1/3
Advies nr 40/2016 van 20 juli 2016
Betreft: Advies uit eigen beweging betreffende de bindende ondernemingsregels (Binding corporate rules of "BCR") van de multinationale onderneming UCB (CO-A-2016-050)
De Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 29;
Gelet op het verslag van Ivan Vandermeersch;
Brengt op 20 juli 2016 het volgend advies uit:
Advies 40 / 2016 - 2/3
I. CONTEXT VAN DE AANVRAAG
1. De Commissie wenst een advies te verstrekken over de bindende ondernemingsregels (Binding corporate rules of "BCR") van de multinationale onderneming UCB en dit overeenkomstig het protocolakkoord dat op 13 juli 20111 werd afgesloten tussen de FOD Justitie en de Commissie.
2. Dit protocolakkoord definieert de elementen die in overweging moeten genomen worden om bindende ondernemingsregels (BCR) te kunnen beschouwen als voldoende waarborgen biedend in de zin van artikel 22, §1, 2de lid van de Wet van 8 december 1992 om een doorgifte van persoonsgegevens toe te staan naar een land buiten de Europese Unie dat geen passend beschermingsniveau voor persoonsgegevens biedt.
3. De Commissie werd aangesteld als de Leidende DPA (Lead DPA) bij de beoordeling van de BCR van de onderneming UCB NV. Zij leidde in die hoedanigheid de Europese samenwerkingsprocedure na afloop waarvan de BCR beschouwd werden als conform aan de voorwaarden van de referentiedocumenten van de Werkgroep “artikel 29” voor gegevensbescherming2. De Commissie verduidelijkt dat de verwerking van gezondheidsgegevens van patiënten voor onderzoeksdoeleinden en voor de ontwikkeling van klinische proeven (met inbegrip van post-marketing) en epidemiologische studies uitsluitend wordt verricht met gecodeerde gegevens en dit overeenkomstig de bijlage waarin de categorieën gegevens en de doeleinden van de gegevens vermeld staan die in België worden verwerkt en verstuurd.
II. ONDERZOEK VAN DE BCR
4. De Commissie is van mening dat de BCR van de multinationale onderneming UCB beantwoorden aan de voorwaarden zoals ze zijn opgesomd in titel IV van het protocolakkoord dat afgesloten werd tussen de FOD Justitie en de Commissie op 13 juli 20113. In dit protocolakkoord worden de voorwaarden, die door de Werkgroep "artikel 29" voor gegevensbescherming in haar werkdocumenten WP74, WP108, WP153 en WP155 werden bepaald, omgezet naar het Belgisch niveau.
5. Deze waarborgen zijn bijgevolg voldoende in de zin van artikel 22, §1, 2de lid van de Wet van 8 december 1992 om een doorgifte van persoonsgegevens toe te staan naar een land buiten de Europese Unie dat geen passend beschermingsniveau voor persoonsgegevens biedt.
1 Dit protocol is beschikbaar op de website van de Commissie
2 Werkdocumenten WP74, WP108, WP153 en WP155
3 Dit protocol is beschikbaar op de website van de Commissie
Advies 40 / 2016 - 3/3
6. De Commissie wenst bovendien te benadrukken dat het feit dat er geopteerd werd voor het invoeren van bindende ondernemingsregels, een ernstige en globale inoverwegingneming impliceert van de kwestie van de gegevensbescherming in de schoot van een groep ondernemingen en duidelijk de voortdurende aandacht weerspiegelt van de multinationale onderneming UCB voor de bescherming van dit fundamenteel recht wat door de Commissie natuurlijk naar waarde wordt geschat.
OM DEZE REDENEN,
Verstrekt de Commissie een gunstig advies over de bindende ondernemingsregels (BCR) van de multinationale onderneming UCB en oordeelt dat de grensoverschrijdende doorgiften van persoonsgegevens, die uitgevoerd worden door de Belgische entiteiten van deze onderneming zoals beschreven in de bijlagen bij de BCR, naar entiteiten die gebonden zijn door deze BCR en gevestigd zijn in een land dat geen passend beschermingsniveau biedt, toegelaten zijn.
De Wnd. Administrateur, De Voorzitter,
(get.) An Machtens (get.) Willem Debeuckelaere
