De European Data Protection Board (EDPB) heeft nieuwe richtlijnen ontwikkeld over internationale doorgifte van persoonsgegevens. Met de 'Guidelines on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR' legt de EDPB uit wat de verhouding is tussen artikel 3 en hoofdstuk 5 van de AVG.
In artikel 3 van de AVG staat dat deze wet geldt voor organisaties in de EU die persoonsgegevens verwerken, ongeacht of dit binnen of buiten de EU gebeurt; organisaties buiten de EU die online hun producten en diensten aanbieden en zich daarbij specifiek richten op mensen in de EU; en organisaties die van buiten de EU het gedrag van mensen in de EU monitoren, zolang dit gedrag ook echt plaatsvindt in de EU.
In hoofdstuk 5 van de AVG staat echter dat organisaties die persoonsgegevens vanuit de EU exporteren naar een land daarbuiten, dit alleen mogen doen als zij kunnen garanderen dat die persoonsgegevens veilig zijn in dat land. Daardoor is het niet duidelijk of een doorgifte-instrument nodig is voor organisaties waarvoor de AVG al direct geldt en die vanuit een land buiten de EU direct persoonsgegevens verzamelen van mensen in de EU. Bovendien publiceerde de Europese Commissie in juni nieuwe modelcontracten, waarin staat dat de modelcontracten niet van toepassing zijn op doorgiften naar data-importeurs waarop de AVG al direct van toepassing is.
De EDPB bepaalt nu dat een doorgifte-instrument nodig is in deze situatie. Deze organisaties kunnen gebruik kunnen maken van ad-hoc-contractbepalingen of modelcontracten speciaal voor deze situatie. De guidelines worden tot 31 januari 2022 openbaar geconsulteerd.
