Overdracht van persoonsgegevens van de Europese betrokkenen naar de Verenigde Staten

1. Arthrex hecht groot belang aan veilige overdracht van persoonsgegevens

Arthrex zorgt ervoor dat er in alle gevallen van overdracht van persoonsgegevens naar onze organisatie volledig wordt voldaan aan de relevante wet- en regelgeving op het gebied van gegevensbescherming. Wij geven prioriteit aan de bescherming van uw persoonsgegevens en blijven toegewijd aan de handhaving van de normen die worden beschreven in het EU-US Data Privacy Framework.

Arthrex implementeert in haar producten, systemen en processen de noodzakelijke beveiligingsmaatregelen, zodat erop kan worden gerekend dat doorgifte van persoonsgegevens volgens de hoogste normen wordt beschermd.

Raadpleeg de gegevensverwerkingsovereenkomst die we samen met u ondertekenen, de privacyverklaring van Arthrex of de specifieke privacyverklaring die u heeft ontvangen in de context van het product of de dienst waarvan u gebruikmaakt voor informatie over de bescherming van uw persoonsgegevens op elke locatie waar ze zich bevinden.

2. Overdracht van persoonsgegevens naar de Verenigde Staten

Arthrex voldoet aan de verplichtingen ingevolge het EU-U.S. Data Privacy Framework (EU-U.S. DPF) en de uitbreiding van het VK op het EU-U.S. DPF en het Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF), zoals uitgevaardigd door de U.S. Department of Commerce. Arthrex heeft aan de U.S. Department of Commerce verklaard dat zij zich houdt aan de beginselen van het EU-U.S. Data Privacy Framework (EU-U.S. DPF Principles) met betrekking tot de verwerking van persoonsgegevens die op basis van de EU-U.S. DPF van de Europese Unie en op basis van de uitbreiding van het VK op het EU-U.S. DPF van het Verenigd Koninkrijk zijn ontvangen. Arthrex heeft aan het U.S. Department of Commerce verklaard dat zij zich houdt aan de beginselen van het Swiss-U.S. Data Privacy Framework (Swiss-U.S DPF Principles) met betrekking tot de verwerking van persoonsgegevens die op basis van de Swiss-U.S. DPF van Zwitserland zijn ontvangen. Als er een conflict is tussen de voorwaarden van dit privacybeleid en de beginselen van het EU-U.S. DPF en/of de beginselen van het Swiss-U.S. DPF zijn de betreffende beginselen bepalend. Voor meer informatie over het Data Privacy Framework (DPF)-programma en om onze certificering te bekijken, gaat u naar https://www.dataprivacyframework.gov/.

De volgende Amerikaanse entiteiten of Amerikaanse dochterondernemingen van Arthrex houden zich aan de EU-U.S. DPF-beginselen, met inbegrip van de uitbreiding van het VK op de EU-U.S. DPF-beginselen en de Swiss-U.S. DPF-beginselen, en vallen onder de DPF-inzending van Arthrex:

• Arthrex, Inc., 1370 Creekside Blvd., Naples, Florida 34108, VS (wereldwijd hoofdkantoor)
• Arthrex Manufacturing Inc., 6875 Arthrex Commerce Dr., Ave Maria, FL 34142, VS
• Arthrex California Technology, Inc., 460 Ward Drive, Santa Barbara, California 93111, VS

In overeenstemming met het EU-U.S. DPF en de uitbreiding van het VK op het EU-U.S. DPF en het Swiss-U.S. DPF, verbindt Arthrex zich ertoe om onopgeloste klachten over onze verwerking van persoonsgegevens die wij hebben ontvangen in overeenstemming met het EU-U.S. DPF en de uitbreiding van het VK op het EU-U.S. DPF en het Swiss-U.S. DPF door te verwijzen naar ICDR-AAA DPF IRM Service, een alternatieve geschillenbeslechtingsaanbieder gevestigd in de Verenigde Staten. Als u van ons geen tijdige ontvangstbevestiging van uw klacht inzake de DPF-beginselen ontvangt of als wij uw klacht inzake de DPF-beginselen niet naar tevredenheid hebben afgehandeld, ga dan naar https://go.adr.org/dpf_irm.html voor meer informatie of om een klacht in te dienen. De diensten van ICDR-AAA worden u kosteloos aangeboden.

