[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:nl:avg-doorgiften-naar-derde-landen-voor-een-softwarebedrijf-de-17-adequaatheidsbesluiten-de-vier-scc-modules-wat-een-amerikaanse-britse-of-indiase-subverwerker-nodig-heeft-en-een-pagina-die-het-mechanisme-kiest":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"nl","avg-doorgiften-naar-derde-landen-voor-een-softwarebedrijf-de-17-adequaatheidsbesluiten-de-vier-scc-modules-wat-een-amerikaanse-britse-of-indiase-subverwerker-nodig-heeft-en-een-pagina-die-het-mechanisme-kiest","AVG-doorgiften naar derde landen voor een softwarebedrijf: de 17 adequaatheidsbesluiten, de vier SCC-modules, wat een Amerikaanse, Britse of Indiase subverwerker nodig heeft, en een pagina die het mechanisme kiest","Elke hostingprovider, supportdesk, analysetool en salarisdienst buiten de EER is een doorgifte onder hoofdstuk V. De lijst van adequaatheidsbesluiten van de Commissie, gelezen op 12 september 2026, telt 17 vermeldingen: 16 landen en gebieden, van Andorra tot Uruguay, en de Europese Octrooiorganisatie, met het Verenigd Koninkrijk verlengd in december 2025, Brazilië toegevoegd in januari 2026, en de Verenigde Staten alleen gedekt voor bedrijven die onder het Data Privacy Framework zijn gecertificeerd. Al het andere vergt de standaardcontractbepalingen van Besluit (EU) 2021\u002F914, waarvan de vier modules de rollen van exporteur en importeur volgen, met de beoordeling van het lokale recht van bepaling 14 vóór de eerste doorgifte; de afwijkingen van artikel 49 zijn voor de eenmalige gelegenheid, nooit voor een product in gebruik. Gelezen tegen de catalogus, met een gratis pagina die het mechanisme kiest en schrijft.","2026-09-12",{"who":10,"when":11,"do":12},"Een in de Unie gevestigd softwarebedrijf dat persoonsgegevens buiten de EER stuurt: zijn eigen klantgegevens naar een CRM, de gegevens van zijn klanten naar een hosting-, support- of AI-leverancier, de gegevens van zijn personeel naar een salaris- of HR-tool; als verwerkingsverantwoordelijke voor het eerste en verwerker voor het tweede, en de klanten die in de verwerkersvoorwaarden vragen waar de gegevens heen gaan.","Vanaf de eerste doorgifte; de adequaatheidslijst is een momentopname van 12 september 2026, en de Commissie evalueert en verlengt haar besluiten, zodat het mechanisme waarop een ontvanger rust opnieuw wordt gelezen wanneer de lijst verandert; de bepalingen van Besluit (EU) 2021\u002F914 zijn de enige bepalingen van de Commissie sinds de oude sets in december 2022 zijn verlopen.","Zet elke ontvanger buiten de EER in het verwerkingsregister met zijn land; voor elk het adequaatheidsbesluit dat hem draagt of de SCC-module ondertekend met haar bijlagen en de beoordeling van bepaling 14; vraag een Amerikaanse importeur om zijn certificering onder het Data Privacy Framework en een Britse of Japanse om niets meer; de gratis pagina kiest het mechanisme uit de bestemming en de twee rollen.","\nHoofdstuk V van de verordening is het deel dat een softwarebedrijf tegenkomt op de dag dat het zich aanmeldt voor een hostingregio, een supportdesk of een analysetool die van buiten de Europese Economische Ruimte wordt gedraaid. Artikel 44 stelt het beginsel: een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie vindt alleen plaats als de verwerkingsverantwoordelijke en de verwerker de voorwaarden van het hoofdstuk naleven, ook bij verdere doorgiften, en alle bepalingen ervan worden zo toegepast dat het door de verordening gewaarborgde beschermingsniveau niet wordt ondermijnd. Dit artikel leest het hoofdstuk tegen de [catalogus](\u002Fgdpr\u002Fduties) die StandardOS van de verordening bijhoudt en tegen de eigen lijst van adequaatheidsbesluiten van de Commissie, met de [gratis pagina](\u002Fgdpr\u002Ftransfers) die het mechanisme uit de bestemming en de twee rollen kiest.