Cloud, SaaS en internationale leveranciers
Internationale doorgifte van persoonsgegevens. Weet waar gegevens terechtkomen en welke waarborgen werkelijk nodig zijn.
Een Europese contractspartij betekent niet automatisch dat persoonsgegevens binnen Europa blijven. Datajuristen brengt hosting, support, moedermaatschappijen en subverwerkers in kaart en vertaalt internationale gegevensstromen naar een verdedigbare contractuele en organisatorische aanpak.
Gerichte analyse Senior specialist Aantoonbare resultaten Opschaling volgens afspraak
Wanneer relevant?
Voor wie is dit een logische stap?
Bij doorgifte van persoonsgegevens buiten de Europese Economische Ruimte zijn aanvullende waarborgen nodig, tenzij een passend adequaatheidsbesluit geldt. Afhankelijk van land, ontvanger en verwerkingsketen kunnen onder meer standaardcontractbepalingen, een beoordeling van de doorgiftesituatie en aanvullende technische of organisatorische maatregelen nodig zijn.
Privacy, inkoop en contractmanagement
Softwarebedrijven met internationale subverwerkers
Zorg-, overheid- en onderwijsorganisaties
De praktijk
De belangrijkste aandachtspunten vooraf helder.
We verbinden juridische, bestuurlijke en operationele vragen. Daardoor ontstaat geen los advies, maar een aanpak die past bij besluitvorming en dagelijks werk.
Onzichtbare subverwerkers
Hosting, support, analyse en beheer kunnen door partijen in verschillende landen worden uitgevoerd.
Mechanisme zonder context
Een SCC-bijlage alleen zegt nog niet of de feitelijke doorgifte en bescherming voldoende zijn beoordeeld.
Wijzigende keten
Leveranciers voegen regio’s en subverwerkers toe terwijl het register en de beoordeling achterblijven.
Contract en techniek los
Juridische afspraken werken alleen als toegangsbeheer, encryptie, logging en gegevensminimalisatie daarop aansluiten.
Onze werkwijze
Van vraagstuk naar aantoonbare borging.
De aanpak blijft overzichtelijk, maar gaat inhoudelijk de diepte in waar risico, wetgeving of organisatiecontext dat vraagt.
Plan een inhoudelijke kennismaking- 01
Breng stromen in kaartWe onderzoeken locaties, rollen, toegang, support, subverwerkers en typen persoonsgegevens.
- 02
Kies het mechanismeWe beoordelen of een adequaatheidsbesluit, SCC’s, BCR of een beperkte uitzondering passend kan zijn.
- 03
Beoordeel beschermingLand, ontvanger, toegangsmogelijkheden en praktische waarborgen worden in samenhang onderzocht.
- 04
Borg wijzigingenContracten, register, leveranciersbeheer en periodieke controle worden op elkaar aangesloten.
Concrete oplevering
U weet wat wordt gedaan, vastgelegd en overgedragen.
De precieze scope wordt afgestemd op risico, omvang en bestaande volwassenheid. Deze onderdelen vormen een representatief vertrekpunt.
Overzicht internationale gegevensstromenBeoordeling doorgiftemechanismeSCC- en contractcontroleTransfer impact assessment waar nodigAdvies over aanvullende maatregelenProces voor subverwerkers en wijzigingen
Inhoudelijke verdieping
Internationale doorgifte begint bij de feitelijke gegevensstroom, niet bij een contractbijlage
Wat bepaalt uw voorstel?
Het aantal processen, betrokken teams en de beschikbare informatie bepalen de inzet. We leggen de werkzaamheden, oplevering, planning en kosten vooraf vast. Extra onderzoek of uitvoering voegen we alleen toe na afstemming.
Vraag een voorstel voor uw situatieKijk verder dan de vestigingsplaats
Breng niet alleen de contractspartij in beeld, maar ook waar gegevens worden opgeslagen en vanwaar medewerkers, beheerders of subverwerkers toegang kunnen krijgen. Ook support op afstand kan relevant zijn.
Verbind dit overzicht aan het verwerkingsregister, leveranciersdossier en de technische architectuur. Zonder dat feitenbeeld blijft iedere juridische conclusie kwetsbaar.
Kies en onderbouw passende waarborgen
Een adequaatheidsbesluit kan doorgifte naar bepaalde landen of gekwalificeerde organisaties mogelijk maken zonder een apart doorgifte-instrument. In andere situaties kunnen standaardcontractbepalingen of bindende bedrijfsvoorschriften relevant zijn.
Bij standaardcontractbepalingen moet de organisatie de concrete omstandigheden en bescherming beoordelen. Encryptie, sleutelbeheer, pseudonimisering, toegangsbeperking en transparantie kunnen onderdeel zijn van aanvullende maatregelen.
Maak leveranciersbeheer doorlopend
Een beoordeling veroudert wanneer de leverancier van hostingregio, subverwerker of ondersteuningsmodel verandert. Spreek meldingen en beoordelingsmomenten contractueel af.
Koppel internationale doorgifte daarom aan periodieke leverancierscontrole en aan besluitvorming bij nieuwe systemen of AI-toepassingen.
Officiële bronnenEuropese Commissie · Regels voor internationale gegevensdoorgifte
Deze pagina bevat algemene informatie en vervangt geen beoordeling van uw specifieke wettelijke positie, contracten, systemen of incident.
Veelgestelde vragen
Kort antwoord op vragen die organisaties vaak stellen.
Een specifieke situatie kan aanvullende feiten of juridische beoordeling vereisen.
Is iedere verwerking door een Amerikaans bedrijf een internationale doorgifte?+
Niet uitsluitend de herkomst van het bedrijf bepaalt dit. De feitelijke opslag, toegang, ontvanger, rollen en toepasselijke waarborgen moeten worden onderzocht.
Zijn SCC’s altijd voldoende?+
Nee. SCC’s zijn een belangrijk instrument, maar de concrete doorgiftesituatie en eventuele aanvullende maatregelen moeten passend worden beoordeeld.
Wat is een TIA?+
Een Transfer Impact Assessment legt vast welke doorgifte plaatsvindt, welke regels en toegangsmogelijkheden relevant zijn en of contractuele, technische en organisatorische waarborgen voldoende bescherming bieden.
Moeten subverwerkers ook worden beoordeeld?+
Ja, voor zover zij onderdeel zijn van de relevante verwerkings- en doorgifteketen. De beoordeling moet aansluiten op hun rol, locatie en toegang.
Een passende vervolgstap
Verder met dit onderwerp
Direct naar uw situatie
Maak van verplichtingen een werkbare en aantoonbare aanpak.
Bespreek in een eerste gesprek waar u staat, wat urgent is en welke inzet past.
Neem contact op