Een beschreven doorgiftescenario
De geselecteerde gegevensstromen, exporteur, ontvangers, rollen, landen en toegangsmogelijkheden. Ontbrekende leveranciersinformatie en aannames krijgen een zichtbare plaats.
Privacy · Een gerichte opdracht
Transfer Impact Assessment laten uitvoeren?
Onderbouw uw concrete doorgifte.
Een leverancier verwijst naar standaardcontractbepalingen, maar uw organisatie moet weten wat die betekenen voor het eigen gebruik. Datajuristen helpt de concrete doorgifte afbakenen en een passende beoordeling voorbereiden. Daarbij kijken we naar ontvangers, toegang, relevante landen en de onderbouwing van beschermingsmaatregelen.
Voorstel op maat · Werkzaamheden en kosten vooraf afgesproken
Bij leveranciers buiten de EERBij SCC’s en doorgiftevragenBij internationale supporttoegang
Duidelijk afgebakend
Dit is waar we naartoe werken.
Voor een concrete leverancier, verwerking of afgebakende doorgifteketen waarvoor een Transfer Impact Assessment nodig kan zijn. De algemene dienst internationale doorgifte helpt bij een breder beleid of inventarisatie; deze opdracht werkt een specifieke beoordeling en de bijbehorende besluitpunten uit.
Een onderbouwde beoordeling
Binnen de afgesproken scope: beoordeling van het doorgiftemechanisme, relevante wetgeving en praktijk, leveranciersinformatie en beschermingsmaatregelen. De gebruikte bronnen en beoordelingsdatum worden vastgelegd.
Maatregelen en herbeoordelingspunten
Een overzicht van resterende vragen, voorgestelde acties en besluitpunten. Daarbij benoemen we welke veranderingen aanleiding geven de beoordeling opnieuw te bekijken.
Aantal landen, ontvangers, gegevensstromen en beschikbare informatie bepalen de opdracht. Het voorstel bevat de afbakening, planning, prijs en eventuele behoefte aan lokale juridische of technische expertise. Een TIA is geen goedkeuring van een toezichthouder en geen garantie dat de gewenste doorgifte mogelijk is.
Eerst de doorgifteroute vaststellen
Niet iedere verwerking buiten de EER vraagt dezelfde route. Een toepasselijk adequaatheidsbesluit is een andere grondslag voor doorgifte dan standaardcontractbepalingen. We controleren daarom eerst de actuele reikwijdte: vallen het land, de ontvanger en de betreffende verwerking daadwerkelijk onder de gekozen route? Een bestaande kwalificatie wordt niet zonder controle overgenomen.
De plaats van opslag is één onderdeel van het scenario. Beschikbaarstelling aan een afzonderlijke ontvanger buiten de EER kan ook via toegang op afstand plaatsvinden. We bespreken daarom wie support levert en gegevens kan raadplegen. Buitenlandse toegang wordt aan de concrete juridische en feitelijke situatie getoetst, in plaats van uitsluitend aan het datacenteradres.
- Wie verstrekt gegevens aan welke ontvanger?
- Welke juridische entiteiten zijn betrokken?
- Waar vinden opslag, support en verdere verwerking plaats?
- Welke doorgifteroute is voor deze stroom onderbouwd?
De beoordeling koppelen aan uw feitelijke gebruik
Een algemeen leveranciersrapport kan bruikbare input bieden, maar de dekking moet aansluiten op uw afgenomen dienst en configuratie. We vergelijken de beschreven gegevens, ontvangers en maatregelen met de informatie van uw organisatie. Een ontbrekend antwoord wordt een gerichte vervolgvraag, geen positief beoordeeld onderdeel.
Bij een TIA onder de relevante SCC-bepalingen gaat het onder meer om de vraag of toepasselijke wetgeving en praktijk de nakoming van de waarborgen kunnen verhinderen. De concrete omstandigheden zijn daarbij relevant. We leggen vast welke informatie de analyse ondersteunt en welke onzekerheden een besluit nog belemmeren. Specialistische lokale rechtsvragen worden afzonderlijk afgebakend wanneer aanvullende expertise nodig is.
- De gebruikte dienst, functies en contractversie.
- Categorieën gegevens en betrokken personen.
- Onderbouwing van toegang, versleuteling en sleutelbeheer.
- Verdere ontvangers en relevante wijzigingen in de keten.
Maatregelen beoordelen op hun werking
Aanvullende maatregelen zijn geen standaardlijst die iedere doorgifte automatisch oplost. Als de beoordeling tekortkomingen laat zien, onderzoeken we welke maatregelen daarvoor daadwerkelijk relevant en effectief kunnen zijn. Het maakt bijvoorbeeld verschil wie gegevens leesbaar nodig heeft en wie de sleutels beheert. Een extra contractbelofte kan niet elk probleem in de feitelijke bescherming wegnemen.
