Onze softwareleverancier staat buiten de EU. Wat moeten we regelen?

Eerst kijkt u of de Commissie voor dat land een adequaatheidsbesluit heeft genomen volgens artikel 45. Is dat niet zo, dan mag de doorgifte alleen met passende waarborgen (lid 1). Meestal kiest u dan een instrument uit lid 2, zoals de standaardbepalingen van de Commissie, waarvoor u geen toestemming van de toezichthouder nodig heeft.

Mogen we de standaardbepalingen aanpassen aan ons eigen contract?

U mag ze opnemen in een breder contract en extra waarborgen toevoegen (overweging 109). U mag geen bepalingen toevoegen die direct of indirect in tegenspraak zijn met de standaardbepalingen of die afbreuk doen aan de rechten van betrokkenen. Wilt u echt eigen contractbepalingen, dan valt u onder lid 3 en heeft u toestemming van de toezichthouder nodig.

Wij zijn verwerker en sturen gegevens naar een subverwerker buiten de EU. Geldt dit artikel ook voor ons?

Ja. Lid 1 richt zich op de verwerkingsverantwoordelijke en op de verwerker. Ook u moet dus passende waarborgen bieden, bijvoorbeeld door de standaardbepalingen op te nemen in het contract met de subverwerker (overweging 109).

Artikel 46: Doorgiften op basis van passende waarborgen

Praxikon houdt artikel 46 (Doorgiften op basis van passende waarborgen) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk VVan kracht sinds 25-05-2018

Artikel 46 regelt hoe u persoonsgegevens mag doorgeven aan een land buiten de EU (een derde land) of aan een internationale organisatie als de Commissie voor dat land geen adequaatheidsbesluit heeft genomen volgens artikel 45. In dat geval mag een doorgifte alleen als de verwerkingsverantwoordelijke of de verwerker passende waarborgen biedt en de betrokkenen afdwingbare rechten en doeltreffende rechtsmiddelen houden (lid 1). Lid 2 somt instrumenten op die u zonder aparte toestemming van de toezichthouder mag gebruiken, zoals standaardbepalingen van de Commissie, bindende bedrijfsvoorschriften volgens artikel 47 en een goedgekeurde gedragscode of certificering met bindende toezeggingen. Lid 3 noemt instrumenten die alleen mogen met toestemming van de bevoegde toezichthouder, zoals eigen contractbepalingen en administratieve regelingen tussen overheden; de toezichthouder gebruikt daarvoor het coherentiemechanisme van artikel 63 (lid 4). Het artikel bestaat omdat de bescherming van de AVG niet mag wegvallen zodra gegevens de EU verlaten: de waarborgen moeten het ontbrekende beschermingsniveau in het derde land compenseren (overweging 108).

Kernbegrip: Passende waarborgen: afspraken of regels die de bescherming van de AVG meenemen naar een land buiten de EU, zodat betrokkenen hun rechten daar kunnen blijven afdwingen

Raakt direct:verwerkingsverantwoordelijkeverwerkerbetrokkenetoezichthouderCommissie

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Bij ontstentenis van een besluit uit hoofde van artikel 45, lid 3, mag een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie door een verwerkingsverantwoordelijke of een verwerker alleen plaatsvinden mits zij passende waarborgen bieden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken.

De in lid 1 bedoelde passende waarborgen kunnen worden geboden door de volgende instrumenten, zonder dat daarvoor specifieke toestemming van een toezichthoudende autoriteit is vereist: a) een juridisch bindend en afdwingbaar instrument tussen overheidsinstanties of -organen; b) bindende bedrijfsvoorschriften overeenkomstig artikel 47; c) standaardbepalingen inzake gegevensbescherming die door de Commissie volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure zijn vastgesteld; d) standaardbepalingen inzake gegevensbescherming die door een toezichthoudende autoriteit zijn vastgesteld en die door de Commissie volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure zijn goedgekeurd; e) een overeenkomstig artikel 40 goedgekeurde gedragscode, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen; of f) een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen.

Onder voorbehoud van de toestemming van de bevoegde toezichthoudende autoriteit kunnen de in lid 1 bedoelde passende waarborgen ook worden geboden door, met name: a) contractbepalingen tussen de verwerkingsverantwoordelijke of de verwerker en de verwerkingsverantwoordelijke, de verwerker of de ontvanger van de persoonsgegevens in het derde land of de internationale organisatie; of b) bepalingen die moeten worden opgenomen in administratieve regelingen tussen overheidsinstanties of -organen, waaronder afdwingbare en effectieve rechten van betrokkenen.

De toezichthoudende autoriteit past het in artikel 63 bedoelde coherentiemechanisme toe in de in lid 3 van dit artikel vermelde gevallen.

