Wat zijn de wettelijke mogelijkheden om data te mogen doorgeven naar landen buiten de EU?

Binnen de EU (of eigenlijk de Europese Economische Ruimte, de EER) geldt de AVG, waardoor persoonsgegevens beschermd zijn (1, 2). In landen buiten de EER (zogeheten ‘derde landen’), geldt mogelijk een minder hoog beschermingsniveau dan binnen de EER. Indien het mogelijk is om data in anonieme vorm te verstrekken aan derde landen, dan is dit raadzaam. De onderstaande stappen zijn dan niet nodig. De lat om van anonieme gegevens te spreken ligt echter hoog. Zie de FAQ 'Wanneer worden gegevens als anoniem, pseudoniem of direct identificerend beschouwd?'.

Indien er wel (in)direct herleidbare gegevens doorgegeven worden naar landen buiten de EER, dan kan alleen als dit land (of de organisatie waar de persoonsgegevens inzichtelijk voor zijn) een vergelijkbaar beschermingsniveau biedt. De mogelijkheden voor passende doorgifte staan hieronder. Deze staan op volgorde van voorkeur. Het is van belang eerst te kijken of de eerstgenoemde mogelijkheid van toepassing is, en alleen indien dit niet het geval is, kan naar de volgende mogelijkheid worden gekeken.

1. Adequaatheidsbesluit (art. 45 AVG)

De Europese Commissie kan een adequaatheidsbesluit nemen, waarmee wordt aangegeven dat de gegevensbescherming in dat land van een vergelijkbaar niveau is als binnen de EU. Voor meerdere landen is zo’n adequaatheidsbesluit genomen (3), onder andere voor het Verenigd Koninkrijk (zie ook de FAQ ‘Waar vind ik meer informatie over de invloed van de Brexit op wetenschappelijk onderzoek?’). Er hoeven dan geen aanvullende waarborgen getroffen te worden (behalve de reguliere waarborgen die altijd genomen worden bij datadoorgifte, zoals een verwerkersovereenkomst). Soms geldt een adequaatheidsbesluit alleen voor bepaalde sectoren of aangesloten organisaties. Dat is bijvoorbeeld het geval in de VS, daar geldt een zelfcertificeringsmechanisme genaamd het ‘Data Privacy Framework’. Het mechanisme is te beschouwen als een adequaatheidsbesluit. Deze geldt echter alleen voor organisaties die zich hebben laten certificeren. Lees meer informatie op deze pagina van de Autoriteit Persoonsgegevens (4). Het is echter mogelijk dat het Data Privacy Framework zal komen te vervallen. Dit komt doordat een Amerikaanse toezichthouder (de Federal Trade Commission) niet langer onafhankelijk is nu een oordeel van het Supreme Court duidelijk maakt dat de Amerikaanse president een commissaris van de FTC mag ontslaan (5). Houdt er dus rekening mee dat, indien er gebruik gemaakt wordt van het Data Privacy Framework, dit kan komen te vervallen, en dan gebruik gemaakt zal moeten worden van de hieronder beschreven manieren. Contacteer in dit geval een juridisch expert in uw eigen organisatie.

2a. Passende waarborgen (art. 46, lid 2 (c, e en f) AVG)

Indien er geen adequaatheidsbesluit genomen is, kan er mogelijk gebruik worden gemaakt van een modelcontract, oftewel standard contractual clauses (SCC’s). De Europese Commissie heeft twee soorten modelovereenkomsten vastgesteld, waaronder één voor doorgifte naar derde landen. De Engelstalige versie vindt u hier (6), de Nederlandstalige versie vindt u hier (7). Hierin wordt tevens beschreven welke aanvullende maatregelen nodig zijn. Meer informatie over SCC’s leest u hier (8). Andere passende waarborgen zijn een goedgekeurde gedragscode over gegevensuitwisseling die betrekking heeft op de partners met wie de gegevens worden uitgewisseld (in Nederland getoetst door de Autoriteit Persoonsgegevens) of een certificeringsmechanisme.

2b. Binding Corporate Rules (art. 47 AVG)

Deze waarborg is alleen van toepassing op organisaties met vestigingen buiten de EU, oftewel waar sprake is van een economische eenheid. Daar waar er bij wetenschappelijk onderzoek gebruik wordt gemaakt van derde partijen, zullen daarom maar zelden relevant zijn voor wetenschappelijk onderzoek. Voor doorgifte van gegevens binnen de eigen organisatie kunnen deze organisaties interne gedragscodes opstellen, de zogeheten ‘bindende bedrijfsvoorschriften’ oftewel ‘binding corporate rules’ (BCR's) (9). De BCR moeten wel eerst goedgekeurd worden door de Europese privacytoezichthouders en de European Data Protection Board (EDPB).

4. Uitzonderingen (art. 49 AVG)

Indien het niet mogelijk is om op basis van een van de bovenstaande waarborgen persoonsgegevens door te geven aan derde landen, is er een mogelijkheid een beroep te doen op uitzonderingen. Eén van de uitzonderingen is uitdrukkelijke toestemming van de betrokkene. Dit is echter niet wenselijk, omdat dit de verantwoordelijkheid bij de onderzoeksdeelnemer legt. In de nieuwe versie van de CCMO PIF is toestemming als grondslag voor doorgifte naar derde landen nu niet meer opgenomen, terwijl dit voorheen wel was. Dit is verwijderd omdat deelnemers volledig over de werkelijke risico’s geïnformeerd moeten worden, wat niet in algemene zin aan te geven is (risico’s verschillen immers per land en er is niet altijd zicht op de risico’s, 10).

Zie voor meer informatie deze pagina van de Autoriteit Persoonsgegevens (11).

Naast bovenstaande waarborgen geldt er nog een eis: betrokkenen moeten altijd expliciet geïnformeerd worden dat data de EU zullen verlaten, en naar welk(e) land(en) (art. 14, lid 1(f) AVG). Dat kan bijvoorbeeld in de privacyverklaring op de website.

Wilt u gegevens delen met de Verenigde Staten? De ELSI Servicedesk heeft informatie over het adequaatheidsbesluit en aanvullende maatregelen voor het delen van data met Amerika uitgewerkt. Deze vindt u hier.

Bronnen

Voor het laatst gewijzigd op 12-11-2026

Meer lezen

FAQ ‘Wat betekent de uitspraak van het Europese Hof van Justitie over het Europees-Amerikaanse verdrag Privacy Shield II voor wetenschappelijk onderzoek?’

Staat uw vraag er niet bij, neem dan contact met ons op.

Stel uw vraag

Heeft u tips voor deze website? Klik hier om uw feedback door te geven.

_{De informatie op deze website is met de grootst mogelijke zorg en aandacht samengesteld door experts uit verschillende disciplines. Bij het samenstellen van de informatie is gebruik gemaakt van verschillende bronnen. Er is rekening gehouden met de op het moment van plaatsen geldende wet- en regelgeving en ethische kaders, en de interpretatie daarvan door de personen en/of organisaties die bijdragen aan de ELSI Servicedesk. Ondanks deze zorg en aandacht voor de verstrekte informatie kan deze onvolledig of niet geheel juist zijn. Voorts is het antwoord generiek en is meestal een vertaling nodig naar de specifieke situatie van een bepaald onderzoek. Het ELSI kernteam en de organisaties die bijdragen aan de ELSI Servicedesk kunnen geen aansprakelijkheid aanvaarden voor de op deze site geboden informatie en het gebruik daarvan. Indien u teksten van de ELSI Servicedesk integraal overneemt, vragen we u de ELSI Servicedesk als bron te vermelden.}