De meeste organisaties geven persoonsgegevens door buiten de Europese Economische Ruimte zonder het te beseffen. Niet door een export naar een Amerikaans hoofdkantoor, maar door software: een AI-assistent, een nieuwsbrieftool, een videovergaderplatform, een helpdeskpakket, een analysedienst. Hoofdstuk V van de AVG — de artikelen 44 tot 50 — zegt daar iets over, en het is één van de weinige stukken van de verordening waar de bewijslast volledig bij jou ligt.
Dit artikel legt uit welke mechanismen er zijn, wanneer je een transfer impact assessment nodig hebt, wat daar concreet in moet, en hoe je het documenteert zonder er een jaarproject van te maken.
Wanneer is er sprake van een doorgifte?
Er is een doorgifte zodra persoonsgegevens toegankelijk worden voor een partij buiten de EER. Toegang volstaat; de gegevens hoeven fysiek niet te bewegen. Twee gevolgen die veel mensen verrassen:
- Europese opslag sluit een doorgifte niet uit. Staan je gegevens in een datacenter in Frankfurt, maar kan het supportteam in Bangalore erbij voor onderhoud, dan is er een doorgifte.
- De subverwerker telt mee. Je leverancier is Belgisch, maar hij hangt aan een Amerikaanse hostingpartij. Dan zit de doorgifte een niveau dieper, en die keten is precies wat artikel 28.3 je verplicht in kaart te brengen.
De mechanismen, op volgorde van gemak
| Mechanisme | Artikel | Wanneer | TIA nodig? |
|---|---|---|---|
| Adequaatheidsbesluit | 45 | Het land — of een regeling erbinnen — is door de Commissie adequaat verklaard | Nee |
| Standaardbepalingen (SCC’s) | 46.2.c en d | Verreweg het meest gebruikt in contracten met leveranciers | Ja |
| Bindende bedrijfsvoorschriften (BCR) | 47 | Binnen een concern, na goedkeuring door een toezichthouder | Ja |
| Goedgekeurde gedragscode of certificering | 46.2.e en f | Zeldzaam in de praktijk | Ja |
| Administratieve regeling tussen overheden | 46.3.b | Voor besturen onderling; vaak vergeten en soms net de juiste | Ja |
| Uitzonderingen voor specifieke situaties | 49 | Incidenteel, niet-repetitief, beperkt aantal betrokkenen | Niet van toepassing |
Twee waarschuwingen bij die laatste rij. Artikel 49 is een uitzondering, geen alternatief: het is bedoeld voor een eenmalige situatie, niet voor je maandelijkse nieuwsbriefverzending. En de toestemming van artikel 49.1.a moet uitdrukkelijk zijn én gegeven ná informatie over de risico’s van het ontbreken van passende waarborgen. Wie een vinkje in een formulier als doorgiftegrond gebruikt, heeft geen doorgiftegrond.
Waarom die TIA er is
Sinds het Schrems II-arrest van het Hof van Justitie is duidelijk dat een mechanisme uit artikel 46 op zichzelf niet volstaat. Standaardbepalingen zijn een contract, en een contract bindt de overheid van het derde land niet. Je moet dus per doorgifte nagaan of de bescherming in de praktijk wezenlijk gelijkwaardig is aan die in de EU, en zo niet, aanvullende maatregelen nemen.
Dat onderzoek is de transfer impact assessment. Het staat niet met die naam in de AVG — het volgt uit de rechtspraak en uit de aanbevelingen van de EDPB — maar toezichthouders vragen het wel op. En het is nu net het document dat in negen van de tien dossiers ontbreekt terwijl «standaardbepalingen» wél in het register staat.
Een TIA in zes stappen
- Beschrijf de doorgifte. Welke gegevens, van wie, naar welke partij, in welk land, via welke keten van subverwerkers. Vermeld ook of het om bijzondere categorieën gaat: dat verandert de weging.
- Benoem het mechanisme. Welke versie van de standaardbepalingen, welke modules, welke datum. «SCC’s» zonder module is te vaag om te beoordelen.
- Beoordeel het recht van het derde land. Bestaan er bevoegdheden voor overheidstoegang die verder gaan dan wat in de EU toelaatbaar is? Is er een effectief rechtsmiddel voor niet-ingezetenen? Voor de Verenigde Staten draait dit gesprek al jaren rond dezelfde bepalingen; voor andere landen moet je het echt opzoeken.
- Beoordeel de praktijk. Krijgt deze leverancier effectief verzoeken? Publiceert hij een transparantierapport? Wat staat er in zijn government access-beleid? Dit is het stuk waar je iets kunt vaststellen in plaats van te speculeren.
