Uw cloud- of AI-leverancier heeft BCR-P: waar een gemeente op let

Stel: u bent privacy officer bij een gemeente. Het team Dienstverlening wil een AI-dienst die klantgesprekken uitschrijft en samenvat. De leverancier is een internationaal concern met een vestiging in Ierland. Beheer en ondersteuning gebeuren deels vanuit India en de Verenigde Staten. Op uw vraag hoe dat zit met de doorgifte van persoonsgegevens, antwoordt de leverancier: "Wij hebben goedgekeurde BCR-P." Is dat genoeg?

Op 10 november 2026 stelde de European Data Protection Board (EDPB) de definitieve versie vast van haar aanbevelingen over bindende bedrijfsvoorschriften voor verwerkers, de BCR-P. Ze zijn geschreven voor concerns die BCR-P aanvragen of al hebben, maar ze zeggen ook veel over wat u als klant mag vragen.

Wat BCR-P zijn

Geeft u persoonsgegevens door naar een land buiten de EER waarvoor de Europese Commissie geen adequaatheidsbesluit heeft genomen, dan zijn passende waarborgen nodig (artikel 46 AVG). Bindende bedrijfsvoorschriften zijn er één van (artikel 46 lid 2 onder b). Het zijn regels die gelden binnen een concern en die de bevoegde toezichthouder goedkeurt (artikel 47 lid 1 AVG), na een advies van de EDPB. De versie voor verwerkers heet BCR-P; de versie voor verwerkingsverantwoordelijken heet BCR-C.

In de aanbevelingen 1/2026 staan het standaard aanvraagformulier en de verplichte inhoud. De EDPB nam een conceptversie aan op 15 januari 2026 en vroeg tussen 19 januari en 2 maart 2026 om reacties. Daar kwamen er 11 op. Inhoudelijk bouwen de aanbevelingen voort op de oude documenten van de Artikel 29-werkgroep.

Punt 1: BCR-P dekken alleen het verkeer binnen het concern

BCR-P gelden voor gegevens die een concernonderdeel in de EER als verwerker voor een klant verwerkt en daarna doorgeeft aan concernonderdelen buiten de EER, die als subverwerker werken. Een doorgifte van een externe verwerkingsverantwoordelijke, zoals uw gemeente, rechtstreeks naar een concernonderdeel buiten de EER valt er niet onder. Daarvoor is volgens de EDPB een ander instrument uit artikel 46 nodig, bijvoorbeeld standaardcontractbepalingen. Bindende bedrijfsvoorschriften gaan per definitie over doorgiften binnen het concern (artikel 4 punt 20 AVG). Een externe subverwerker buiten de EER is daarom niet zelf aan de BCR-P gebonden. De BCR-P eisen wel dat het concern met zo'n partij een schriftelijk contract sluit met in wezen dezelfde plichten, en het aansprakelijke onderdeel in de EER staat ook voor die partij in (zie punt 7). U kunt een kopie van dat contract opvragen.

Voor uw gemeente: sluit het contract met het onderdeel in de EER en vraag welke gegevens waarheen gaan. Gaat uw gemeente zelf rechtstreeks gegevens sturen naar een onderdeel buiten de EER, dan dekken de BCR-P dat niet. Schakelt het concern externe partijen buiten de EER in, vraag dan welke dat zijn en vraag het contract met elk van hen op.

Punt 2: de verwerkersovereenkomst blijft nodig

Naast de BCR-P moet u met een of meer concernonderdelen in de EER een verwerkersovereenkomst sluiten die aan alle eisen van artikel 28 lid 3 AVG voldoet. Daarin hoort een verwijzing naar de BCR-P, en de BCR-P moeten voor u afdwingbaar zijn tegenover de concernonderdelen. De overeenkomst mag de bescherming van de BCR-P niet verlagen.

Binnen het concern hoeft niet met elk onderdeel een aparte subverwerkersovereenkomst te worden gesloten: daarvoor zijn de BCR-P juist bedoeld. Uw toestemming voor subverwerkers blijft wel nodig, ook voor concernonderdelen die op de lijst van de BCR-P staan (artikel 28 lid 2 AVG). En uw instructies moeten bij elke subverwerker aankomen.

