • Aangifte doen van uw personeelsadministratie en loonsadministratie bij de CBPL, ook indien u in aanmerking komt voor een vrijstelling.

32. Japan Art. 21 WBPL • Geen doorgifte van persoonsgegevens naar landen buiten de Europese Gemeenschap die geen passend beschermingsniveau bieden

33. Uitzonderingen Art. 22 WBPL • Ondubbelzinnige toestemming • Uitvoering overeenkomst tussen werknemer en Company A • Uitvoering overeenkomst tussen Company A en derde in het voordeel van werknemer • Individuele machtiging door de Koning.

34. Uitzonderingen Beschikking 2001/497/EG • Standaard clausules om contractuele garanties te verkrijgen inzake een adequaat beschermingsniveau.

35. Samenvattend Preventief (Company A) • Correcte informatie aan de werknemers bij het inzamelen van de gegevens • Toestemming in de AO • Aangifte van de verwerkingen aan de CBPL

36. Samenvattend Vóór due diligence (Company A/B) • TBDF contract overeenkomstig de clausules van het standaardcontract in bijlage bij Beschikking 2001/479/EG.

37. Samenvattend Tijdens due diligence (Company A/B) • Basisregel : • Enkel doorgifte van gegaggregeerde, niet tot personen herleidbare gegevens. • Uitzondering : • specifieke noodzaak om persoonsgegevens door te geven • beperking van het aantal ontvangers tot strikte minimum • geen vrijgave van meer gegevens dan strikt noodzakelijk

38. Doorgifte van klanten- bestand na een inter- nationale overname Casus

39. eBay-iBazar EU Klantengegevens iBazar Opt out  Casus 2 US

41. Toestemming‘Opt Out’ eBay • ‘Opt out’ mogelijkheid = ondubbelzinnige toestemming in de zin van artikel 22,1° WBPL • Toestemming veronderstelt “wilsuiting”. Registratie- kamer (NL)

42. Toestemming‘Opt Out’ eBay • ‘Opt out’ mogelijkheid = ondubbelzinnige toestemming in de zin van artikel 22,1° WBPL • Toestemming veronderstelt “wilsuiting”. Registratie- kamer (NL)

43. Overeenkomst iBazar-Klant eBay • Doorgifte is noodzakelijk voor de uitvoering van de overeenkomst tussen iBazar en de klant (art. 22,2° WBPL) • Er bestaat geen overeenkomst Klant-eBay. • Doorgifte is niet noodzakelijk voor de uitvoering van de overeenkomst Klant-iBazar. Registratie- kamer (NL)

44. Overeenkomst iBazar-Klant eBay • Doorgifte is noodzakelijk voor de uitvoering van de overeenkomst tussen iBazar en de klant (art. 22,2° WBPL) • Er bestaat geen overeenkomst Klant-eBay. • Doorgifte is niet noodzakelijk voor de uitvoering van de overeenkomst Klant-iBazar. Registratie- kamer (NL)

45. Overeenkomst in belang Klant eBay • Doorgifte is in voordeel Klant (art. 22,3° WBPL) : privacyverklaring eBay biedt betere garanties • Privacyverklaring kan niet gelijk worden gesteld met wetgeving • eBay doet niet mee aan ‘Safe Harbor’ • Overeenkomst eBay-iBazar is niet in het belang van de klant gesloten. Registratie- kamer (NL)

46. Overeenkomst in belang Klant eBay • Doorgifte is in voordeel Klant (art. 22,3° WBPL) : privacyverklaring eBay biedt betere garanties • Privacyverklaring kan niet gelijk worden gesteld met wetgeving • eBay doet niet mee aan ‘Safe Harbor’ • Overeenkomst eBay-iBazar is niet in het belang van de klant gesloten. Registratie- kamer (NL)

47. Toestemming‘Opt in’ Registratie- kamer (NL) • Actief onderschrijven van statement : "… j'accepte : que mes coordonnées personnelles ainsi que mes informations de facturation soient transférées et traitées aux Etats-Unis"

48. Alternatieven Art 22 in fine WBPL • Individuele machtiging in Lidstaten • Contractuele garanties inzake een adequaat beschermingsniveau • Garanties door zelfcontrole onder toezicht FTC Beschikking 2001/497/EG US Safe Harbor

49. Dank U