In overeenstemming met het EU-U.S. DPF en de uitbreiding van het VK op het EU-U.S. DPF en het Zwitserland-VS DPF, verbindt Arthrex zich ertoe klachten met betrekking tot de DPF-principes over onze verzameling en gebruik van uw persoonsgegevens op te lossen. Inwoners van de EU en het VK en Zwitserse burgers met vragen of klachten over onze verwerking van persoonsgegevens die zij hebben ontvangen op basis van het EU-U.S. DPF, de uitbreiding van het VK van het EU-VS DPF en het Swiss-U.S. DPF, dienen eerst contact op te nemen met Arthrex via privacy@arthrex.com.

Arthrex blijft verantwoordelijk en aansprakelijk op grond van de EU-U.S. DPF-beginselen, de uitbreiding van het VK van de EU-U.S. DPF en/of op grond van de Swiss-U.S. DPF-beginselen voor ingeschakelde derden die namens Arthrex persoonsgegevens verwerken op een wijze die niet in overeenstemming is met de beginselen, tenzij Arthrex bewijst dat zij niet verantwoordelijk is voor de gebeurtenis die aanleiding heeft gegeven tot de schade. Voor informatie over het type of de identiteit van derden en de doeleinden waarvoor Arthrex persoonsgegevens openbaar maakt, kunt u terecht op https://privacy.arthrex.com/nl/wij-hechten-groot-belang-aan-uw-privacy .

De Amerikaanse Federal Trade Commission (FTC) heeft met betrekking tot Arthrex onderzoeks- en handhavingsbevoegdheden. Arthrex kan naar aanleiding van rechtsgeldige verzoeken door overheidsinstanties worden verplicht tot overdracht van persoonsgegevens die we verwerken krachtens het Data Privacy Framework, om bijvoorbeeld aan eisen ingevolge de staatsveiligheid of wetshandhaving te voldoen.

Voor informatie over het type of de identiteit van derden en de doeleinden waarvoor Arthrex persoonsgegevens openbaar maakt, kunt u terecht op https://privacy.arthrex.com/nl/wij-hechten-groot-belang-aan-uw-privacy#Delen-van-persoonsgegevens. Arthrex is aansprakelijk voor de verdere doorgifte van persoonsgegevens.

Voor informatie over de rechten van personen om toegang te krijgen tot hun persoonsgegevens en om het gebruik en de openbaarmaking van persoonsgegevens te beperken, gaat u naar https://privacy.arthrex.com/nl/wij-hechten-groot-belang-aan-uw-privacy#Wat-zijn-uw-rechten en de Arthrex EMEA Privacyverklaring op https://privacy.arthrex.com/nl/europese-economische-ruimte-eema .

3. Keuzes

Indien persoonsgegevens die onder deze privacyverklaring vallen, worden gebruikt voor een nieuw doel dat wezenlijk verschilt van het doel waarvoor de persoonsgegevens oorspronkelijk werden verzameld of later werden geautoriseerd, of indien de persoonsgegevens worden bekendgemaakt aan een derde partij die geen vertegenwoordiger is van Arthrex op een wijze die niet in deze privacyverklaring is gespecificeerd, geeft Arthrex u de mogelijkheid om te kiezen of u wilt dat uw persoonsgegevens worden gebruikt of bekendgemaakt. Verzoeken om af te zien van dergelijk gebruik of openbaarmaking van persoonsgegevens moeten worden verzonden naar privacy@arthrex.com.

Bepaalde persoonsgegevens, zoals informatie over medische of gezondheidstoestanden, ras of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen, worden beschouwd als “gevoelige persoonsgegevens”. Arthrex zal “gevoelige persoonsgegevens” niet gebruiken voor een ander doel dan het doel waarvoor de gegevens oorspronkelijk zijn verzameld of waarvoor de betrokkene later toestemming heeft gegeven, tenzij Arthrex hiervoor uw toestemming heeft gekregen.