Voor uw gemeente: de lijst met concernonderdelen hoort bij de gepubliceerde BCR-P. Leg die naast de lijst met subverwerkers in uw verwerkersovereenkomst.

Punt 3: goedgekeurd betekent niet dat het in de praktijk klopt

De EDPB is daar uitdrukkelijk over. Een goedkeuring bevestigt dat de afspraken in de BCR-P voldoende waarborgen bieden. Ze bevestigt niet dat de verwerkingen in de praktijk aan de BCR-P en de AVG voldoen. Dat blijft de verantwoordelijkheid van het concern en van de klant. U blijft als verwerkingsverantwoordelijke uiteindelijk verantwoordelijk, ook als de doorgifte niet door u maar door uw verwerker gebeurt (artikel 24 lid 1 AVG).

Verwerker en klant moeten per doorgifte beoordelen of aanvullende maatregelen nodig zijn, omdat het recht of de praktijk van het land van bestemming de bescherming kan ondermijnen. Die toets komt voort uit het arrest Schrems II van het Hof van Justitie (C-311/18); de EDPB verwijst voor de uitwerking naar haar aanbevelingen 01/2020. Het concern als verwerker neemt de maatregelen, de klant controleert ze. Toezichthouders beoordelen die maatregelen niet bij de goedkeuring.

Punt 4: vraag de doorgiftetoets op

Volgens de aanbevelingen moeten de BCR-P het concern verplichten om de beoordeling van het recht en de praktijk in het land van bestemming vast te leggen, met de gekozen aanvullende maatregelen, en die documentatie op verzoek aan u te geven. Controleer of dat ook echt in de BCR-P van uw leverancier staat: bestaande BCR-P hoeven pas bij de update van 2028 aan te sluiten. Die beoordeling heet in de praktijk een transfer impact assessment (TIA). In de conceptversie stond dat het concern de TIA "in overleg met de verwerkingsverantwoordelijke" moest maken. Dat is geschrapt. De reden die de EDPB in het consultatieverslag geeft: u kunt de TIA van het concern op elk moment krijgen en als basis gebruiken voor uw eigen toets. Inspraak bij het opstellen hebt u dus niet meer, opvragen kan wel. De EDPB werkt ook aan een sjabloon voor de TIA.

Voor uw gemeente: vraag de TIA op vóór de gunning en neem op in het contract dat u een bijgewerkte versie krijgt als de situatie in een land verandert. Het concern moet ontwikkelingen in de landen van bestemming blijven volgen en u informeren als het zulke ontwikkelingen vaststelt. Hoe u zelf een doorgifte toetst, beschrijft de EDPB in de aanbevelingen 01/2020.

Punt 5: auditresultaten krijgt u op verzoek, en u mag zelf auditen

Het concern moet zijn naleving van de BCR-P regelmatig controleren met interne of externe audits, en ook als er aanwijzingen zijn dat iets niet klopt. Hoe vaak, hangt af van het risico voor de betrokkenen. In de conceptversie moesten de resultaten altijd naar de klant. In de definitieve versie krijgt de klant ze op verzoek, net als bij de standaardcontractbepalingen. Daarnaast moet elk concernonderdeel dat uw gegevens verwerkt, op uw verzoek een audit toestaan van de verwerkingen voor uw gemeente, met redelijke tussenpozen of als er aanwijzingen zijn dat iets niet klopt. Dat mag ook een onafhankelijke auditor zijn die u aanwijst.

Voor uw gemeente: anders dan in het concept krijgt u de auditresultaten alleen als u erom vraagt. Vraag de laatste resultaten dus actief op bij de inkoop.

