Wij gebruiken een clouddienst met servers buiten de EU. Is dat een doorgifte?

Als persoonsgegevens naar een land buiten de Unie gaan om daar te worden verwerkt, en verwerking omvat volgens artikel 4 ook opslag, dan is dat een doorgifte in de zin van artikel 44. U mag dat alleen doen als u en uw verwerker aan de voorwaarden van hoofdstuk V voldoen. Welke voorwaarde dat is, staat in de artikelen 45 tot en met 49, bijvoorbeeld een adequaatheidsbesluit van de Commissie (artikel 45).

De ontvanger buiten de EU stuurt de gegevens weer door naar een ander land. Is dat mijn verantwoordelijkheid?

Ja. Artikel 44 zegt uitdrukkelijk dat de voorwaarden van hoofdstuk V ook gelden voor verdere doorgiften vanuit het derde land naar een ander derde land of een andere internationale organisatie. Overweging 101 legt uit waarom: het beschermingsniveau van mensen in de Unie mag ook bij die tweede stap niet worden uitgehold. U zorgt dus dat de verdere doorgifte op dezelfde manier geborgd is.

Geldt dit artikel ook voor mij als verwerker, of alleen voor mijn klant?

Voor beiden. Artikel 44 noemt de verwerkingsverantwoordelijke en de verwerker naast elkaar: een doorgifte mag alleen als zij beiden aan de voorwaarden van dit hoofdstuk voldoen. Werkt u als verwerker met partijen buiten de Unie, dan moet u dus zelf een geldige doorgifteroute hebben en niet alleen vertrouwen op de verwerkingsverantwoordelijke.

Artikel 44: Algemeen beginsel inzake doorgiftenAI-relevant

Praxikon houdt artikel 44 (Algemeen beginsel inzake doorgiften) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk VVan kracht sinds 25-05-2018

Artikel 44 is de basisregel voor het doorgeven van persoonsgegevens naar landen buiten de Unie (derde landen) en naar internationale organisaties. Zo'n doorgifte mag alleen als de verwerkingsverantwoordelijke en de verwerker voldoen aan de voorwaarden van hoofdstuk V, naast alle andere regels van de AVG. Dat geldt ook voor verdere doorgiften vanuit dat derde land naar weer een ander land of een andere internationale organisatie. Het artikel bestaat omdat internationaal gegevensverkeer nodig is voor handel en samenwerking, maar de bescherming die mensen in de Unie hebben daardoor niet mag worden uitgehold (overweging 101); internationale overeenkomsten met passende waarborgen blijven daarbij mogelijk (overweging 102). Alle regels van het hoofdstuk moeten met dat doel worden toegepast; de concrete routes staan in de artikelen 45 tot en met 49, te beginnen met het adequaatheidsbesluit (artikel 45).

Kernbegrip: Derde land: een land buiten de Unie; doorgifte van persoonsgegevens daarheen mag alleen onder de voorwaarden van hoofdstuk V, ook bij verdere doorgifte vanuit dat land

Raakt direct:verwerkingsverantwoordelijkeverwerkerbetrokkene

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

Doorgifte-regels zijn relevant wanneer AI-trainingsdata persoonsgegevens bevat die buiten de EU worden verwerkt (cloud-hosting, API-calls).

AI Act Art. 10 →

Officiële tekst

Persoonsgegevens die worden verwerkt of die zijn bestemd om na doorgifte aan een derde land of een internationale organisatie te worden verwerkt, mogen slechts worden doorgegeven indien, onverminderd de overige bepalingen van deze verordening, de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan; dit geldt ook voor verdere doorgiften van persoonsgegevens vanuit het derde land of een internationale organisatie aan een ander derde land of een andere internationale organisatie. Alle bepalingen van dit hoofdstuk worden toegepast opdat het door deze verordening voor natuurlijke personen gewaarborgde beschermingsniveau niet wordt ondermijnd.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Voordat u persoonsgegevens naar een land buiten de Unie of naar een internationale organisatie stuurt, bepaalt u op welke voorwaarde uit hoofdstuk V u dat doet, en u legt dat vast. Dat geldt bijvoorbeeld ook als u een AI-dienst gebruikt waarvan de aanbieder de gegevens buiten de Unie verwerkt. U let er ook op dat de ontvanger de gegevens niet zonder geldige route verder doorgeeft naar weer een ander land, want ook die verdere doorgifte valt onder dit artikel.

Verwerker

De voorwaarden van hoofdstuk V gelden volgens artikel 44 ook rechtstreeks voor u als verwerker. Geeft u gegevens door naar een derde land, bijvoorbeeld via een onderaannemer buiten de Unie, dan moet ook u zelf aan die voorwaarden voldoen.

Betrokkene

Het artikel garandeert dat de bescherming die u onder de AVG heeft niet verdwijnt zodra uw gegevens de Unie verlaten (overweging 101). Ook bij een verdere doorgifte vanuit het derde land blijft dat beschermingsniveau het uitgangspunt.

Compliance checklist

Alle doorgiften van persoonsgegevens naar landen buiten de Unie of naar internationale organisaties zijn in kaart gebracht (artikel 44).Voor elke doorgifte is vastgelegd aan welke voorwaarde uit hoofdstuk V de organisatie voldoet (artikel 44).Naast de doorgiftevoorwaarden voldoet elke doorgifte ook aan de overige bepalingen van de AVG die op de verwerking zelf van toepassing zijn (artikel 44).Verdere doorgiften door de ontvanger vanuit het derde land naar een ander derde land of een andere internationale organisatie zijn bekend en voldoen aan dezelfde voorwaarden (artikel 44).Verwerkers die namens de organisatie gegevens doorgeven, voldoen zelf ook aan de voorwaarden van hoofdstuk V (artikel 44).Bij de keuze van een doorgifteroute is beoordeeld of het beschermingsniveau van betrokkenen niet wordt ondermijnd (artikel 44, overweging 101).

Gerelateerde overwegingen

(101)

Verkeer van persoonsgegevens van en naar landen buiten de Unie en internationale organisaties is noodzakelijk voor de ontwikkeling van het internationale handelsverkeer en de internationale samenwerki...

(102)

Deze verordening doet geen afbreuk aan internationale overeenkomsten die de Unie en derde landen met elkaar hebben gesloten om de doorgifte van persoonsgegevens te regelen en waarin passende waarborge...

Veelgestelde vragen

← Art. 43: Certificeringsorganen Art. 45: Doorgiften op basis van adequaatheidsbesluiten →

Samenhang

Rechtspraak

Schrems II: Privacy Shield ongeldig, doorgifte op standaardclausules alleen met gelijkwaardige bescherming
2020-07-16 · definitief, Hof van Justitie van de EU (Grote kamer), Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian Schrems

Richtsnoeren

Richtsnoeren 05/2021 over de wisselwerking tussen artikel 3 en de bepalingen over internationale doorgiften in hoofdstuk V AVG
2023-02-14 · definitief, European Data Protection Board (EDPB)
Aanbevelingen 01/2020 over maatregelen ter aanvulling van doorgifte-instrumenten (na Schrems II)
2021-06-18 · definitief, European Data Protection Board (EDPB)

Handhaving en boetes

Boete van 290 miljoen euro voor Uber om doorgifte van chauffeursgegevens naar de VS
2024-08-26 · in beroep, Autoriteit Persoonsgegevens
Boete van 100 miljoen euro voor MLU B.V. (Yango) wegens doorgifte naar Rusland
2026-04-01 · status niet vastgesteld, Autoriteit Persoonsgegevens