Teken de route tot aan de werkelijke ontvanger
Begin met de gegevenscategorieën, het doel en de organisaties die toegang krijgen. Noteer waar de ontvanger is gevestigd en vanuit welke landen ondersteuning of beheer plaatsvindt. Onderzoek ook verdere doorgiften in de leveranciersketen. Een contract met een Europese verkoopmaatschappij sluit toegang door andere groepsonderdelen niet automatisch uit.
Maak onderscheid tussen opslag, inzage op afstand en verzending van exports. Vraag leveranciers welke toegang technisch mogelijk is en hoe die wordt beperkt. Een algemene toezegging dat gegevens veilig zijn beantwoordt niet welke rechtspersoon ontvangt, in welk land die handelt en voor welk doel de informatie wordt gebruikt.
Controleer eerst het toepasselijke doorgiftemechanisme
De AVG kent verschillende routes, waaronder een toepasselijk adequaatheidsbesluit van de Europese Commissie en passende waarborgen zoals standaardcontractbepalingen. Controleer steeds de actuele geldigheid en reikwijdte van de gekozen route. Een besluit kan specifieke voorwaarden of ontvangerscategorieën kennen. De naam van een land of een certificeringslogo in een presentatie is onvoldoende bewijs.
Wanneer standaardcontractbepalingen worden gebruikt, moeten de juiste partijen, rollen en modules aansluiten op de werkelijke verwerking. Beoordeel ook of de bescherming in de praktijk kan worden geboden en of aanvullende maatregelen nodig zijn. Een getekend document zonder ingevulde bijlagen, gegevensomschrijving of onderzoek naar de omstandigheden maakt die beoordeling niet compleet.
Europese opslag met ondersteuning elders
Dit fictieve softwarevoorbeeld laat zien waarom de beoordeling verder gaat dan het kiezen van een serverregio. Een onderneming kan de ondersteuning beperken tot technische informatie of toegang per incident laten goedkeuren. Of daarmee een doorgifte wordt voorkomen of voldoende beschermd, hangt af van de daadwerkelijke inrichting.
| Onderdeel van de dienst | Te onderzoeken feit | Mogelijke uitkomst van de beoordeling |
|---|---|---|
| Hoofddatabase | Waar de klantgegevens worden opgeslagen en wie beheerrechten heeft | Opslag binnen de EER beschrijft slechts één deel van de gegevensstroom |
| Nachtelijke ondersteuning | Welke buitenlandse rechtspersoon dossiers kan openen | Toegang kan een afzonderlijke doorgiftebeoordeling vragen |
| Diagnostische bestanden | Of logs namen, accountnummers of berichtinhoud bevatten | Ook ondersteunende bestanden kunnen persoonsgegevens bevatten |
| Verdere dienstverleners | Welke partijen de leverancier inschakelt en vanuit waar | De keten vraagt controle op toestemming, afspraken en toepasselijke waarborgen |
Onderzoek maatregelen op hun werkelijke effect
Versleuteling helpt alleen voor het onderzochte risico als duidelijk is wie de sleutels beheert en op welk moment gegevens leesbaar zijn. Een leverancier die de inhoud voor ondersteuning moet kunnen openen, kan niet tegelijk worden behandeld alsof hij uitsluitend onleesbare informatie ontvangt. Pseudonimisering is evenmin hetzelfde als volledige anonimisering.
Organisatorische maatregelen kunnen bestaan uit beperkte toegangsrechten, controleerbare verzoekprocedures en transparantie over overheidsverzoeken. Contractuele afspraken regelen onder meer medewerking en verdere doorgifte. Beoordeel deze maatregelen gezamenlijk. Vraag daarbij wie een maatregel controleert, welke technische afhankelijkheden bestaan en wat er gebeurt wanneer een ontvanger een afgesproken bescherming niet meer kan uitvoeren. Als de vereiste bescherming niet haalbaar is, kan een andere inrichting of leverancier nodig zijn; een acceptatie van het commerciële risico vervangt geen wettelijke voorwaarde.
Gebruik uitzonderingen niet als vaste infrastructuur
De AVG bevat uitzonderingen voor specifieke situaties. Die hebben eigen voorwaarden en moeten zorgvuldig worden beoordeeld. Een onderneming hoort niet zonder verdere analyse een structurele internationale gegevensstroom te baseren op een uitzondering die voor een bijzonder geval is bedoeld.
Ook toestemming vraagt meer dan een algemeen vakje in een formulier. De voorwaarden voor geldige toestemming en eventuele specifieke informatie over doorgifterisico’s moeten worden onderzocht. Daarnaast blijft de gewone rechtmatigheid van de verwerking relevant. Een doorgiftemechanisme maakt een onnodige verzameling of een onverenigbaar nieuw gebruik niet vanzelf toegestaan.
Houd bewijs en wijzigingen bij elkaar
Bewaar de onderbouwing, contractbijlagen en relevante leveranciersinformatie bij de betreffende verwerking. Leg vast wie wijzigingen in landen, subverwerkers of toegangsrechten beoordeelt. Controleer een kennisgeving van de leverancier inhoudelijk voordat een nieuwe route als vanzelfsprekend wordt geaccepteerd.
Verwerk de uitkomst in het verwerkingsregister en de informatie aan betrokkenen. Voor afspraken met partijen die namens de onderneming gegevens verwerken is ook de verwerkersovereenkomst relevant. Een afgeronde beoordeling geeft inzicht in de onderzochte route, de gekozen juridische basis en de getroffen maatregelen, met expliciete aandacht voor aannames die bij veranderingen opnieuw moeten worden gecontroleerd.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbescherming (2016/679)Geraadpleegd op 2026-09-12