De beoordeling eindigt met een onderbouwde uitkomst en open besluiten. Als vereiste bescherming niet kan worden gewaarborgd, kan de gekozen doorgifte niet op die basis worden voortgezet. Ook een aanvaardbare inrichting vraagt onderhoud: een andere supportpartij, gewijzigde wetgeving of nieuwe functie kan het scenario veranderen. We spreken af welke informatie uw organisatie daarvoor blijft volgen.
- Maatregelen koppelen aan het concrete probleem.
- Niet aangetoonde werking herkenbaar laten staan.
- Een eigenaar aanwijzen voor open vragen en acties.
- Herbeoordeling organiseren bij relevante wijzigingen.
Herkenbare situatie · illustratief voorbeeld
Europese opslag, maar support vanuit een ander land.
In dit illustratieve voorbeeld noemt een leverancier een Europees datacenter. Bij nadere inventarisatie blijkt een afzonderlijke supportpartij buiten de EER toegang te kunnen krijgen. Die toegang wordt meegenomen in de doorgiftekaart en beoordeeld binnen de toepasselijke route; de opslaglocatie alleen beantwoordt de vraag niet.
- 01Doorgifte en mechanisme
- 02Onderzoek en onderbouwing
- 03Maatregelen en besluitpunten
Van eerste gesprek naar aanpak
Begin met de vraag.
Wij helpen ordenen.
Noem de leverancier, dienst, betrokken landen voor zover bekend en de aanleiding voor de TIA-vraag. Vermeld of SCC’s of een leveranciersbeoordeling beschikbaar zijn. Stuur geen persoonsgegevens, contractdossiers of vertrouwelijke beveiligingsstukken mee via het eerste contactformulier.
Bespreek uw doorgifte en TIA- 01
We maken de vraag concreet
We bespreken uw doel, de betrokken mensen en wat al beschikbaar is.
- 02
U krijgt een afgebakend voorstel
Met werkzaamheden, benodigde informatie, planning en kosten.
- 03
We bespreken de bevindingen
U weet welke keuzes voorliggen, wat nog ontbreekt en welke vervolgstappen passen.
Goed om vooraf te weten
Uw vragen.
Helder beantwoord.
Is bij iedere doorgifte buiten de EER een TIA nodig?
Nee, de toepasselijke route moet eerst worden vastgesteld. Voor een doorgifte die volledig onder een geldig adequaatheidsbesluit valt, geldt niet dezelfde SCC-beoordeling. De overige AVG-voorwaarden blijven gelden. Reikwijdte en actuele status van de route moeten worden gecontroleerd.
Zijn ondertekende SCC’s op zichzelf voldoende?
Een handtekening beantwoordt niet alle vragen. Waar de SCC’s dat verlangen, moeten partijen de concrete omstandigheden en relevante wetgeving en praktijk beoordelen. Ook bijlagen en maatregelen moeten passen bij de werkelijke doorgifte.
Kunnen we de TIA van onze leverancier gebruiken?
Die kan belangrijke informatie bevatten. We onderzoeken of het rapport de juiste dienst, ontvangers, landen, gegevens en configuratie dekt en of de onderbouwing actueel is. De verantwoordelijkheid voor uw eigen keuzes verdwijnt niet door een leveranciersdocument te bewaren.
Is Europese dataopslag voldoende om doorgifte uit te sluiten?
Dat kan niet alleen op basis van het opslagadres worden bepaald. Onderzoek ook welke andere partijen toegang hebben en waar zij gevestigd zijn. Toegang op afstand en verdere verstrekking kunnen relevant zijn voor het doorgiftescenario.
Is een TIA hetzelfde als een DPIA?
Nee. Een TIA richt zich op bescherming bij een concrete internationale doorgifte. Een DPIA beoordeelt risico’s van een verwerking voor mensen breder. Beide analyses kunnen voor dezelfde toepassing relevant zijn, maar de ene vervangt de andere niet automatisch.
Hoe lang duurt een TIA en wat kost die?
Dat hangt af van de keten, betrokken landen, beschikbare bronnen en medewerking van leveranciers. Na de intake ontvangt u een voorstel. Als essentiële informatie ontbreekt, blijft dat een open punt en kan de planning of scope moeten worden aangepast.
Hoe lang blijft de beoordeling bruikbaar?
Dat hangt af van het beschreven scenario en relevante veranderingen. We benoemen bij de oplevering welke aannames en bronnen zijn gebruikt en welke wijzigingen herbeoordeling vragen. Een beoordeling is geen onbeperkt geldig keurmerk voor alle diensten van een leverancier.
Bronnen bij deze uitleg · geraadpleegd 25 september 2026EDPB · definitieve aanbevelingen aanvullende doorgiftemaatregelen Europese Commissie · vragen over SCC’s en TIA EDPB · wanneer sprake is van internationale doorgifte AVG · artikelen 44 en 45 over doorgifte en adequaatheid