\n\n## Eerste vraag: is het überhaupt een doorgifte\n\nEen ontvanger in een van de 27 lidstaten, of in IJsland, Liechtenstein of Noorwegen, zit niet in een derde land: de verordening geldt daar rechtstreeks, door de Verdragen en de EER-overeenkomst, en hoofdstuk V is niet aan de orde. Het verwerkingsregister noemt de ontvanger wel (artikel 30, lid 1, punt d)), maar er is geen mechanisme nodig. Alles buiten die 30 staten is een derde land, of de ontvanger nu een bekend bedrijf is of niet, of de gegevens onderweg versleuteld zijn of niet, en of de ontvanger zichzelf AVG-conform noemt of niet. De vraag wordt beantwoord door het land van de vestiging die de gegevens verwerkt, niet door de vlag op de website van de importeur.\n\n## Tweede vraag: is er een adequaatheidsbesluit\n\nArtikel 45, lid 1, laat een doorgifte aan een land waarvan de Commissie heeft besloten dat het een passend beschermingsniveau waarborgt zonder specifieke toestemming plaatsvinden. De pagina van de Commissie over adequaatheid voor niet-EU-landen, gelezen op 12 september 2026, zegt dat zij er tot nu toe 17 heeft erkend: Andorra, Argentinië, Brazilië, Canada, de Faeröer, Guernsey, Israël, het eiland Man, Japan, Jersey, Nieuw-Zeeland, de Republiek Korea, Zwitserland, het Verenigd Koninkrijk, de Verenigde Staten, Uruguay en de Europese Octrooiorganisatie. Elf ervan zijn vastgesteld onder Richtlijn 95\u002F46\u002FEG en geëvalueerd in het verslag van de Commissie van 15 januari 2024; de rest onder artikel 45, met als nieuwste handelingen die de pagina vermeldt het besluit voor Brazilië van 26 januari 2026, de verlenging van het besluit voor het Verenigd Koninkrijk op 19 december 2025, het besluit voor de Europese Octrooiorganisatie van 15 juli 2025 en de eerste evaluatie van het besluit voor de Republiek Korea op 23 juli 2026. Twee besluiten hebben een reikwijdte die een softwarebedrijf moet controleren: dat van Canada dekt commerciële organisaties, en dat van de Verenigde Staten dekt alleen commerciële organisaties die deelnemen aan het EU-VS-kader voor gegevensbescherming, zodat een Amerikaanse importeur adequaat is als hij gecertificeerd is en een importeur uit een derde land als elke andere als hij dat niet is. De pagina houdt die lijst als gegevens bij, met de datum waarop zij is gelezen, en de [doorgiftetool](\u002Fgdpr\u002Ftransfers) stelt de reikwijdtevraag waar een besluit er een heeft.\n\n## Derde vraag: welke waarborg, en welke module\n\nZonder besluit vergt artikel 46, lid 1, passende waarborgen die de betrokkenen afdwingbare rechten en doeltreffende rechtsmiddelen geven, en artikel 46, lid 2, noemt er zes die geen specifieke toestemming vergen: een juridisch bindend instrument tussen overheidsinstanties, bindende bedrijfsvoorschriften, door de Commissie vastgestelde standaardbepalingen inzake gegevensbescherming, door een toezichthoudende autoriteit vastgestelde en door de Commissie goedgekeurde bepalingen, een goedgekeurde gedragscode en een goedgekeurde certificering. Voor een softwarebedrijf is het antwoord de derde: de standaardcontractbepalingen van Uitvoeringsbesluit (EU) 2021\u002F914 van de Commissie van 4 juni 2021, waarvan de bijlage vier modules heeft naar de rollen van de partijen. Module één is verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke, het bedrijf dat zijn eigen klantgegevens naar een partner stuurt die beslist wat ermee gebeurt; module twee is