Onze softwareleverancier staat buiten de EU. Wat moeten we regelen?

Eerst kijkt u of de Commissie voor dat land een adequaatheidsbesluit heeft genomen volgens artikel 45. Is dat niet zo, dan mag de doorgifte alleen met passende waarborgen (lid 1). Meestal kiest u dan een instrument uit lid 2, zoals de standaardbepalingen van de Commissie, waarvoor u geen toestemming van de toezichthouder nodig heeft.

Mogen we de standaardbepalingen aanpassen aan ons eigen contract?

U mag ze opnemen in een breder contract en extra waarborgen toevoegen (overweging 109). U mag geen bepalingen toevoegen die direct of indirect in tegenspraak zijn met de standaardbepalingen of die afbreuk doen aan de rechten van betrokkenen. Wilt u echt eigen contractbepalingen, dan valt u onder lid 3 en heeft u toestemming van de toezichthouder nodig.

Wij zijn verwerker en sturen gegevens naar een subverwerker buiten de EU. Geldt dit artikel ook voor ons?

Ja. Lid 1 richt zich op de verwerkingsverantwoordelijke en op de verwerker. Ook u moet dus passende waarborgen bieden, bijvoorbeeld door de standaardbepalingen op te nemen in het contract met de subverwerker (overweging 109).

Artikel 46: Doorgiften op basis van passende waarborgen

Praxikon houdt artikel 46 (Doorgiften op basis van passende waarborgen) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk VVan kracht sinds 25-05-2018

Artikel 46 regelt hoe u persoonsgegevens mag doorgeven aan een land buiten de EU (een derde land) of aan een internationale organisatie als de Commissie voor dat land geen adequaatheidsbesluit heeft genomen volgens artikel 45. In dat geval mag een doorgifte alleen als de verwerkingsverantwoordelijke of de verwerker passende waarborgen biedt en de betrokkenen afdwingbare rechten en doeltreffende rechtsmiddelen houden (lid 1). Lid 2 somt instrumenten op die u zonder aparte toestemming van de toezichthouder mag gebruiken, zoals standaardbepalingen van de Commissie, bindende bedrijfsvoorschriften volgens artikel 47 en een goedgekeurde gedragscode of certificering met bindende toezeggingen. Lid 3 noemt instrumenten die alleen mogen met toestemming van de bevoegde toezichthouder, zoals eigen contractbepalingen en administratieve regelingen tussen overheden; de toezichthouder gebruikt daarvoor het coherentiemechanisme van artikel 63 (lid 4). Het artikel bestaat omdat de bescherming van de AVG niet mag wegvallen zodra gegevens de EU verlaten: de waarborgen moeten het ontbrekende beschermingsniveau in het derde land compenseren (overweging 108).

Kernbegrip: Passende waarborgen: afspraken of regels die de bescherming van de AVG meenemen naar een land buiten de EU, zodat betrokkenen hun rechten daar kunnen blijven afdwingen

Raakt direct:verwerkingsverantwoordelijkeverwerkerbetrokkenetoezichthouderCommissie

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Bij ontstentenis van een besluit uit hoofde van artikel 45, lid 3, mag een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie door een verwerkingsverantwoordelijke of een verwerker alleen plaatsvinden mits zij passende waarborgen bieden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken.

De in lid 1 bedoelde passende waarborgen kunnen worden geboden door de volgende instrumenten, zonder dat daarvoor specifieke toestemming van een toezichthoudende autoriteit is vereist: a) een juridisch bindend en afdwingbaar instrument tussen overheidsinstanties of -organen; b) bindende bedrijfsvoorschriften overeenkomstig artikel 47; c) standaardbepalingen inzake gegevensbescherming die door de Commissie volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure zijn vastgesteld; d) standaardbepalingen inzake gegevensbescherming die door een toezichthoudende autoriteit zijn vastgesteld en die door de Commissie volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure zijn goedgekeurd; e) een overeenkomstig artikel 40 goedgekeurde gedragscode, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen; of f) een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen.

Onder voorbehoud van de toestemming van de bevoegde toezichthoudende autoriteit kunnen de in lid 1 bedoelde passende waarborgen ook worden geboden door, met name: a) contractbepalingen tussen de verwerkingsverantwoordelijke of de verwerker en de verwerkingsverantwoordelijke, de verwerker of de ontvanger van de persoonsgegevens in het derde land of de internationale organisatie; of b) bepalingen die moeten worden opgenomen in administratieve regelingen tussen overheidsinstanties of -organen, waaronder afdwingbare en effectieve rechten van betrokkenen.

De toezichthoudende autoriteit past het in artikel 63 bedoelde coherentiemechanisme toe in de in lid 3 van dit artikel vermelde gevallen.

