Doorgifte persoonsgegevens

Uit NORA Online
ISOR:Doorgifte persoonsgegevens
Ga naar: navigatie, zoeken
Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Privacyprincipe)

Verwante principes

Privacy Uitvoering
De Privacy Baseline
Alle Normenkaders
Alle Privacyprincipes
Alle Normen
Beveiligingsaspecten
Invalshoeken
ISOR

Doorgifte kan plaatsvinden aan verwerker(s) en aan andere verwerkingsverantwoordelijke(n). Een verwerker verricht de verwerking namens een verwerkingsverantwoordelijkeAVG art. 28 lid 1.AVG art. 28 lid 10. Indien een verwerker in strijd met de Avg handelt, wordt die verwerker als verwerkingsverantwoordelijke beschouwd. Waar sprake is van meerdere verwerkingsverantwoordelijken, bepalen zij gezamenlijk de doelstellingen en middelen voor de verwerking en zijn zij gezamenlijke verwerkingsverantwoordelijkenAVG art. 27 lid 1.. Bij de doorgifte wordt onderscheid gemaakt tussen doorgifte binnen de EU, waar de Avg geldt, en doorgifte naar buiten de EU. Als doorgifte naar buiten de EU plaatsvindt, dan spreekt de Avg van doorgifte aan derde landen en internationale organisaties.


Criterium

Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties.

Bij de doorgifte naar buiten de EU:

  • is er een vertegenwoordiger, en:
  • is geen sprake van uitzonderingsgronden

en:

  • geldt een door de Europese Commissie genomen adequaatheidsbesluit, of:
  • zijn er passende waarborgenAVG art. 44., of:
  • geldt een afwijking voor een specifieke situatie.

Doelstelling

Het doel van de vereisten bij 'Doorgifte persoonsgegevens' is te waarborgen dat persoonsgegevens op een rechtmatige manier worden doorgegeven, op een juiste manier worden gebruikt en dat de verantwoordelijkheid voor deze rechtmatigheid en juistheid ingeregeld blijft.

Risico

Als een organisatie niet voldoet aan dit criterium is het niet duidelijk voor de organisatie wat exact wordt verwacht bij het doorgeven van persoonsgegevens waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden doorgegeven en onrechtmatig verder worden verwerkt en gebrek is aan het nemen van verantwoordelijkheid en controle.

Indeling binnen ISOR

Dit privacyprincipe:

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methode ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is Algemene Verordening Gegevensbescherming (AVG), Uitvoeringswet AVG. , in het bijzonder van Avg Art. 26; 27; 28; 29; 44; 45; 46; 47; 48; 49; 96 en Uitvoeringswet Avg

Onderliggende normen

ID Conformiteitsindicator Stelling Pagina
PRIV_U.07.01.01 onderlinge verantwoordelijkheden Bij doorgifte aan een andere verantwoordelijke zijn:
  • de respectieve verantwoordelijkheden duidelijk, zodat zij aan hun Avg-verplichtingen voldoen, met name met betrekking totAVG art. 26 lid 1.:
  1. de uitoefening van de rechten van de betrokkene (C.02, §2.3.2), en:
  2. het informeren van de betrokkenen te bij ontvangst (conform U.05)
  • de regeling met de respectieve verantwoordelijkheden aan de betrokkene beschikbaar gesteldAVG art. 26 lid 3..
De onderlinge verantwoordelijkheden
PRIV_U.07.02.01 afdoende garanties De verwerking door een verwerker is in een overeenkomst of andere rechtshandeling vastgelegd, metAVG art. 28 lid 2. daarin:
  • het onderwerp en de duur van de verwerking;
  • de aard en het doel van de verwerking waarvoor de persoonsgegevens worden verstrekt, inclusief:

- welke persoonsgegevens worden verstrekt aan de verwerker; - hoe dataminimalisatie is toegepast;

  • het soort persoonsgegevens, inclusief

- de classificatie van de persoonsgegevens;