verwerkingsverantwoordelijke naar verwerker, het bedrijf dat zijn eigen gegevens naar een CRM, een salarisdienst of een e-mailprovider stuurt; module drie is verwerker naar verwerker, het bedrijf dat de gegevens van zijn klanten naar zijn hosting-, support- of AI-subverwerker stuurt; module vier is verwerker naar verwerkingsverantwoordelijke, het zeldzame geval van een verwerker die gegevens terugstuurt naar een verwerkingsverantwoordelijke buiten de EU. De module ondertekenen is niet de hele waarborg: bepaling 14 vereist dat de partijen vóór de doorgifte hebben beoordeeld of de wetgeving en praktijken van het land van de importeur hem beletten de bepalingen na te leven, wat de beoordeling is die het Hof van Justitie in Schrems II heeft geëist, en bepaling 15 legt de plichten van de importeur vast wanneer een overheidsinstantie om de gegevens vraagt. De beoordeling wordt gedocumenteerd en bewaard voor de toezichthoudende autoriteit. Bindende bedrijfsvoorschriften onder artikel 47 zijn voor een concern en vergen de goedkeuring van een autoriteit; een gedragscode of certificering helpt alleen waar die voor de importeur bestaat.\n\n## Vierde vraag: is dit een bijzondere situatie\n\nArtikel 49, lid 1, staat een doorgifte zonder adequaatheid of waarborgen toe onder een van zeven voorwaarden: uitdrukkelijke toestemming na informatie over de risico's, de uitvoering van een overeenkomst met de betrokkene, een overeenkomst in het belang van de betrokkene, gewichtige redenen van algemeen belang, rechtsvorderingen, vitale belangen, of een openbaar register. De tweede alinea ervan voegt de doorgifte toe die noodzakelijk is voor dwingende gerechtvaardigde belangen, die niet repetitief mag zijn, slechts een beperkt aantal betrokkenen mag betreffen, beoordeeld en gedocumenteerd moet worden, en aan de toezichthoudende autoriteit moet worden gemeld. Niets daarvan beschrijft een product in gebruik: een hostingprovider verwerkt elke dag de gegevens van elke klant, en een toestemming die van elke eindgebruiker van elke klant van het bedrijf zou moeten worden verkregen, is geen mechanisme. De afwijkingen zijn voor de eenmalige gelegenheid, het ene bestand dat één keer wordt verstuurd, en een bedrijf dat zijn architectuur erop bouwt, heeft geen mechanisme.\n\n## Wat ermee te doen\n\nNeem het verwerkingsregister en zijn kolom met ontvangers, en geef elke ontvanger buiten de EER een land en een mechanisme: het adequaatheidsbesluit dat hem draagt, met de reikwijdte gecontroleerd voor een Amerikaanse of Canadese importeur, of de SCC-module ondertekend met haar bijlagen en de beoordeling van bepaling 14 gedateerd. Vraag een Amerikaanse importeur om zijn certificering onder het Data Privacy Framework en controleer die op de lijst van het Department of Commerce; vraag een Britse of Japanse importeur om niets meer dan het contract; vraag een Indiase, Australische of Singaporese importeur om de ondertekende bepalingen en zijn eigen lijst van subverwerkers, omdat verdere doorgiften onder hoofdstuk V blijven. Zet het mechanisme in de [verwerkersvoorwaarden](\u002Fgdpr\u002Fprocessor-terms) die een klant stuurt, omdat artikel 28, lid 4, een subverwerker onder dezelfde verplichtingen plaatst als de verwerker, en in het [register](\u002Fgdpr\u002Frecord-of-processing), omdat artikel 30, lid 1, punt e), om de doorgiften en hun waarborgen vraagt. De [doorgiftepagina](\u002Fgdpr\u002Ftransfers) doet de bepaling uit de bestemming en de twee rollen en schrijft haar; de [bepaling van de verplichtingen](\u002Fgdpr\u002Fduties) zegt of doorgiften überhaupt tot de verplichtingen van het bedrijf behoren.\n",1789383972696]