Mag mijn leverancier gegevens buiten de EU verwerken?

Data buiten de EU mag, mits er een geldige grondslag is

Een leverancier mag persoonsgegevens in de meeste gevallen buiten de EU laten verwerken, maar dat mag niet zomaar. De AVG maakt onderscheid tussen twee vragen die vaak door elkaar lopen: mag deze leverancier überhaupt gegevens namens u verwerken (de subverwerker-vraag), en mag die verwerking plaatsvinden buiten de Europese Economische Ruimte (de doorgifte-vraag). Beide vragen hebben een eigen antwoord, en beide moeten met "ja" beantwoord kunnen worden voordat de gegevens het gebouw uit mogen.

Voor de subverwerker geldt dat een leverancier een andere partij pas mag inschakelen met voorafgaande toestemming, en dat de verplichtingen uit de verwerkersovereenkomst dan doorgegeven moeten worden aan die subverwerker. Voor de doorgifte naar een land buiten de EU geldt een aparte laag: dat mag op basis van een adequaatheidsbesluit van de Europese Commissie voor dat land, of bij gebreke daarvan op basis van passende waarborgen, zoals modelcontracten die de Commissie heeft vastgesteld. Zonder een van beide gronden ontbreekt de basis voor de doorgifte, ook als de subverwerker zelf keurig is ingeschakeld.

De basis: artikel 28 en artikel 44 AVG

Het inschakelen van een subverwerker is geregeld in artikel 28 van de AVG, dat de voorwaarden stelt aan toestemming en doorgegeven verplichtingen; de doorgifte naar een derde land is geregeld in artikel 44 van de AVG, dat het vertrekpunt vormt voor het hoofdstuk over doorgifte buiten de EU. De EDPB heeft hierover richtsnoeren gepubliceerd die verder uitwerken wanneer een waarborg als "passend" geldt en hoe een organisatie dat kan beoordelen.