Toestemmingen die een lidstaat of een toezichthoudende autoriteit op grond van artikel 26, lid 2, van Richtlijn 95/46/EG heeft verleend, blijven geldig totdat zij door die toezichthoudende autoriteit, indien nodig, worden gewijzigd, vervangen of ingetrokken. De besluiten die de Commissie op grond van artikel 26, lid 4, van Richtlijn 95/46/EG heeft vastgesteld, blijven van kracht totdat zij bij een overeenkomstig lid 2 van dit artikel vastgesteld besluit van de Commissie, indien nodig, worden gewijzigd, vervangen of ingetrokken.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Laat u gegevens verwerken in een land zonder adequaatheidsbesluit, dan kiest u eerst een instrument uit lid 2, bijvoorbeeld de standaardbepalingen van de Commissie of bindende bedrijfsvoorschriften voor doorgiften binnen uw eigen concern (overweging 110). Wilt u eigen contractbepalingen gebruiken, dan heeft u vooraf toestemming van de toezichthouder nodig (lid 3). U mag de standaardbepalingen in een breder contract opnemen en er extra waarborgen aan toevoegen, zolang die niet in tegenspraak zijn met de standaardbepalingen en geen afbreuk doen aan de rechten van betrokkenen (overweging 109).

Verwerker

Dit artikel geldt ook rechtstreeks voor u: een verwerker die gegevens buiten de EU brengt, bijvoorbeeld naar een subverwerker, moet zelf passende waarborgen bieden (lid 1). De standaardbepalingen kunt u opnemen in het contract met die andere verwerker (overweging 109).

Functionaris gegevensbescherming

U beoordeelt of het gekozen instrument bij de doorgifte past en of de betrokkenen daadwerkelijk afdwingbare rechten en doeltreffende rechtsmiddelen hebben (lid 1). U houdt bij welke doorgiften op lid 2 steunen en welke op lid 3, omdat voor lid 3 toestemming van de toezichthouder nodig is.

Betrokkene

Het artikel eist dat u ook na de doorgifte afdwingbare rechten en doeltreffende rechtsmiddelen houdt, bijvoorbeeld om administratief beroep of beroep bij de rechter in te stellen of een vergoeding te eisen (lid 1 en overweging 108).

Compliance checklist

Voor elke doorgifte naar een land zonder adequaatheidsbesluit is vastgelegd welk instrument uit lid 2 of lid 3 de passende waarborgen levert.De betrokkenen beschikken bij elke doorgifte over afdwingbare rechten en doeltreffende rechtsmiddelen (lid 1).Gebruikte standaardbepalingen zijn de door de Commissie vastgestelde of goedgekeurde versies (lid 2 onder c en d) en bevatten geen toevoegingen die ermee in tegenspraak zijn (overweging 109).Doorgiften binnen het concern steunen alleen op bindende bedrijfsvoorschriften als die overeenkomstig artikel 47 zijn goedgekeurd (lid 2 onder b).Bij een gedragscode volgens artikel 40 of een certificering volgens artikel 42 als waarborg zijn bindende en afdwingbare toezeggingen van de ontvanger in het derde land vastgelegd (lid 2 onder e en f).Voor eigen contractbepalingen of administratieve regelingen is vooraf toestemming van de bevoegde toezichthouder verkregen (lid 3).Toestemmingen en besluiten van vóór de AVG zijn gecontroleerd: zij blijven geldig totdat zij zijn gewijzigd, vervangen of ingetrokken (lid 5).

Gerelateerde overwegingen

(108)

Indien er geen adequaatheidsbesluit is genomen, dient de verwerkingsverantwoordelijke of de verwerker maatregelen te nemen om het ontoereikende niveau van gegevensbescherming in een derde land te verh...

(109)

Dat de verwerkingsverantwoordelijke of de verwerker gebruik kan maken van standaardbepalingen inzake gegevensbescherming die zijn vastgesteld door de Commissie of een toezichthoudende autoriteit, dien...

(110)

Een concern of een groepering van ondernemingen die een gezamenlijke economische activiteit beoefent, dient voor zijn internationale doorgiften uit de Unie naar organisaties binnen hetzelfde concern o...

Kruisverwijzingen

Art. 26: Gezamenlijke verwerkingsverantwoordelijken Art. 40: Gedragscodes Art. 42: Certificering Art. 45: Doorgiften op basis van adequaatheidsbesluiten Art. 47: Bindende bedrijfsvoorschriften Art. 63: Coherentiemechanisme Art. 93: Comitéprocedure

Aanvullend op het overzicht onderaan deze pagina: uitspraken, richtsnoeren en boetes die dit artikel uitleggen of toepassen, nieuwste eerst. Elk item is nagelopen tegen de officiële bron.

Rechtspraak (1)

8 januari 2025 · T-354/22 · Gerecht EUVerordening 2018/1725
Bindl v Commissie
Het Gerecht veroordeelt de Commissie tot betaling van 400 euro: via een inlogknop van Facebook op haar website ging een IP-adres zonder passende waarborg naar de VS. Gewezen onder Verordening 2018/1725.