- Bepaal aanvullende maatregelen. Versleuteling waarbij de sleutel in de EER blijft is de sterkste. Pseudonimisering die de leverancier niet kan omkeren is een goede tweede. Contractuele beloftes tellen mee maar zijn zwakker, want dat is waar Schrems II precies over ging.
- Trek een besluit, met een datum en een naam. Doorgeven, doorgeven mits maatregelen, of niet doorgeven. En zet er een hertoetsdatum bij: het recht van derde landen verandert, en adequaatheidsbesluiten worden aangevochten.
Een TIA hoeft geen dertig pagina’s te zijn. Voor een standaarddienst met versleuteling en weinig gevoelige gegevens zijn twee bladzijden verdedigbaar. Wat wél moet: dat er een besluit in staat, dat het gemotiveerd is en dat het een datum draagt.
Het AI-geval: waarom het hier scherper ligt
AI-diensten maken drie dingen tegelijk lastiger.
- De invoer is onvoorspelbaar. Je kunt beschrijven welke velden een boekhoudpakket bevat. Je kunt niet beschrijven wat een medewerker in een promptvenster plakt. Dat maakt de categorie «gegevens» in je register onbepaald tenzij je er beleid rond zet.
- Training verandert de rol. Gebruikt de aanbieder jouw invoer om modellen te verbeteren, dan verwerkt hij voor een eigen doel en is hij voor dat stuk zelf verantwoordelijke — geen verwerker. Zie verwerker of verwerkingsverantwoordelijke.
- De keten is dieper. Een AI-functie in je CRM draait vaak bij een modelaanbieder die weer bij een cloudpartij draait. Drie partijen, drie landen, en één regel in je register.
Praktisch: gebruik enterpriseversies waarin training standaard uitstaat, laat dat schriftelijk bevestigen in het contract en niet op een marketingpagina, en leg de dataretentie van de aanbieder vast. Wie AI inzet, heeft daarnaast sowieso een AI-register nodig, en sinds 2 augustus 2026 mogelijk ook een vermelding onder artikel 50.
Hoe je dit vastlegt zonder losse documenten
Het klassieke patroon: het register vermeldt «standaardbepalingen», de TIA staat in een Word-bestand op de schijf van de DPO, en het contract zit in de mailbox van de aankoopdienst. Drie plaatsen, en na één personeelswissel is er nog één van de drie terug te vinden.
Het DPO-dossier knoopt die drie aan elkaar: staat er bij een verwerking of een verwerker «standaardbepalingen» zonder dat er een transfer impact assessment aan hangt, dan krijg je daar een waarschuwing over op het moment dat je bewaart. De zes mechanismen van artikel 46.2 staan er volledig in — inclusief de administratieve regeling tussen overheden, die voor een lokaal bestuur vaak net de juiste is en in de meeste keuzelijsten ontbreekt. Het ondertekende contract koppel je als bijlage aan de fiche, versleuteld en met een SHA-256-vingerafdruk, zodat je achteraf kunt aantonen dat het exemplaar dat je toont hetzelfde is als dat wat je toen opsloeg.
Veelgestelde vragen
Heb ik een TIA nodig als mijn leverancier alles in de EU host?
Alleen als er geen enkele toegang van buiten de EER mogelijk is. Controleer het support- en onderhoudsmodel en de lijst van subverwerkers. Is er toegang van buitenaf, dan is er een doorgifte en volgt de gewone redenering.
Volstaat het dat mijn leverancier zegt dat hij «GDPR-compliant» is?
Nee. Dat is geen juridisch begrip en het zegt niets over de doorgifte. Vraag drie concrete dingen op: de verwerkersovereenkomst, de lijst van subverwerkers met hun land, en het gehanteerde doorgiftemechanisme met versie en modules.
Hoe vaak moet ik een TIA herzien?
Er staat geen termijn in de wet. Jaarlijks is verdedigbaar, en daarnaast telkens bij een wijziging: een nieuwe subverwerker, een nieuw land, een uitspraak over het adequaatheidsbesluit, of een wijziging in het recht van het derde land. Zet die hertoetsdatum ergens waar hij vanzelf opduikt.
Wat als de conclusie is dat ik niet mag doorgeven?
Dan zoek je een alternatief, beperk je de gegevens tot wat echt nodig is, of versleutel je zo dat de leverancier de gegevens niet kan lezen. Doorgaan met een TIA die «hoog risico» besluit en er niets mee doen, is slechter dan geen TIA hebben: je hebt het dan zwart op wit geweten.
Wil je je verwerkersovereenkomsten en doorgiften nakijken, of wil je ze in één dossier beheren? Bekijk het DPO-dossier of doe de gratis GDPR-scan.
