Gegevens doorgeven buiten de EU

Het juridisch kader

Hoofdstuk V AVG (artikelen 44 tot 50) verbiedt doorgiften van persoonsgegevens buiten de Europese Economische Ruimte, tenzij een van de volgende gronden geldt. Een doorgifte is ook toegang op afstand vanuit een derde land, niet alleen het versturen van bestanden.

1. Adequaatheidsbesluit (artikel 45). De Commissie heeft beslist dat het land, gebied of de sector een passend beschermingsniveau waarborgt. Voorbeelden zijn Zwitserland, Japan en, voor gecertificeerde organisaties, de Verenigde Staten onder het Data Privacy Framework. Je hebt geen extra toelating nodig.
2. Passende waarborgen (artikel 46). Het vaakst gebruik je de modelcontractbepalingen (SCC's) die de Commissie heeft vastgesteld in Uitvoeringsbesluit (EU) 2021/914, en bindende bedrijfsvoorschriften (artikel 47) voor groepen.
3. Afwijkingen (artikel 49). Beperkte gevallen zoals uitdrukkelijke toestemming voor een specifieke doorgifte of noodzaak voor een overeenkomst met de betrokkene. Ze worden restrictief uitgelegd en zijn niet bedoeld voor routinedoorgiften.

Schrems II

In zaak C-311/18 (Schrems II, 16 juli 2020) verklaarde het Hof van Justitie het Privacy Shield ongeldig en oordeelde het dat SCC's geldig blijven, maar dat de exporteur samen met de importeur moet nagaan of het recht van het bestemmingsland de importeur toelaat ze na te leven. Zo niet, dan zijn aanvullende maatregelen nodig, of moet de doorgifte stoppen. De Europese Raad voor gegevensbescherming (EDPB) publiceerde aanbevelingen over die beoordeling. In de praktijk spreekt men van een transfer impact assessment.

Het EU-VS Data Privacy Framework

De Commissie nam op 10 juli 2023 een adequaatheidsbesluit aan voor de Verenigde Staten. Het geldt voor doorgiften aan Amerikaanse organisaties die zichzelf onder het framework hebben gecertificeerd en op de lijst van het Data Privacy Framework staan. Het besluit steunt op Executive Order 14086 en op het Data Protection Review Court als beroepsmechanisme.

De stand van zaken in oktober 2026: op 3 september 2025 verwierp het Gerecht van de Europese Unie een beroep van het Franse parlementslid Philippe Latombe (zaak T-553/23) en bevestigde het het besluit. In het najaar van 2025 werd hogere voorziening ingesteld bij het Hof van Justitie (zaak C-703/25 P), en die is bij ons weten nog niet beslecht. Het besluit blijft dus geldig en je kunt het inroepen, maar het risico dat het Hof van Justitie het opnieuw toetst, is reëel. Steun je sterk op het framework, bewaar dan SCC's als terugvaloptie in je contracten en volg de zaak.

Praktische regels

• De exporteur blijft verantwoordelijk. Een doorgiftebepaling in een leverancierscontract verplaatst die plicht niet.
• Verdere doorgiften moeten hetzelfde beschermingsniveau krijgen.
• De doorgiftegrond en het land horen in je verwerkingsregister en in je verwerkersovereenkomst.
• Privacyverklaringen moeten de doorgifte en de waarborg vermelden.

In de praktijk

Een Brussels marketingbureau gebruikt een Amerikaans e-mailplatform. Het platform is gecertificeerd onder het Data Privacy Framework, dus het bureau kan doorgeven op grond van het adequaatheidsbesluit. Het bureau bewaart ook de SCC's van het platform in de overeenkomst als terugvaloptie en noteert de doorgifte in het register. Een tweede tool, een klantenchat die wordt gehost door een bedrijf in India, valt niet onder een adequaatheidsbesluit. Het bureau sluit SCC's (module twee: verantwoordelijke naar verwerker), beoordeelt het Indische rechtskader voor overheidstoegang tot gegevens, zet versleuteling tijdens verzending en opslag in, met sleutels in de EU waar mogelijk, en legt de uitkomst vast. Toont de beoordeling een onopgelost risico voor bepaalde gegevens, dan beslist het bureau die velden niet naar de tool te sturen.

Toegang vanuit een derde land telt ook mee: een ontwikkelaar in een dochteronderneming buiten de EER die de productiedatabank kan raadplegen, zorgt voor een doorgifte waarop hoofdstuk V van toepassing is.

Veelgestelde vragen

Kunnen we veilig op het Data Privacy Framework steunen?

Op het moment van schrijven is het geldig, want het Gerecht heeft het bevestigd. Omdat er hogere voorziening hangende is, hou je best een terugvaloptie achter de hand en bekijk je je positie opnieuw als het Hof van Justitie uitspraak doet.

Maken SCC's alleen een doorgifte rechtmatig?

Alleen samen met de beoordeling van het recht van het bestemmingsland en, waar nodig, aanvullende maatregelen.

Wat met cloudleveranciers met datacenters in de EU?

Kan de leverancier of een van zijn dochters worden gedwongen toegang te geven vanuit een derde land, of heeft personeel in het buitenland toegang tot de gegevens, dan heb je nog altijd een doorgifteanalyse nodig.

Moeten we personen informeren over doorgiften?

Ja. Artikelen 13, lid 1, f) en 14, lid 1, f) verplichten je de doorgifte en de gebruikte waarborg te vermelden.

Hoe dit samenhangt

Doorgiftebepalingen zijn een kernonderdeel van verwerkersovereenkomsten en van datalicenties en datadeling. Bij het opstellen helpt onze Document Studio, en de doorgiftepositie van elke leverancier staat in het privacyregister.