Richtsnoeren en besluiten (4)

14 februari 2023 · v2.0 · EDPB
Richtsnoeren 07/2022 over certificering als instrument voor doorgiften
Legt uit hoe een certificering met bindende toezeggingen van de importeur kan dienen als waarborg voor doorgiften buiten de EER, en welke criteria daarvoor gelden.
22 februari 2022 · v2.0 · EDPB
Richtsnoeren 04/2021 over gedragscodes als instrument voor doorgiften
Legt uit hoe een gedragscode met bindende toezeggingen van importeurs als waarborg kan dienen voor doorgiften naar landen buiten de EER.
4 juni 2021 · (EU) 2021/914 · Europese Commissie
Standaardcontractbepalingen voor doorgifte naar derde landen
Modulaire standaardcontractbepalingen voor doorgifte naar derde landen, met een verplichte beoordeling van het recht en de praktijk in het land van bestemming.
10 november 2020 · EDPB
Aanbevelingen 02/2020 over de Europese essentiele garanties voor surveillancemaatregelen
Beschrijft vier garanties waaraan toegang door overheden in een derde land moet voldoen om de inbreuk op privacy en gegevensbescherming te rechtvaardigen.

Boetes (2)

30 april 2025 · Data Protection Commission (Ierland)€ 530.000.000
TikTok: doorgifte van gegevens naar China
Medewerkers in China hadden op afstand toegang tot gegevens van Europese gebruikers, zonder dat TikTok had nagegaan en aangetoond dat die gegevens daar een gelijkwaardig beschermingsniveau kregen. Ook vermeldde het privacybeleid niet duidelijk naar welke landen gegevens gingen.
Besluit van 30 april 2025, bekendgemaakt op 2 mei 2025. TikTok heeft beroep ingesteld bij de Ierse rechter, die de bevelen om de doorgiften op te schorten voorlopig heeft geschorst.
12 mei 2023 · Data Protection Commission (Ierland)€ 1.200.000.000
Meta: doorgifte van Facebook-gegevens naar de VS
Meta bleef na het Schrems II-arrest persoonsgegevens van Facebook-gebruikers naar de VS doorgeven op basis van standaardcontractbepalingen, terwijl de risico's van Amerikaanse overheidstoegang niet waren weggenomen. Het EDPB besliste in een bindend besluit dat er een boete moest komen.
Besluit van 12 mei 2023, bekendgemaakt op 22 mei 2023. Meta heeft het besluit aangevochten.

Lijn in de rechtspraakDoorgifte naar de VS: van Safe Harbour tot Data Privacy Framework

Wanneer mogen persoonsgegevens naar de VS en andere derde landen?

Safe Harbour (adequaatheidsbesluit, ongeldig) (2000)Eerste Amerikaanse adequaatheidsregeling, op basis van zelfcertificering.
Schrems I (2015)Het Hof verklaart Safe Harbour ongeldig; toezichthouders moeten doorgifteklachten kunnen onderzoeken.
EU-VS Privacy Shield (adequaatheidsbesluit, ongeldig) (2016)Opvolger met een ombudspersoon als extra waarborg.
Schrems II (2020)Privacy Shield valt ook; standaardcontractbepalingen blijven, maar met een toets per doorgifte.
Aanbevelingen 01/2020 over maatregelen die doorgifte-instrumenten aanvullen om naleving van het EU-beschermingsniveau van persoonsgegevens te waarborgen (2021)Het EDPB beschrijft hoe je die toets uitvoert en welke aanvullende maatregelen passen.
Standaardcontractbepalingen voor doorgifte naar derde landen (2021)Nieuwe standaardcontractbepalingen die de toets uit Schrems II inbouwen.
Meta: doorgifte van Facebook-gegevens naar de VS (2023)Hoogste AVG-boete tot nu toe, voor doorgifte van Facebook-gegevens naar de VS.
EU-VS Data Privacy Framework (adequaatheidsbesluit) (2023)Derde adequaatheidsbesluit voor de VS, met een nieuw beroepsmechanisme.
Bindl v Commissie (2025)Eerste toegekende schadevergoeding voor een onrechtmatige doorgifte naar de VS, door een EU-instelling.
Latombe v Commissie (2025)Het Gerecht laat het Data Privacy Framework in stand; hoger beroep loopt.

Gecontroleerd op 5 november 2026

Veelgestelde vragen

← Art. 45: Doorgiften op basis van adequaatheidsbesluiten Art. 47: Bindende bedrijfsvoorschriften →

Samenhang

Rechtspraak

Schrems II: Privacy Shield ongeldig, doorgifte op standaardclausules alleen met gelijkwaardige bescherming
2020-07-16 · definitief, Hof van Justitie van de EU (Grote kamer), Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian Schrems

Richtsnoeren

Richtsnoeren 05/2021 over de wisselwerking tussen artikel 3 en de bepalingen over internationale doorgiften in hoofdstuk V AVG
2023-02-14 · definitief, European Data Protection Board (EDPB)
Aanbevelingen 01/2020 over maatregelen ter aanvulling van doorgifte-instrumenten (na Schrems II)
2021-06-18 · definitief, European Data Protection Board (EDPB)

Handhaving en boetes

Boete van 100 miljoen euro voor MLU B.V. (Yango) wegens doorgifte naar Rusland
2026-04-01 · status niet vastgesteld, Autoriteit Persoonsgegevens