Internationale doorgifte is het beschikbaar maken van persoonsgegevens aan een ontvanger buiten de Europese Economische Ruimte. Zij is toegestaan, maar alleen als het beschermingsniveau van de AVG in de praktijk niet wordt ondermijnd.
Wettelijke basis
Hoofdstuk V van de AVG bevat de regeling. Artikel 45 laat doorgifte toe naar landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen; voor de Verenigde Staten geldt sinds 10 juli 2023 het EU-US Data Privacy Framework, dat alleen werkt voor gecertificeerde organisaties. Artikel 46 noemt de passende waarborgen, waarvan de standaardcontractbepalingen uit 2021 de meest gebruikte zijn, naast bindende bedrijfsvoorschriften. Artikel 49 geeft uitzonderingen voor incidentele gevallen. Na het Schrems II-arrest van 16 juli 2020 volstaat een instrument alleen niet: er moet een beoordeling van de wetgeving in het ontvangende land plaatsvinden, de zogeheten transfer impact assessment, met zo nodig aanvullende maatregelen zoals versleuteling waarbij de sleutel in Europa blijft.
Hoe het in de praktijk werkt
De eerste stap is inventariseren waar gegevens feitelijk staan en wie er toegang toe heeft, inclusief ondersteuning vanuit landen buiten Europa. Dat laatste wordt vaak vergeten: toegang op afstand door een supportafdeling is ook doorgifte. Daarna volgt de keuze van het instrument en de beoordeling, die schriftelijk moet worden vastgelegd. In contracten hoort een verplichting van de leverancier om wijzigingen in de locatie of in de subverwerkers te melden.
Waar het misgaat
Organisaties vertrouwen op de certificering van hun leverancier zonder te controleren of die daadwerkelijk geldt voor de betrokken dienst. Een tweede fout is het ondertekenen van standaardcontractbepalingen zonder de bijlagen in te vullen, waardoor de omschrijving van de verwerking ontbreekt. Ten derde wordt de beoordeling niet gedocumenteerd, terwijl de verantwoordingsplicht juist daarom vraagt.
Verwante begrippen
Doorgifte hangt samen met de verwerkersovereenkomst, met de DPIA en met de SaaS-overeenkomst.
Weet u waar uw gegevens staan? Onze specialisten IT-recht brengen de doorgiftes en de waarborgen in kaart.
