geactualiseerd i.f.v. de AVG

Procedure bindende bedrijfsvoorschriften

Alle doorgiftes van persoonsgegevens die worden verricht buiten de Europese Unie moeten de betrokkenen een passende beschermingsniveau garanderen (art. 44 AVG)  Dit passend beschermingsniveau kan worden gegarandeerd met verschillende mechanismen waaronder de BCR  (art. 47 AVG).  De BCR stellen ondernemingen in staat om binnen eenzelfde ondernemingsgroep gegevens uit te wisselen buiten de Europese Uni, zonder dat beschermingsniveau voor de personen, als gewaarborgd door de AVG, in het gedrang komt.

Welke procedure moet gevolgd worden om de BCR te kunnen voorleggen?

STAP 1

U bent verwerkingsverantwoordelijke? Vul het formulier WP264
U bent verwerker? Vul het formulier WP265.

STAP 2

Onder afdeling 1 van het formulier WP264 of WP265, vermeld onder stap 1, moet u een "bevoegde" autoriteit aanduiden (art. 64 AVG) en uw keuze verantwoorden overeenkomstig de criteria vermeld onder punt 1.2 van WP263 rev. 01. U bezorgt de aangeduide autoriteit de informatie als opgelijst onder punt 1.5 van WP263 rev.01.

STAP 3

2 weken
(+ max 2 weken)
De aangeduide autoriteit neemt een beslissing over haar bevoegdheid. Desgevallend kan zij u bijkomende informatie vragen. Als zij zich bevoegd acht om de BCR te onderzoeken, licht zij de andere betrokken autoriteiten  in over haar beslissing. De betrokken autoriteiten hebben twee weken om over deze bevoegdheid bezwaren te uiten.

In een BCR-procedure, zijn de betrokken autoriteiten:
• In het kader van de bindende bedrijfsvoorschriften voor de verwerkingsverantwoordelijke: alle autoriteiten van de landen van waaruit de aanvrager doorgiftes verricht.
• In het kader van de bindende bedrijfsvoorschriften voor de verwerkers:  zijn alle autoriteiten betrokken.
1 maandWaneer de autoriteit die door de aanvrager werd aangeduid, meent dat zij niet bevoegd is, motiveert zij haar beslissing en beveelt ze in overleg met de andere betrokken autoriteiten een meer geschikte autoriteit aan.

STAP 4

Geen termijnen

Als de betrokken autoriteiten binnen de twee maanden geen bezwaren hebben geuit over de bevoegdheid van de autoriteit die de aanvrager heeft aangeduid, wordt de aangeduide autorit aanzien als "bevoegd" om de BCR-procedure te leiden. Zij stelt een of twee ondersteunende autoriteiten aan (co-reviewer(s) - er worden twee ondersteunende autoriteiten aangeduid als 14 of meer dan 14 Lidstaten) en vervolgens start ze met het BCR-onderzoek uitgaande van de criteria opgelijst in WP256 (voor de verwerkingsverantwoordelijken) en in WP257 (voor de verwerkers).  

1 maandWanneer de "bevoegde" autoriteit meent dat de BCR in overeenstemming zijn met de opgelijste criteria in de richtsnoeren in WP256 (voor de verwerkingsverantwoordelijken) en in WP257 (voor de verwerkers), bezorgt zij de BCR aan de ondersteunende autoriteiten (co-reviewer(s)). Vanaf de verzending van de BCR door de "bevoegde" autoriteit, heeft/ hebben de ondersteunende autoriteit(en) een maand om haar/hun eventuele bezwaren aangaande de overeenstemming met de regels aan de "bevoegde autoriteit" te bezorgen. Wanneer zij bezwaren hebben, zal de "bevoegde" autoriteit deze bezorgen aan de aanvrager.

STAP 5

Max 1 maandWanneer de "bevoegde" autoriteit en de ondersteunende autoriteiten het erover eens zijn dat de BCR een passend beschermingsniveau bieden, bezorgt de "bevoegde" autoriteit de voorschriften aan alle betrokken autoriteiten voor hun eventuele commentaar en/of bezwaren. Deze raadpleging duurt niet langer dan een maand.
Geen termijnenWanneer de toezichthoudende autoriteiten bezwaren hebben, zal de "bevoegde" autoriteit deze bezorgen aan de aanvrager.

STAP 6

8 weken
(plus max 6 weken)

Wanneer de betrokken DPA geen bezwaren uiten tegen de BCR, en het Algemeen Secretariaat de geconsolideerde beslissing goedkeurt, bezorgt de "bevoegde" autoriteit haar beslissing en de relevante informatie aan het Europees Comité voor Gegevensbescherming (hierna "ECG")  dat een advies uitbrengt overeenkomstig artikel 64.3 van de AVG en artikel 10 van zijn procedureregels, binnen een termijn van 8 weken, verlengbaar met 6 weken.

Geen

a. Wanneer de ECG de BCR goedkeurt, kan de "bevoegde" autoriteit ze aannemen.
b. Als het ECG van oordeel is dat er amendementen nodig zijn, deelt de "bevoegde" autoriteit dit mee aan de aanvrager.

STAP 7

Geen   Wanneer de BCR zijn goedgekeurd door de "bevoegde" autoriteit, worden ze meegedeeld aan alle betrokken autoriteiten.

▶ OPGELET

De nationale goedkeuringsprocedures bestaan niet langer, overeenkomstig artikel 46.2 van de AVG!