Mag ik persoonsgegevens naar het buitenland sturen?
Door de globalisering van de economie ontstaat er steeds meer één grote wereldmarkt. Daarnaast heeft het internet ervoor gezorgd dat landsgrenzen steeds makkelijker overschreden worden. Door deze ontwikkelingen is er steeds vaker sprake van doorgifte van gegevens naar landen buiten de Europese Unie. De Verordening stelt voorwaarden aan de doorgifte van persoonsgegevens naar dergelijke landen.
Op het moment dat u persoonsgegevens naar landen buiten de Europese Unie stuurt, of vanuit deze landen toegang biedt tot uw gegevens, dan is er sprake van een doorgifte van persoonsgegevens. Voor het doorgeven van persoonsgegevens naar landen buiten de Europese Unie stelt de Verordening dat dit alleen mag als het door de Verordening geboden beschermingsniveau niet wordt ondermijnd. Dit is het geval als het land buiten de Europese Unie een adequaat niveau van gegevensbescherming kent, of als u aanvullende waarborgen biedt bij de doorgifte van gegevens.
Het is belangrijk te beseffen dat iedere doorgifte van persoonsgegevens ook een verwerking is in de zin van de Verordening. Dit betekent dat bij iedere doorgifte moet worden voldaan aan de vereisten uit de Verordening.
Welke landen buiten de EU bieden een adequaat niveau van bescherming?
Landen die een met de Verordening vergelijkbaar niveau van gegevensbescherming bieden in hun nationale wetgeving worden geacht een passend niveau van gegevensbescherming te bieden. De Europese Commissie stelt vast of dit het geval is en neemt dan een zogeheten ‘adequaatheidsbeslissing’. Deze beslissingen kunnen een heel land betreffen, maar ook één of meerdere sectoren of regio’s binnen een land. Indien er een adequaatheidsbeslissing is genomen, hoeven er voor doorgiftes naar dat land, die sector of regio, geen aanvullende waarborgen worden getroffen.
De Europese Commissie heeft een twaalftal adequaatheidsbeslissingen aangenomen, waaronder ten aanzien van Nieuw-Zeeland, Zwitserland en Canada (behalve Quebec). Ook voor de Verenigde Staten bestaat een adequaatheidsbeslissing, maar alleen voor zover de ontvangende partij zichzelf heeft verplicht zich te houden aan de principes zoals vastgelegd in deze beslissing, ook wel het Privacy Shield geheten. Alle landen met een adequaatheidsbeslissing zijn te vinden op de website van de Europese Commissie.
Bron: https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/handleidingalgemeneverordeninggegevensbescherming.pdf