2020年11月12日,欧盟委员会(“EC”) published a 执行决定草案 根据标准合同条款(“SCCs”),以根据欧盟通用数据保护条例EU 2016/679将个人数据传输到第三国(“GDPR”), along with the draft set of new 鳞状细胞癌 (总的来说,“Cross-Border 鳞状细胞癌 ”).
与现有的SCC集不同,后者仅适用于源自欧洲经济区的两种类型的转移(“EEA”)(控制器到控制器和控制器到处理器),建议的跨境SCC采用模块化概念,以适应各种传输场景和现代处理链的复杂性:
虽然现有的SCC解决了上述情况中的前两种情况,但组织已经在相当长的一段时间内与后两种情况作了斗争(至少自GDPR生效以来),解决这些问题的SCC可能是这些组织欢迎的补充。此外,EC指出,超过两(2)个缔约方可以使用一套SCC,从而大大减少了组织在加入新的供应商或服务提供商时(或当他们必须替换新的供应商或服务提供商时)需要签订的协议的数量。现有的SCC和这些新的跨境SCC)。
The Cross-Border 鳞状细胞癌 also contain several new obligations, some of which include:
除了跨境SCC之外,EC还发布了位于EEA内的控制器与处理器之间的SCC草案草案,其中包含条款,控制器可以强加于其处理器上以满足该控制器的要求。’根据GDPR第28条,控制人有义务实施的合同规定。 这些第28条的条款不是强制性的,企业可以继续使用量身定制的数据处理协议来满足第28条的要求。
The Cross-Border 鳞状细胞癌 address the challenges following the 施雷姆斯二世 欧洲法院2020年7月的裁决。这些新的SCC包括明确说明如果适用于数据导入者的法律干扰其遵守条款的能力,数据导入者应如何应对的语言,尤其是在政府当局发布具有约束力的访问个人数据的请求时。欧共体’该决定草案还涉及应对进口国影响的其他要求’双方的法律’合同承诺,并指出只有在数据起源于EEA时才需要这些承诺,而当控制者是进口商并且仅获取最初发送给处理器进行处理的数据时则不需要。该声明似乎是在暗中暗示GDPR的要求仅适用于EEA中的个人,不适用于与受GDPR约束的公司进行互动的其他国家/地区中的个人。此外,该决定还建议这些跨境SCC在直接受GDPR约束的实体与不受GDPR约束的实体之间传输个人数据时适用。
既是欧共体’的决定和拟议的跨境SCC描述了当事方必须解决外国法律对SCC提供的保护水平的影响的三种方式:
跨境SCC公开征询公众意见,直至2020年12月10日。一旦获得批准,这些条款将取代组织以前使用的SCC,作为根据GDPR进行国际个人数据传输的适当保障。最终的SCC预计将于2021年初采用。组织将在跨境SCC生效之日起十二(12)个月内,以取代目前通过Cross进行国际个人数据传输所依赖的任何现有SCC。 -边界SCC。
但是,组织应该开始理解由于新的SCC(尤其是那些直接解决处理器-处理器或处理器-控制器方案的SCC)而可能需要重新考虑的现有SCC的范围,并且应该为潜在的SCC做准备。尝试纳入EDPB建议书中描述的其他措施的细节时,引起了激烈的讨论。
For questions or additional information on this topic, please contact any of the authors or your 佛利 relationship partner.