Wat geldt als doorgifte naar een derde land
Een derde land is elk land buiten de Europese Economische Ruimte (de EU plus IJsland, Liechtenstein en Noorwegen). Er is sprake van doorgifte als persoonsgegevens naar een ontvanger daar worden gestuurd – of voor hem toegankelijk worden gemaakt, bijvoorbeeld via toegang op afstand door een supportteam of beheerder in het buitenland.
De regels staan in hoofdstuk V van de AVG (artikelen 44 tot en met 50). Ze gelden naast de algemene regels: ook de verwerking zelf heeft een rechtsgrond nodig.
De drie routes
- Adequaatheidsbesluit (art. 45)
- De Europese Commissie heeft vastgesteld dat het land een passend beschermingsniveau biedt – bijvoorbeeld Zwitserland, het Verenigd Koninkrijk of Japan, en voor gecertificeerde organisaties de VS onder het Data Privacy Framework.
- Passende waarborgen (art. 46, 47)
- Vooral modelcontractbepalingen en bindende bedrijfsvoorschriften. Sinds Schrems II vereisen ze een beoordeling per geval van het recht in het ontvangende land.
- Uitzonderingen (art. 49)
- Uitzonderingen voor specifieke situaties, zoals uitdrukkelijke toestemming of een doorgifte die nodig is voor een overeenkomst met de betrokkene. Ze zijn bedoeld voor incidentele, niet voor regelmatige doorgifte.
In de praktijk
- Breng in kaart welke aanbieders en subverwerkers buiten de EER persoonsgegevens ontvangen of erbij kunnen.
- Noteer per aanbieder het doorgiftemechanisme – adequaatheidsbesluit, SCC of uitzondering.
- Bij SCC: documenteer een doorgiftebeoordeling en aanvullende maatregelen, zoals versleuteling met sleutels in de EU.
- Informeer betrokkenen in je privacyverklaring.
Coviqo slaat inhoud op en verwerkt die op servers in Duitsland. Waar gegevens de EU toch verlaten – netwerkbeveiliging en CDN, betalingen, optionele inlogaanbieders en integraties – berust de doorgifte op het Data Privacy Framework als de ontvanger gecertificeerd is, anders op modelcontractbepalingen. Details: Waarom een Europees samenwerkingsplatform.
Deze pagina is algemene informatie en geen juridisch advies.
Veelgestelde vragen
Is een Amerikaanse aanbieder met een EU-datacenter een doorgifte naar een derde land?
Niet automatisch – opslag in de EU alleen is geen doorgifte. Maar toegang op afstand vanuit de VS kan een doorgifte zijn, en de aanbieder kan onder Amerikaans recht zoals de CLOUD Act vallen.
Is het Verenigd Koninkrijk een derde land?
Ja, sinds de brexit. De Europese Commissie erkent het Verenigd Koninkrijk echter sinds 2021 als land met een passend beschermingsniveau; zolang dat adequaatheidsbesluit geldt, vraagt doorgifte daarheen geen extra waarborgen.