Vrij verkeer van niet-persoonsgebonden gegevens

Als particulier, bedrijf of organisatie mag u niet-persoonsgebonden gegevens met behulp van datacentra of clouddiensten op een willekeurige plek in de EU gebruiken, verzamelen, doorgeven of beheren.

Zo kunt u onnodige kosten voorkomen. U mag bijvoorbeeld uw IT-infrastructuur in één EU-land centraliseren, terwijl u in meerdere landen actief bent.

Persoonsgegevens, niet-persoonsgebonden gegevens en gemengde datasets

Onder persoonsgegevens wordt verstaan: alle informatie over een geïdentificeerde of identificeerbare persoon die volgens de regels van de algemene verordening gegevensbescherming (AVG) worden verwerkt.

Niet-persoonsgebonden datasets hebben betrekking op:

• gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gegevens over weersomstandigheden
• gegevens die in eerste instantie persoonsgegevens waren, maar daarna anoniem zijn gemaakt en niet kunnen worden gekoppeld aan een specifieke persoon

Gemengde datasets zijn verzamelingen van persoonsgegevens en niet-persoonsgebonden gegevens, zoals de belastingadministratie van een bedrijf waarin de naam en het telefoonnummer van de directeur van het bedrijf zijn vermeld. Meestal zijn de persoonsgegevens en niet-persoonsgebonden gegevens in gemengde datasets onlosmakelijk met elkaar verbonden. Als u dergelijke gemengde datasets gebruikt, moet u zich houden aan de AVG-regels.

U mag uw bedrijfsgegevens overal in de EU opslaan, ook op cloudservers.

Behalve in onderstaande uitzonderingsgevallen mag u zelf bepalen waar u de gegevens opslaat of verwerkt.

Als u uw gegevens in de cloud opslaat, moet het gemakkelijk zijn om van cloudprovider te veranderen of de gegevens naar uw eigen IT-omgeving over te zetten. Verschillende cloudproviders hebben een gedragscode ondertekend om dit te garanderen. De lijst van providers en de gedragscode vindt u op de website van de “Cloud switching and porting data association” (SWIPO) en .

Vereisten voor gegevenslokalisatie in de EU

In uitzonderlijke gevallen kunnen EU-landen het verkeer van bepaalde gegevens beperken, maar alleen als dat om redenen van openbare veiligheid gerechtvaardigd is. Een rechtvaardiging zou bijvoorbeeld kunnen zijn als de gegevens betrekking hebben op een lopend terrorismebestrijdingsonderzoek of als het verloren gaan van de gegevens zou kunnen leiden tot een ernstig verkeersongeval (zoals bij luchtverkeersleidingsgegevens). Deze uitzonderingen zijn vastgelegd in de nationale wetgeving. De EU-verordening betreffende het vrije verkeer van niet-persoonsgebonden gegevens geeft toegang tot informatie over de beperkingen op het gebied van gegevenslokalisatie.

Nationale informatie- en contactpunten

Volgens de EU-verordening betreffende het vrije verkeer van niet-persoonsgebonden gegevens moeten de EU-landen voorzien in twee informatiepunten:

• een centraal informatiepunt: een officiële website met nationale informatie over de beperkingen en vereisten op het gebied van gegevenslokalisatie.
• een centraal contactpunt: een fysiek adres en/of e-mailadres waar u nadere informatie kunt krijgen.

Onder het kopje Vraag het aan de nationale instanties hieronder vindt u het centrale informatiepunt en het centrale contactpunt in elk land.

Gegevens uitwisselen met bevoegde instanties

Als een bevoegde instantie een rechtmatig verzoek doet om toegang tot uw gegevens te verkrijgen, moet u die ter beschikking stellen, ook als de gegevens in een ander EU-land beheerd of opgeslagen worden. Er kunnen sancties worden opgelegd als u zich daarbij niet aan de nationale wetgeving houdt.