4. Rechten van betrokkenen

Een persoon van wie de persoonsgegevens aan Arthrex zijn verstrekt, heeft het recht op informatie over of zijn of haar persoonsgegevens al dan niet worden verwerkt. Een persoon van wie de persoonsgegevens worden verwerkt, heeft in dat verband het recht om Arthrex te verzoeken onjuiste persoonsgegevens te corrigeren en onvolledige persoonsgegevens aan te vullen; het recht te verzoeken om wissen van bepaalde persoonsgegevens, zoals persoonsgegevens die niet langer nodig zijn voor legitieme doelen; het recht te verzoeken om beperking van de verwerking van de bepaalde persoongegevens (bijv. onjuiste gegevens); en het recht op zogenoemde dataportabiliteit (overdracht van uw persoonsgegevens aan een andere partij). Een persoon heeft ook het recht om bezwaar te maken tegen bepaalde verwerkingsactiviteiten betreffende zijn of haar persoonsgegevens. Zoals gespecificeerd in de lokale privacywet- en regelgeving hebben personen het recht om bij een toezichthoudende autoriteit een klacht in te dienen.

Met betrekking tot persoonsgegevens die zijn ontvangen of overgedragen conform het DPF, kunt u, indien uw DPF-klacht niet via de bovenstaande kanalen kan worden opgelost, onder bepaalde voorwaarden een beroep doen op bindende arbitrage voor bepaalde resterende claims die niet door andere verhaalsmechanismen zijn opgelost. Met betrekking tot de overdracht van persoonsgegevens naar de Verenigde Staten en deelname aan het DPF zal Arthrex arbitreren bij claims en de voorwaarden volgen zoals uiteengezet in Bijlage I van het DPF, die hier te vinden is.

5. Beoordeling van het belang dat overheidsinstanties van de Verenigde Staten hebben bij de overdracht van persoonsgegevens door Arthrex

Naast het adequaatheidsbesluit voor het EU-U.S. DPF hebben we een uitgebreide risicobeoordeling van de overdracht van persoonsgegevens door Arthrex uitgevoerd, waarbij we de volgende factoren in aanmerking hebben genomen: het doel/de doelen waarvoor de persoonsgegevens worden overgedragen en verwerkt (bijv. marketing, HR, gegevensopslag, IT-ondersteuning, klinische onderzoeken).

• De typen entiteiten die bij de verwerking zijn betrokken (bijv. openbaar/particulier; verwerkingsverantwoordelijke, verwerker).
• De sector waarin de overdracht plaatsvindt (bijv. medisch, telecommunicatie, financieel, etc.).
• De categorieën persoonsgegevens die worden overgedragen (zo kunnen persoonsgegevens die op kinderen betrekking hebben, binnen de reikwijdte van specifieke wetgeving in het derde land vallen).
• Of de persoonsgegevens in het derde land worden bewaard of dat er alleen sprake is van toegang op afstand tot persoonsgegevens die binnen de EER worden bewaard.
• De opmaak/indeling van de persoonsgegevens die moeten worden overgedragen (bijv. in tekst zonder opmaak, gepseudonimiseerd of versleuteld).
• De mogelijkheid dat de persoonsgegevens van het derde land kunnen worden doorgegeven binnen het derde land of aan een ander derde land.

