Virksomheder med godkendte BCR-C skal senest ved udgangen af 2024 indsende opdaterede bindende virksomhedsregler til godkendelse. Kravene følger af Det Europæiske Databeskyttelsesråds nye anbefalinger, som skærper ansvar, rettigheder og håndhævelse på tværs af koncernen.
Opdateringskrav til BCR-C og EDPB’s anbefalinger
EDPB har opdateret rammen for BCR-C for at sikre et gyldigt overførselsgrundlag efter GDPR. Anbefalingerne adresserer blandt andet allokering af hæftelsesansvar, adgang til retsmidler og kompensation for registrerede samt øget gennemsigtighed ved myndighedsanmodninger. Se anbefalingerne hos EDPB.
De nye krav omfatter også håndhævelse af registreredes rettigheder som tredjemandsbegunstigede, procedurer for behandling af klager og krav om passende koncernintern sikkerhedsstillelse. BCR skal desuden beskrive forholdet til lokal lovgivning i modtagerlandene og indarbejde effektive kontrol- og auditmekanismer.
Praktiske skridt for compliance og dokumentation
Organisationer bør gennemføre en målrettet gap-analyse af eksisterende BCR, opdatere governance, politikker og koncerninterne aftaler og sikre proces for klager, afhjælpning og erstatning. Der skal foreligge klar dokumentation for rollefordeling mellem dataansvarlige og databehandlere og for håndtering af myndighedsadgang.
BCR er hjemlet i GDPR artikel 47 og anvendes sammen med overførselsreglerne i artiklerne 44–49. Opdaterede BCR skal indsendes til den ledende tilsynsmyndighed, og der må forventes sagsbehandlingstid, som bør indregnes i projektplanen.
Frist, omfang og risici ved manglende opdatering
Opdateringskravet gælder både for allerede godkendte BCR-C og for verserende ansøgninger. Arbejdet kan være komplekst og bør igangsættes tidligt for at sikre rettidig godkendelse og fortsat lovligt overførselsgrundlag.
Manglende opdatering kan føre til, at tredjelandsoverførsler mangler gyldig hjemmel og potentielt udløser håndhævelse fra tilsynsmyndigheder. Virksomheder bør derfor sikre forankring på ledelsesniveau, ressourcer til implementering og tæt dialog med tilsynet.