Punt 6: u hoort het als een overheid buiten Europa om uw gegevens vraagt

Krijgt een concernonderdeel buiten de EER een juridisch bindend verzoek van een overheid om gegevens te verstrekken, dan meldt het dat direct aan het onderdeel dat de gegevens doorgaf en aan u, en waar mogelijk aan de betrokkene. Dat geldt ook als het onderdeel merkt dat een overheid zelf rechtstreeks bij de gegevens kan. Mag het niet melden, dan moet het zijn best doen om dat toch te mogen. Daarnaast krijgt u met regelmaat, waar mogelijk jaarlijks, zoveel mogelijk informatie over zulke verzoeken.

Kan het concern de BCR-P voor een doorgifte niet meer naleven, ook niet met aanvullende maatregelen, of geeft u of de toezichthouder daartoe opdracht, dan wordt de doorgifte geschorst, net als vergelijkbare doorgiften. Is de naleving na een maand niet hersteld, dan stopt de doorgifte. Gegevens die al zijn doorgegeven, worden dan naar uw keuze teruggegeven of volledig vernietigd. Verbiedt het lokale recht dat, dan blijft het onderdeel de BCR-P naleven en bewaart het de gegevens alleen zolang dat recht het eist.

Voor uw gemeente: leg in de verwerkersovereenkomst vast wie bij u zo'n melding ontvangt, en wat u in dat geval met de dienst doet.

Punt 7: aansprakelijkheid ligt bij een onderdeel in de EER

Ten minste één concernonderdeel in de EER neemt de verantwoordelijkheid voor schendingen door onderdelen buiten de EER en door externe subverwerkers buiten de EER, en betaalt de schadevergoeding. Kunnen u of een inwoner aantonen dat er schade is, en feiten aanvoeren waaruit blijkt dat die waarschijnlijk door een schending van de BCR-P komt, dan moet dat onderdeel bewijzen dat het onderdeel buiten de EER niet verantwoordelijk was of dat er geen schending was. Betrokkenen kunnen de belangrijkste onderdelen van de BCR-P zelf afdwingen als derde-begunstigde, zoals hun rechten, de beveiliging en de regels bij overheidsverzoeken; interne regels zoals training en het auditprogramma vallen daarbuiten. De BCR-P moeten voor betrokkenen makkelijk te vinden zijn.

En de Verenigde Staten?

Voor doorgiften naar een Amerikaanse organisatie die onder het EU-VS Data Privacy Framework is gecertificeerd, geldt het adequaatheidsbesluit van de Commissie (besluit (EU) 2023/1795). Valt een doorgifte daaronder, dan zijn geen waarborgen uit artikel 46 nodig, en valt die doorgifte buiten de goedkeuring van de BCR-P. Is een Amerikaans concernonderdeel niet gecertificeerd, dan gelden voor de doorgifte daarheen gewoon de BCR-P. Het Gerecht van de EU verwierp op 3 september 2025 een beroep tegen dat besluit (Latombe, T-553/23, zie ons artikel over Latombe). Tegen die uitspraak loopt hoger beroep bij het Hof van Justitie (C-703/25 P).

De aanbevelingen bieden hier een vangnet. Een concern mag vastleggen dat de BCR-P gaan gelden voor doorgiften naar onderdelen in een land met een adequaatheidsbesluit als dat besluit ongeldig wordt. Het concern moet die onderdelen dan in de lijst markeren.

Voor uw gemeente: vraag per Amerikaans onderdeel of het gecertificeerd is. Zo ja, vraag of de BCR-P er als vangnet voor gelden en of het onderdeel in de lijst zo is gemarkeerd.

Wanneer het concern zijn BCR-P aanpast

De aanbevelingen gelden vanaf de publicatie van de definitieve versie. De EDPB verwacht dat nieuwe en lopende aanvragen er nu al aan voldoen. Een uitzondering geldt voor aanvragen die al een geconsolideerd concept hadden en uiterlijk 30 juni 2027 een EDPB-advies krijgen: die passen hun BCR-P aan bij de jaarlijkse update van 2028. Concerns die al goedgekeurde BCR-P hebben, doen dat ook bij de update van 2028. Dat vraagt in de regel geen nieuwe goedkeuring.

Dat betekent dat de BCR-P van uw leverancier tot hun jaarlijkse update in 2028 nog op de oude documenten kunnen zijn gebaseerd. Vraag dus welke versie geldt.