Deze factoren en met name de aard van de persoonsgegevens die worden overgedragen, ondersteunen de veronderstelling dat het onwaarschijnlijk is dat de overheid van de VS zal proberen de overgedragen gegevens te verkrijgen. Als bedrijf in medische hulpmiddelen is Arthrex niet actief in een sector waarin er scherper op de staatsveiligheid moet worden gelet (bijv. uitvoering van defensiecontracten, ondersteuning van de inlichtingendienst, uitvoering van overheidscontracten of voorzien in kritische infrastructuur). De gegevens die Arthrex overdraagt, betreffen in plaats daarvan meestal persoonsgegevens van medewerkers, systeembeveiligingsgegevens, gebruikersreferenties in verband met e-learning, accountgegevens en medische records die persoonsgegevens kunnen bevatten. Deze medische records worden primair gebruikt voor de ontwikkeling van specifieke chirurgische hulpmiddelen en methoden, bewaking van het herstel en de vooruitgang van patiënten in bepaalde postoperatieve omstandigheden en, in een beperkt aantal gevallen, om te voorzien in technische ondersteuning bij procedures voor het opnemen van chirurgische video's. Arthrex ontvangt de gegevens van een dochteronderneming in de EU voor ondersteuning van haar normale bedrijfsinspanningen, die niet gevoelig zijn met betrekking tot aspecten van de staatsveiligheid en contraspionage. De persoonsgegevens worden niet vanuit de Verenigde Staten naar verdere landen overgedragen, en wanneer ze naar de Verenigde Staten worden overgedragen, worden ze in versleutelde vorm overgedragen of ze worden op een veilige wijze vanuit de Verenigde Staten op afstand ingezien. Arthrex heeft met betrekking tot de persoonsgegevens die het bedrijf verwerkt, geen verzoek van de Amerikaanse overheid ontvangen en het is onwaarschijnlijk dat Arthrex zo'n verzoek zou ontvangen. Het valt daarom redelijkerwijs niet te verwachten dat persoonsgegevens die door Arthrex worden verwerkt, van bijzonder belang voor de staatsveiligheid zijn.

6. Aanvullende overwegingen

In toepasselijke gevallen zal Arthrex persoonsgegevens van Europese betrokkenen uitsluitend in de Europese Unie bewaren en verwerken. In deze gevallen worden de persoonsgegevens niet in de Verenigde Staten bewaard, en de toegang tot deze gegevens vanuit de Verenigde Staten is gebaseerd op situaties waarin toegang tot bepaalde persoonsgegevens noodzakelijk is, bijvoorbeeld om te voldoen aan klantenondersteuningsverzoeken, om specifieke hulp bij beveiligingsvraagstukken te verlenen of om oplossingen voor technische problemen te bieden.

Overdracht van persoonsgegevens naar de Verenigde Staten wordt strikt gedaan op basis van wat nodig is om te weten dan wel nodig is om te hebben volgens de gegevensverwerkingsovereenkomsten waarin de organisatorische en technische maatregelen worden beschreven die Arthrex heeft ingesteld ter bescherming van de persoonsgegevens van Europese betrokkenen.

Arthrex bevestigt dat in het geval van een bevel om overheidsinstanties in de VS toegang tot persoonsgegevens te geven, Arthrex verplicht is om klanten hierover te informeren, zodat zij hun overeenkomst met ons kunnen beëindigen en overdracht van persoonsgegevens naar onze organisatie kunnen stopzetten. Het is vermeldenswaard dat Arthrex nooit zo'n bericht heeft moeten uitvaardigen, en op basis van de evaluatie die hierboven is gegeven, is het zeer onwaarschijnlijk dat deze situatie zich in de toekomst zal voordoen.

7. Conclusie

Op basis van de uitgebreide analyse die hierboven is gegeven, stellen we met zekerheid vast dat het risico op schade voor de betrokkenen minimaal is. Deze conclusie is gebaseerd op de rigoureuze beschermings- en beveiligingsmaatregelen die door Arthrex zijn geïmplementeerd, in combinatie met de uiterst geringe kans op een verzoek van overheidsinstanties in de VS om in verband met onze producten of diensten toegang tot persoonsgegevens te krijgen. Rekening houdend met deze factoren en gezien relevante wettelijke verplichtingen, bevestigen we daarom dat het risico op schade voor betrokkenen als onbeduidend kan worden beschouwd.

Ongeacht het geringe risico met betrekking tot de overdracht van persoonsgegevens van de Europese betrokkenen naar de VS, wil Arthrex volledig blijven voldoen aan de beginselen en beveiligingsmaatregelen die worden beschreven in het EU-US Data Privacy Framework, aan alle relevante wet- en regelgeving en ook aan de beste praktijken op het gebied van gegevensbescherming. Door deze normen hoog te houden zorgen we voor een veilige en rechtmatige overdracht van persoonsgegevens, en geven we blijk van onze onwrikbare toewijding aan de bescherming van de privacy van onze klanten.