DOORGIFTE

WAT IS DOORGEVEN BUITEN DE EER?

Persoonsgegevens mogen op grond van de privacywetgeving, de Algemene Verordening Gegevensbescherming (AVG) als uitgangspunt niet worden doorgegeven of worden gedeeld met partijen of personen die zich bevinden buiten de Europese Economische Ruimte (EER).

Het maakt dan niet uit of het om verwerkers gaat, om andere verantwoordelijken of groepsmaatschappijen.

Wat is de EER?

De EER is een geografisch gebied dat bestaat uit de landen van de Europese Unie, Liechtenstein, Noorwegen en IJsland.

Alleen als er een “passend beschermingsniveau” is in het land buiten de EER, mogen de persoonsgegevens daar naar worden doorgegeven. 

Kijk voor meer informatie over in welke landen een passend beschermingsniveau is, of hoe daarvoor kan worden gezorgd in ons Factsheet Dataexport.

MAG DELEN MET ANDERE PARTIJEN?

Delen met andere partijen of personen die geen verwerker zijn mag als:

• daar een grondslag/rechtsgrond voor is;
• dat een geldig doeleinde is of een "verenigbaar doeleinde". 

Soms moet uw organisatie persoonsgegevens delen met andere partijen, bijvoorbeeld om de overeenkomst met de persoon uit te kunnen voeren. Bijvoorbeeld omdat u een boekingssite bent en de gegevens van de boeker aan het hotel doorgeeft. Of omdat u daartoe wettelijk verplicht bent, zoals bij het delen van loongegevens met de Belastingdienst.

In hele specifieke gevallen kan het nodig zijn om gegevens te delen ook als dat niet als doeleinde is gesteld en zelfs als het daarmee niet verenigbaar is. Bijvoorbeeld als u wettelijk verplicht bent om de gegevens aan de politie te verstrekken. Wel moet er ook dan altijd een grondslag/rechtsgrond zijn. Als u niet zeker weet of u de gegevens mag delen is het verstandig om contact op te nemen met een privacy-jurist.

Sluit overeenkomsten af

Ga ook na welke overeenkomsten u met externe partijen moeten sluiten. Met verwerkers moet u verwerkersovereenkomsten sluiten.

Is uw organisatie samen met een andere, externe partij verantwoordelijk dezelfde stroom gegevens? Bijvoorbeeld een gezamenlijke database? Dan bent u gezamenlijk verantwoordelijk en moet uw organisatie een overeenkomst met die partij sluiten.

Ook als uw organisatie de persoonsgegevens met een andere verantwoordelijke uitwisselt waarmee u niet de verantwoordelijkheid deelt, is het verstandig daar afspraken over te maken. Bijvoorbeeld door een clausule toe te voegen aan de overeenkomst die u met die partij hebt. 

Dat geldt ook voor het delen van de gegevens met groepsmaaschappijen voor intern beheer. Dat wordt meestal vastgelegd in een "datauitwisselingsovereenkomst".

Wilt u zo'n clausule of overeenkomst? Neem dan contact met ons op.