Wat zijn Standard Contractual Clauses (SCCs) onder de AVG?

Standard Contractual Clauses (SCCs) zijn standaardcontracten die de Europese Commissie heeft goedgekeurd voor doorgifte van persoonsgegevens naar landen buiten de EU/EER (zogenaamde "derde landen"). Ze zijn de meest gebruikte basis (AVG Art. 46 lid 2c) voor doorgifte naar landen zonder adequaatheidsbesluit. Nieuwe SCCs (2021): de EC publiceerde Besluit 2021/914 op 4 juni 2021 — alle oude SCCs zijn sinds 27 dec 2022 ongeldig en moesten worden vervangen. Vier modules: (1) Controller-Controller, (2) Controller-Processor, (3) Processor-Processor, (4) Processor-Controller. Kies de juiste module per relatie. Verplichte aanvullingen na Schrems II: sinds dat arrest (zie ons artikel Schrems II) MOET je een Transfer Impact Assessment (TIA) doen: beoordeel of het bestemmingsland aanvullende waarborgen biedt voor o.a. overheidstoegang. Zonder TIA én aanvullende maatregelen zijn SCCs alleen niet meer voldoende. Aanvullende maatregelen: encryptie at-rest + in-transit, pseudonimisering, gesplitste sleutels, zero-access-architecturen. Wanneer SCCs niet werken: als het bestemmingsland surveillance-wetgeving heeft die met de essentie van EU-rechten conflicteert (bv. USA FISA 702 — Schrems II vindbaar). Dan moet je extra technische + organisatorische maatregelen, of een andere doorgifte-grondslag. Praktisch: grote Amerikaanse cloud-leveranciers (AWS, Google Cloud, Microsoft Azure) bieden SCCs + DPA in standaard contracten. Sinds 2023 ook EU-US Data Privacy Framework als bijkomende route — maar voorbereid op nog een Schrems III.