De opdracht begint met een afgebakende stroom
Voor een gerichte beoordeling zijn de dienstovereenkomst, gegevenscategorieën, betrokken entiteiten en technische inrichting nodig. Beschrijf of de ontvanger gegevens alleen bewaart, inhoudelijk gebruikt of voor ondersteuning kan bekijken. Neem verdere doorgiften in de keten mee. De lijst landen waarin een leverancier kantoren heeft is daarvoor een beginpunt, geen volledige routekaart.
We leggen vast welke stroom binnen de opdracht valt. Als later een nieuwe AI-functie, supportpartij of opslagregio wordt toegevoegd, moet worden beoordeeld of dat dezelfde situatie is. De opdracht omvat geen algemene goedkeuring van alle huidige en toekomstige producten van een leverancier. Ook de juistheid van onbekende technische instellingen kan niet op basis van een verkoopbrochure worden aangenomen.
Controleer het doorgiftemechanisme
Onderzoek eerst of een passend adequaatheidsbesluit van toepassing is of welke andere waarborg wordt gebruikt. Bij gebruik van artikel 46 AVG, bijvoorbeeld SCC, moet de beoordeling aansluiten op dat instrument en zijn voorwaarden. Voor de invulling van het contract verwijst deze dienst naar SCC bij doorgifte buiten de EER.
Leg de relevante versies en het moment van beoordeling vast. Een later gewijzigd besluit of gewijzigde leveranciersrol kan aanleiding zijn voor heronderzoek. De TIA staat bovendien naast andere privacyverplichtingen. Zij vervangt bijvoorbeeld geen DPIA voor een toepassing met waarschijnlijk hoge risico’s en levert geen zelfstandige grondslag voor het verzamelen van persoonsgegevens.
Verzamel juridische en praktische informatie
De beoordeling betrekt de relevante wetgeving en praktijk in het ontvangende land voor deze doorgifte. Onderzoek onder meer of overheidsbevoegdheden de overeengekomen waarborgen kunnen raken en welke mogelijkheden voor bescherming of rechtsmiddelen beschikbaar zijn. Gebruik actuele, controleerbare bronnen en laat specialistische lokale vragen gericht beantwoorden wanneer de opdracht dat nodig maakt.
Vraag de leverancier naar zijn feitelijke ervaring en procedures, maar behandel die antwoorden niet als vervanging van de juridische analyse. Geen eerder ontvangen verzoek betekent niet automatisch dat toekomstige toegang uitgesloten is. Noteer welke informatie ontbreekt en hoe belangrijk dat tekort voor het besluit is. Een onbekend antwoord mag niet stilzwijgend als een gunstige bevinding worden geregistreerd.
Toets maatregelen op de toegang die zij werkelijk beperken
Versleuteling kan veel betekenen, maar alleen als duidelijk is wie over sleutels beschikt en wanneer gegevens leesbaar worden. Een dienst die gegevens inhoudelijk moet verwerken kan op een ander moment toegang nodig hebben dan een dienst voor uitsluitend opslag. Beoordeel de volledige gebruikscyclus, inclusief ondersteuning en herstel.
Ook pseudonimisering vraagt controle van de mogelijkheid tot herleiding. Organisatorische afspraken en contractuele toezeggingen kunnen de bescherming ondersteunen, maar lossen niet elk juridisch of technisch probleem zelfstandig op. De analyse beschrijft daarom per maatregel welk risico wordt verminderd, welke afhankelijkheid blijft bestaan en wie de maatregel moet instellen of controleren.
Twee diensten met dezelfde opslagregio
Een fictief bureau vergelijkt een versleutelde archiefdienst met een analyseplatform in dezelfde buitenlandse regio. Bij het archief houdt het bureau zelf de sleutels. Het analyseplatform moet documenten kunnen lezen om rapporten te maken. Een identieke regiokeuze betekent daardoor niet dat beide doorgiften dezelfde beoordeling krijgen.
Het onderzoek beschrijft de toegangsmomenten en mogelijke aanvullende maatregelen per dienst. Voor bepaalde analysegegevens kan een beperkte, zorgvuldig voorbereide dataset een alternatief zijn. Wanneer een noodzakelijke bescherming niet uitvoerbaar blijkt, wordt dat als beslispunt gerapporteerd. Het voorbeeld illustreert waarom een landenbeoordeling zonder technische context geen bruikbare conclusie over deze twee producten oplevert.
Bespreek bij inkoop wie ontbrekende leveranciersinformatie kan opvragen en welke beslissing volgt wanneer antwoorden uitblijven. Een beoordeling afronden met de aanname dat alle onbekende instellingen gunstig zijn, geeft schijnzekerheid. Open punten krijgen daarom een duidelijke eigenaar en een betekenis voor het besluit over ingebruikname.
Oplevering met besluit en onderhoudscriteria
De afgesproken oplevering kan bestaan uit een routebeschrijving, bronnenoverzicht, gemotiveerde beoordeling, maatregelenlijst en een overzicht van openstaande vragen. Daarbij wordt duidelijk welke aannames door de opdrachtgever of leverancier nog bevestigd moeten worden. Een positief besluit kan afhankelijk zijn van maatregelen die vóór ingebruikname aantoonbaar moeten werken.
Wijs een verantwoordelijke aan voor wijzigingen en periodieke herbeoordeling. Relevante signalen zijn nieuwe ontvangers, andere sleuteltoegang, gewijzigde wetgeving of een beperking in afgesproken informatievoorziening. Voor de bredere inrichting van grensoverschrijdende verwerking sluit internationale doorgifte begeleiden aan. Het doel is een navolgbaar bedrijfsbesluit dat kan worden bijgewerkt wanneer de feiten veranderen.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13
- EDPB — Internationale gegevensdoorgifteGeraadpleegd op 2026-09-14
- EDPB — Aanbevelingen 01/2020 over aanvullende maatregelenGeraadpleegd op 2026-09-14