Definitieve EDPB-aanbevelingen 1/2026 over bindende bedrijfsvoorschriften voor verwerkers (BCR-P)

Waar het over gaat

Na een publieke consultatie (19 januari tot 2 maart 2026, 11 reacties) nam de EDPB op 10 november 2026 de definitieve versie aan van haar aanbevelingen over bindende bedrijfsvoorschriften voor verwerkers (BCR-P, artikel 47). Met BCR-P geeft een concern dat als verwerker werkt persoonsgegevens door aan eigen concernonderdelen buiten de EER. De aanbevelingen geven het standaard aanvraagformulier en de verplichte inhoud, en vervangen de oude documenten WP257 rev.01 en WP265 van de Artikel 29-werkgroep. Naast de BCR-P blijft een verwerkersovereenkomst met de klant nodig die aan artikel 28 lid 3 voldoet en naar de BCR-P verwijst. Nieuw ten opzichte van de consultatieversie: de groep hoeft de uitkomst van interne audits alleen op verzoek van de klant te geven, en de klant kan de doorgiftetoets (TIA) van de groep altijd opvragen en als basis voor de eigen toets gebruiken.

Wat dit betekent voor de praktijk

Heeft uw concern BCR-P, of vraagt u ze aan, dan moet u ze aanpassen. Wie al BCR-P heeft, doet dat bij de jaarlijkse update van 2028; dat leidt in de regel niet tot een nieuwe goedkeuring. Nieuwe en lopende aanvragen moeten nu al aan de aanbevelingen voldoen; alleen aanvragen die al een geconsolideerd concept hebben en uiterlijk 30 juni 2027 een EDPB-advies krijgen, mogen wachten tot de update van 2028. Bent u klant van zo'n concern, vraag dan naar de TIA en zo nodig naar de auditresultaten. Voor een rechtstreekse doorgifte van een externe verwerkingsverantwoordelijke naar een concernonderdeel buiten Europa zijn BCR-P niet geschikt; daarvoor is een ander instrument uit artikel 46 nodig.

De AVG-artikelen waar het om gaat

• Artikel 28: Verwerker
• Artikel 46: Doorgiften op basis van passende waarborgen
• Artikel 47: Bindende bedrijfsvoorschriften