Mag mijn leverancier gegevens buiten de EU verwerken?

Gegevens buiten de EU: mag het, en onder welke voorwaarden

Ja, een leverancier mag gegevens buiten de EU verwerken, maar dat mag niet zomaar. De AVG gaat uit van vrij verkeer van persoonsgegevens binnen de Europese Economische Ruimte; zodra gegevens dat gebied verlaten, moet er iets extra's geregeld zijn. Dat kan op een paar manieren: het land waar de gegevens naartoe gaan heeft een "adequaatheidsbesluit" van de Europese Commissie (het beschermingsniveau is dan door Brussel als voldoende beoordeeld), of de leverancier gebruikt een ander wettelijk instrument, zoals modelcontractbepalingen die de Commissie heeft vastgesteld. Zonder een van die grondslagen is doorgifte naar een land buiten de EER in beginsel niet toegestaan.

Voor een ondernemer die met een SaaS-tool werkt, betekent dit vooral dat de vraag verschuift van "mag het" naar "is het geregeld". Veel bekende clouddiensten draaien op servers in de Verenigde Staten of gebruiken daar ondersteunende diensten, en dat hoeft geen probleem te zijn zolang de leverancier kan laten zien welk instrument van toepassing is en welke aanvullende maatregelen eventueel getroffen zijn. De verwerkersovereenkomst hoort dit te benoemen: welke subverwerkers worden ingeschakeld, waar die zitten, en op welke grondslag gegevens eventueel buiten de EER gaan. Ontbreekt die informatie, dan is dat een signaal om ernaar te vragen, niet per se een bewijs dat het misgaat.

Waar dit geregeld staat: hoofdstuk V van de AVG

Hoofdstuk V van de AVG (de artikelen over doorgifte van persoonsgegevens naar derde landen) bevat de regels voor adequaatheidsbesluiten en passende waarborgen zoals modelcontractbepalingen, en de uitzonderingen die daarop mogelijk zijn. De EDPB heeft hierover aanvullende richtsnoeren gepubliceerd, onder meer over de vraag wanneer aanvullende technische of organisatorische maatregelen nodig zijn bovenop een standaardinstrument.