Wat zijn de wettelijke mogelijkheden om data te mogen doorgeven naar landen buiten de EU?

Persoonsgegevens doorgeven naar het landen buiten de EU en Europese Economische Ruimte (zogeheten ‘derde landen’) mag alleen als een land voldoende bescherming van persoonsgegevens biedt. Binnen de EU/EER is deze bescherming op voldoende niveau, omdat de AVG van toepassing is op deze landen. Bij doorgifte naar landen binnen de EU/EER hoeft daarom alleen te worden voldaan aan de algemene eisen van de AVG (1, 2). Doorgifte naar landen buiten de EU/EER mag alleen als dit land (of de organisatie waar de persoonsgegevens naartoe worden gestuurd, dan wel inzichtelijk voor zijn) een vergelijkbaar beschermingsniveau biedt. De mogelijkheden om aan deze eis te voldoen staan hieronder. Deze staan op volgorde van voorkeur. Het is van belang eerst te kijken of de eerstgenoemde mogelijkheid van toepassing is, en alleen indien dit niet het geval is, kan naar de volgende mogelijkheid worden gekeken.

1. Adequaatheidsbesluit (art. 45 AVG)

De Europese Commissie kan een adequaatheidsbesluit nemen, waarmee wordt aangegeven dat de gegevensbescherming in dat land van een vergelijkbaar niveau is als binnen de EU. Voor meerdere landen is zo’n adequaatheidsbesluit genomen (3), onder andere voor het Verenigd Koninkrijk (zie ook de FAQ ‘Waar vind ik meer informatie over de invloed van de Brexit op wetenschappelijk onderzoek?’). Er hoeven dan geen aanvullende waarborgen getroffen te worden. Soms geldt een adequaatheidsbesluit alleen voor bepaalde sectoren. Met de VS zijn afspraken gemaakt, genaamd het ‘Data Privacy Framework’. Een adequaatheidsbesluit is hier onderdeel van. Deze geldt echter alleen voor organisaties die onder het Data Privacy Framework vallen. Lees meer informatie op deze pagina van de Autoriteit Persoonsgegevens (4).

2. Passende waarborgen (art. 46, lid 2 (c, e en f) AVG)

Indien er geen adequaatheidsbesluit genomen is, kan er mogelijk gebruik worden gemaakt van een modelcontract, oftewel standard contractual clauses (SCC’s). De Europese Commissie heeft twee soorten modelovereenkomsten vastgesteld, waaronder één voor doorgifte naar derde landen. De Engelstalige versie vindt u hier (5), de Nederlandstalige versie vindt u hier (6). Hierin wordt tevens beschreven welke aanvullende maatregelen nodig zijn. Meer informatie over SCC’s leest u hier (7). Andere passende waarborgen zijn een goedgekeurde gedragscode over gegevensuitwisseling die betrekking heeft op de partners met wie de gegevens worden uitgewisseld (in Nederland getoetst door de Autoriteit Persoonsgegevens) of een certificeringsmechanisme.

3. Binding Corporate Rules (art. 47 AVG)

Deze waarborg is alleen van toepassing op organisaties met vestigingen buiten de EU, en zullen daarom maar zelden relevant zijn voor wetenschappelijk onderzoek. Voor doorgifte van gegevens binnen de eigen organisatie kunnen deze organisaties interne gedragscodes opstellen, de zogeheten ‘bindende bedrijfsvoorschriften’ oftewel ‘binding corporate rules’ (BCR's) (8). De BCR moeten wel eerst goedgekeurd worden door de Europese privacytoezichthouders en de European Data Protection Board (EDPB).

4. Uitzonderingen (art. 49 AVG)

Indien het niet mogelijk is om op basis van een van de bovenstaande waarborgen persoonsgegevens door te geven aan derde landen, is er een mogelijkheid een beroep te doen op uitzonderingen. Eén van de uitzonderingen is uitdrukkelijke toestemming van de betrokkene. Dit is echter niet wenselijk, omdat dit de verantwoordelijkheid bij de onderzoeksdeelnemer legt.

Zie voor meer informatie deze pagina van de Autoriteit Persoonsgegevens (9).

Naast bovenstaande waarborgen geldt er nog een eis: betrokkenen moeten altijd expliciet geïnformeerd worden dat data de EU zullen verlaten, en naar welk(e) land(en) (art. 14, lid 1(f) AVG). Dat kan bijvoorbeeld in de privacyverklaring op de website.

Wilt u gegevens delen met de Verenigde Staten? De ELSI Servicedesk heeft informatie over het adequaatheidsbesluit en aanvullende maatregelen voor het delen van data met Amerika uitgewerkt. Deze vindt u hier.

Bronnen

Voor het laatst gewijzigd op 20-04-2026

Meer lezen

FAQ ‘Wat betekent de uitspraak van het Europese Hof van Justitie over het Europees-Amerikaanse verdrag Privacy Shield II voor wetenschappelijk onderzoek?’

Staat uw vraag er niet bij, neem dan contact met ons op.

Stel uw vraag

Heeft u tips voor deze website? Klik hier om uw feedback door te geven.

_{De informatie op deze website is met de grootst mogelijke zorg en aandacht samengesteld door experts uit verschillende disciplines. Bij het samenstellen van de informatie is gebruik gemaakt van verschillende bronnen. Er is rekening gehouden met de op het moment van plaatsen geldende wet- en regelgeving en ethische kaders, en de interpretatie daarvan door de personen en/of organisaties die bijdragen aan de ELSI Servicedesk. Ondanks deze zorg en aandacht voor de verstrekte informatie kan deze onvolledig of niet geheel juist zijn. Voorts is het antwoord generiek en is meestal een vertaling nodig naar de specifieke situatie van een bepaald onderzoek. Het ELSI kernteam en de organisaties die bijdragen aan de ELSI Servicedesk kunnen geen aansprakelijkheid aanvaarden voor de op deze site geboden informatie en het gebruik daarvan. Indien u teksten van de ELSI Servicedesk integraal overneemt, vragen we u de ELSI Servicedesk als bron te vermelden.}