Toestemmingen die een lidstaat of een toezichthoudende autoriteit op grond van artikel 26, lid 2, van Richtlijn 95/46/EG heeft verleend, blijven geldig totdat zij door die toezichthoudende autoriteit, indien nodig, worden gewijzigd, vervangen of ingetrokken. De besluiten die de Commissie op grond van artikel 26, lid 4, van Richtlijn 95/46/EG heeft vastgesteld, blijven van kracht totdat zij bij een overeenkomstig lid 2 van dit artikel vastgesteld besluit van de Commissie, indien nodig, worden gewijzigd, vervangen of ingetrokken.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Laat u gegevens verwerken in een land zonder adequaatheidsbesluit, dan kiest u eerst een instrument uit lid 2, bijvoorbeeld de standaardbepalingen van de Commissie of bindende bedrijfsvoorschriften voor doorgiften binnen uw eigen concern (overweging 110). Wilt u eigen contractbepalingen gebruiken, dan heeft u vooraf toestemming van de toezichthouder nodig (lid 3). U mag de standaardbepalingen in een breder contract opnemen en er extra waarborgen aan toevoegen, zolang die niet in tegenspraak zijn met de standaardbepalingen en geen afbreuk doen aan de rechten van betrokkenen (overweging 109).

Verwerker

Dit artikel geldt ook rechtstreeks voor u: een verwerker die gegevens buiten de EU brengt, bijvoorbeeld naar een subverwerker, moet zelf passende waarborgen bieden (lid 1). De standaardbepalingen kunt u opnemen in het contract met die andere verwerker (overweging 109).

Functionaris gegevensbescherming

U beoordeelt of het gekozen instrument bij de doorgifte past en of de betrokkenen daadwerkelijk afdwingbare rechten en doeltreffende rechtsmiddelen hebben (lid 1). U houdt bij welke doorgiften op lid 2 steunen en welke op lid 3, omdat voor lid 3 toestemming van de toezichthouder nodig is.

Betrokkene

Het artikel eist dat u ook na de doorgifte afdwingbare rechten en doeltreffende rechtsmiddelen houdt, bijvoorbeeld om administratief beroep of beroep bij de rechter in te stellen of een vergoeding te eisen (lid 1 en overweging 108).

Compliance checklist

Voor elke doorgifte naar een land zonder adequaatheidsbesluit is vastgelegd welk instrument uit lid 2 of lid 3 de passende waarborgen levert.De betrokkenen beschikken bij elke doorgifte over afdwingbare rechten en doeltreffende rechtsmiddelen (lid 1).Gebruikte standaardbepalingen zijn de door de Commissie vastgestelde of goedgekeurde versies (lid 2 onder c en d) en bevatten geen toevoegingen die ermee in tegenspraak zijn (overweging 109).Doorgiften binnen het concern steunen alleen op bindende bedrijfsvoorschriften als die overeenkomstig artikel 47 zijn goedgekeurd (lid 2 onder b).Bij een gedragscode volgens artikel 40 of een certificering volgens artikel 42 als waarborg zijn bindende en afdwingbare toezeggingen van de ontvanger in het derde land vastgelegd (lid 2 onder e en f).Voor eigen contractbepalingen of administratieve regelingen is vooraf toestemming van de bevoegde toezichthouder verkregen (lid 3).Toestemmingen en besluiten van vóór de AVG zijn gecontroleerd: zij blijven geldig totdat zij zijn gewijzigd, vervangen of ingetrokken (lid 5).

Gerelateerde overwegingen

(108)

Indien er geen adequaatheidsbesluit is genomen, dient de verwerkingsverantwoordelijke of de verwerker maatregelen te nemen om het ontoereikende niveau van gegevensbescherming in een derde land te verh...

(109)

Dat de verwerkingsverantwoordelijke of de verwerker gebruik kan maken van standaardbepalingen inzake gegevensbescherming die zijn vastgesteld door de Commissie of een toezichthoudende autoriteit, dien...

(110)

Een concern of een groepering van ondernemingen die een gezamenlijke economische activiteit beoefent, dient voor zijn internationale doorgiften uit de Unie naar organisaties binnen hetzelfde concern o...

Kruisverwijzingen

Art. 26: Gezamenlijke verwerkingsverantwoordelijken Art. 40: Gedragscodes Art. 42: Certificering Art. 45: Doorgiften op basis van adequaatheidsbesluiten Art. 47: Bindende bedrijfsvoorschriften Art. 63: Coherentiemechanisme Art. 93: Comitéprocedure

Veelgestelde vragen

← Art. 45: Doorgiften op basis van adequaatheidsbesluiten Art. 47: Bindende bedrijfsvoorschriften →

Samenhang

Rechtspraak

Schrems II: Privacy Shield ongeldig, doorgifte op standaardclausules alleen met gelijkwaardige bescherming
2020-07-16 · definitief, Hof van Justitie van de EU (Grote kamer), Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian Schrems

Richtsnoeren

Richtsnoeren 05/2021 over de wisselwerking tussen artikel 3 en de bepalingen over internationale doorgiften in hoofdstuk V AVG
2023-02-14 · definitief, European Data Protection Board (EDPB)
Aanbevelingen 01/2020 over maatregelen ter aanvulling van doorgifte-instrumenten (na Schrems II)
2021-06-18 · definitief, European Data Protection Board (EDPB)

Handhaving en boetes

Boete van 100 miljoen euro voor MLU B.V. (Yango) wegens doorgifte naar Rusland
2026-04-01 · status niet vastgesteld, Autoriteit Persoonsgegevens