Wat de AI Act toevoegt, en wat niet

De AI Act bevat geen regels voor de doorgifte van persoonsgegevens naar landen buiten de EER; daarvoor blijft hoofdstuk V van de AVG gelden. De AI Act laat de AVG onverlet, met artikel 4 bis en artikel 59 als enige voorbehoud (artikel 2 lid 7 AI Act). Dat een AI-dienst onder de AI Act valt, of zelfs goed scoort op de AI Act-plichten, zegt dus niets over de doorgifte.

Wel loopt er een lijn tussen de twee. Bent u gebruiksverantwoordelijke van een AI-systeem met een hoog risico, dan gebruikt u, waar dat van toepassing is, de informatie die de aanbieder in de gebruiksaanwijzing moet geven (artikel 13) voor de DPIA die u volgens de AVG al moet doen (artikel 26 lid 9). Voor de systemen uit bijlage III geldt dat vanaf 2 december 2027. Een dienst die gesprekken uitschrijft en samenvat, is meestal geen hoog-risicosysteem. Maar is een AI-systeem bedoeld om te beoordelen of inwoners recht hebben op een essentiële overheidsuitkering of -dienst, of om die toe te kennen, te beperken, in te trekken of terug te vorderen, dan is het in beginsel hoog risico (bijlage III punt 5 onder a), tenzij de uitzondering van artikel 6 lid 3 geldt. Of u een DPIA moet doen, volgt uit de AVG zelf (artikel 35); zie wanneer een DPIA verplicht is.

Voor een bank en een school

Een bank die een AI-dienst voor klantcontact of fraudeanalyse afneemt bij een concern met BCR-P, heeft dezelfde vragen: welke onderdelen, welke TIA, welke auditresultaten en wie meldt een verzoek van een buitenlandse overheid. Beoordeelt een AI-systeem de kredietwaardigheid van particuliere klanten, dan is het een hoog-risicosysteem (bijlage III punt 5 onder b). Een systeem dat alleen financiële fraude opspoort, valt daar uitdrukkelijk buiten. De doorgifte blijft in beide gevallen een aparte AVG-vraag.

Een school of hogeschool die een leeromgeving met AI-feedback afneemt, verwerkt gegevens van leerlingen of studenten bij een leverancier die mogelijk vanuit andere werelddelen ondersteuning geeft. Ook hier: verwerkersovereenkomst, lijst met onderdelen en TIA.

Wat u nu doet

1. Vraag bij elke cloud- of AI-leverancier die met BCR-P werkt de gepubliceerde BCR-P en de lijst met concernonderdelen op.
2. Controleer dat uw verwerkersovereenkomst naar de BCR-P verwijst en ze voor u afdwingbaar maakt.
3. Vraag de TIA op, met de aanvullende maatregelen, en controleer die.
4. Vraag de laatste auditresultaten op en leg uw eigen auditrecht vast.
5. Spreek af wie bij u een melding krijgt van een verzoek van een overheid buiten Europa, en wat u dan doet.
6. Vraag welke externe subverwerkers buiten de EER er zijn, en vraag een kopie van het contract met elk van hen.
7. Vraag of de BCR-P al aan de aanbevelingen van 2026 voldoen, of pas na de update van 2028.

Wilt u voor een eigen systeem nagaan welke plichten onder de AVG en de AI Act gelden, gebruik dan de gratis casus-check. Nieuwe richtsnoeren van de EDPB vindt u bij AVG-richtsnoeren.

Wat open blijft

• Het TIA-sjabloon. De EDPB werkt aan een sjabloon voor de doorgiftetoets. Er is nog geen datum.
• Latombe in hoger beroep. Vernietigt het Hof het adequaatheidsbesluit voor de Verenigde Staten, dan worden de vangnetafspraken in BCR-P belangrijk.
• Overgang tot 2028. Tot de update van 2028 kunnen goedgekeurde BCR-P nog op de oude documenten zijn gebaseerd. Wat de aanbevelingen in de tussentijd betekenen voor een klant van zo'n concern, zeggen ze niet.