GDPR: ben je internationaal actief?

De GDPR geeft regels voor internationale gegevensstromen. Op het eerste zicht denk je misschien dat dit niet voor jou van toepassing is, maar waarschijnlijk is dat wel zo.

Er is bijvoorbeeld sprake van een internationale gegevensstroom als je persoonsgebonden gegevens verwerkt in een cloud- of Saas-toepassing waarvan de servers niet in België staan.

Voorbeelden van internationale gegevensstromen

• E-mail boxen bij bedrijven zoals Google, Yahoo, Microsoft,...
• Gehoste agenda's bij bedrijven zoals Google, Yahoo, Microsoft,...
• Testimonials op YouTube

Wat moet ik in dit geval doen?

• Controleer eerst wat de leverancier zelf over GDPR zegt. De meeste buitenlandse grote bedrijven, zoals Google en Microsoft, hebben uitgebreide informatie hierover op hun website staan.
• Als de servers in een ander EU land staan, is er niets aan de hand. Alle EU lidstaten hanteren dezelfde GDPR regels. Persoonsgegevens mogen vrij circuleren vanuit België binnen de EU, zolang de algemene principes van de Belgische privacywet worden nageleefd.
• Als de servers buiten de EU staan, moet je nakijken of het land waar ze staan passende bescherming biedt. Als dat zo is, mag de verzending gebeuren alsof het ging om een verzending binnen de EU.
• Als het land geen passende bescherming biedt, moet je zelf een contract opstellen met de leverancier.

Interessante links

Richtlijnen van de Privacy Commissie over het doorgeven van gegevens aan andere landen

Website van de EU met daarop de landen buiten de EU die passende bescherming bieden

EU-US Privacy Shield website waarop u kan opzoeken voor welke producten uw leverancier de regels onderschrijft

EU website met modelcontracten voor als u gegevens wil verzenden naar landen die geen passende bescherming bieden