Bindende virksomhedsregler (BCR)
Bindende virksomhedsregler – også kaldet BCR (Binding Corporate Rules) – er et sæt regler om beskyttelse af personoplysninger, som en virksomhed etableret i EU kan anvende som grundlag for overførsel af personoplysninger til andre dele af koncernen eller andre virksomheder i en gruppe af foretagender, der udøver en fælles økonomisk aktivitet.
Bindende virksomhedsregler skal godkendes af den kompetente tilsynsmyndighed (som normalt vil være tilsynsmyndigheden i den medlemsstat, hvor koncernens hovedvirksomhed ligger) i samarbejde med de øvrige datatilsyn i EU/EØS. Der er mange faktorer, der har betydning for, hvor lang tid godkendelsesproceduren tager, men det er ikke unormalt, at det tager omkring 1½ år.
Læs mere om processen i EDPB's samarbejdsprocedure for godkendelse af bindende virksomhedsregler for dataansvarlige og databehandlere samt generelt om anvendelsen af bindende virksomhedsregler i Datatilsynets vejledning om overførsel til tredjelande.
Sådan ansøger din virksomhed
For at kunne behandle en anmodning om godkendelse af bindende virksomhedsregler, har Datatilsynet brug for følgende:
Hvis virksomheden er dataansvarlig:
Hvis virksomheden er databehandler:
Læs mere om ansøgningsproceduren i EDPB's samarbejdsprocedure for godkendelse af bindende virksomhedsregler for dataansvarlige og databehandlere.
Hvis du har spørgsmål til udfyldelsen af skemaerne, er du altid velkommen til at kontakte Datatilsynet.
Trin i BCR-proceduren
Før en BCR-ansøgning kan godkendes, skal den igennem en række trin, der tilsammen udgør BCR-proceduren. For at give en indikation af, hvad sagsbehandlingstiden er på at få en BCR-ansøgning godkendt, får du med oversigten herunder et overblik over de forskellige trin i denne procedure. For hvert trin er angivet den tilstræbte sagsbehandlingstid hos Datatilsynet og Det Europæiske Databeskyttelsesråd. Hertil skal selvfølgelig lægges den tid, hvor Datatilsynet undervejs i processen afventer tilbagemeldinger fra ansøger.
| 1 |
- Datatilsynet modtager en ansøgning om godkendelse af BCR
|
| 2 |
- Datatilsynet vurderer, om tilsynet mener at være ledende tilsynsmyndighed (2 ugers sagsbehandlingstid)
- Datatilsynet hører de berørte tilsynsmyndigheder, om de har nogen indvendinger imod, at tilsynet er ledende tilsynsmyndighed (svarfrist for berørte tilsyn er normalt 2 uger)
- Datatilsynet informerer ansøgeren om udfaldet
|
| 3 |
- Datatilsynet foretager første gennemgang af BCR-ansøgningen (4 ugers sagsbehandlingstid) og sender brev med bemærkninger til ansøgeren eller dennes advokat
- Datatilsynet afventer herefter den tilrettede ansøgning fra ansøger
- Datatilsynet foretager anden gennemgang af den nu opdaterede BCR-ansøgning (3 ugers sagsbehandlingstid). Såfremt der er flere bemærkninger, sendes et brev med bemærkninger på ny til ansøgeren eller dennes advokat
- Datatilsynet afventer herefter igen den tilrettede ansøgning fra ansøger
- Eventuelt flere gennemgange (2 ugers sagsbehandlingstid pr. gennemgang) indtil Datatilsynet finder, at tilsynets bemærkninger er imødekommet
|
| 4 |
- Udpegning af en til to co-reviewers (datatilsyn fra berørte medlemsstater). Datatilsynet hører ansøgeren om eventuelle ønsker til co-reviewers og tager så vidt muligt hensyn hertil
- Datatilsynet tager kontakt til potentielle co-reviewers så tidligt som muligt i forløbet, typisk sideløbende med punkt 3
|
| 5 |
- Datatilsynet sender BCR-ansøgningen til co-reviewers, der normalt har en måned til at gennemgå denne og komme med eventuelle bemærkninger, som Datatilsynet videreformidler til ansøgeren eller dennes advokat
- Datatilsynet afventer herefter at modtage den tilrettede ansøgning fra ansøger, hvorefter den videreformidles til co-reviewers
- Eventuelt flere gennemgange indtil co-reviewers finder, at deres bemærkninger er imødekommet
|
| 6 |
- En konsolideret version af BCR-ansøgningen sendes til alle berørte tilsynsmyndigheder. I praksis cirkuleres ansøgningen i International Transfers arbejdsgruppen under Det Europæiske Databeskyttelsesråd. Fristen for eventuelle bemærkninger er en måned. Eventuelle bemærkninger videreformidles af Datatilsynet til ansøger eller dennes advokat
- Datatilsynet afventer, hvor relevant, en tilrettet ansøgning fra ansøger
- Efter omstændighederne gentages denne proces, indtil alle tilsynsmyndigheder finder, at deres bemærkninger er imødekommet
|
| 7 |
- Der foreligger herefter en endelig BCR-ansøgning
- Datatilsynet anmoder om udtalelse fra Det Europæiske Databeskyttelsesråd vedrørende Datatilsynets udkast til afgørelse om godkendelse af de pågældende BCR (2 ugers sagsbehandlingstid)
|
| 8 |
- Det Europæiske Databeskyttelsesråd vedtager sin udtalelse inden for normalt 8 og maksimalt 14 uger, jf. forordningens artikel 64, stk. 3
|
| 9 |
- Hvis udtalelsen fra Det Europæiske Databeskyttelsesråd er positiv, godkender Datatilsynet de pågældende BCR (2 ugers sagsbehandlingstid)
- Er udtalelsen negativ, kan det være nødvendigt at foretage nogle sidste ændringer i ansøgningen, før denne kan godkendes. Længden af denne proces afhænger helt af den konkrete situation
|