  • de categorieën van betrokkenen, en:
  • de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven.
Afdoende garanties door verwerker in een overeenkomst of andere rechtshandeling vastgelegd
PRIV_U.07.02.02 afdoende garanties In de overeenkomst of andere rechtshandeling met de verwerker is bepaald dat:

a. de persoonsgegevens uitsluitend verwerkt worden op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, onder meer met betrekking tot doorgiften; b. de gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen zijn gebonden; c. de beveiliging van de verwerking is geborgd, conform U.04 §2.2.4, inclusief:

  • welke medewerkers van de verwerker toegang tot de persoonsgegevens nodig hebben;
  • welke procedure wordt gevolgd in geval van een datalek;
  • in welke landen de persoonsgegevens worden opgeslagen;

d. de vereisten aan de verwerkers gelden ook als vereisten voor het in dienst nemen van een andere verwerker; e. passende technische en organisatorische maatregelen zijn genomen als betrokkene zijn rechten doet gelden, inclusief:

  • hoe de betrokkene wordt geïnformeerd over het uitbesteden van de persoonsgegevens aan de verwerker;
  • het contact dat de verwerker mag hebben met de betrokkenen.

f. de verwerkingsverantwoordelijke bijstand wordt verleent om te voldoen aan zijn verplichtingen ten aanzien van het borgen de van beveiliging van de verwerking; g. na afloop van de verwerkingsdiensten, naar gelang de keuze van de verwerkings-verantwoordelijke, alle persoonsgegevens worden wist of deze aan hem terug-bezorgd worden en bestaande kopieën worden verwijderd, conform U.06 §2.2.6; h. de verwerker alle informatie aan de verwerkingsverantwoordelijke ter beschikking stelt en bijdraagt ten behoeve van audits en om aan te kunnen tonen dat hij aan zijn verplichtingen voldoet, waaronder inspecties.

i. de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis stelt als naar zijn mening een instructie inbreuk oplevert op de Avg of op andere Wet- en regelgeving inzake gegevensbescherming.
Vormvereisten aan eisen voor afdoende garanties door verwerker
PRIV_U.07.02.03 afdoende garanties De overeenkomst of de rechtshandeling is in schriftelijke vorm, waaronder elektronische vorm, opgesteld. Afdoende garanties
PRIV_U.07.03.01 vertegenwoordiger Als een verwerkingsverantwoordelijke of verwerker niet in de EU is gevestigd, dan is door de verwerkingsverantwoordelijke of de verwerker schriftelijk een vertegenwoor-diger in de EU aangewezen, tenzij:
  1. sprake is van een incidentele verwerking die geen grootschalige verwerking van bijzondere categorieën van persoonsgegevens betreft, of:
  2. bij de verwerking van persoonsgegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten en waarbij de kans gering is dat zij een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
  3. het een verwerking door een overheidsinstantie of overheidsorgaan betreft.
Vertegenwoordiger in de EU
PRIV_U.07.03.02 vertegenwoordiger De verwerking door een verwerker vindt alleen plaats als een verwerkings-verantwoordelijke afdoende garanties heeft over het toepassen van passende technische en organisatorische maatregelen bieden, zie B.03 §2.1.3, door de verwerker. Vertegenwoordiger i.r.t. afdoende garanties over het toepassen van passende technische en organisatorische maatregelen
PRIV_U.07.03.03 vertegenwoordiger Een verwerker laat een verwerking pas door een andere verwerker uitvoeren als voorafgaand een specifieke of algemene schriftelijke toestemming is van de verwerkingsverantwoordelijkeAVG art. 28 lid 1.. Vertegenwoordiger i.r.t. het door een andere verwerker uitvoeren van de verwerking
PRIV_U.07.04.01 uitzonderingsgrond De verwerking vindt niet plaats als er een rechterlijke uitspraak of een besluit van een administratieve autoriteit is van een derde land op grond waarvan een verwerkings-verantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken en waarbij dit niet erkend of afdwingbaar is gemaakt dat dit is gebaseerd op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand tussen het verzoekende derde landen en de EU of een lidstaatAVG Avg art. 48. Uitzonderingsgrond t.a.v. de verwerking
PRIV_U.07.04.02 uitzonderingsgrond De doorgifte kan worden beperkt als in de wet- en regelgeving of bepalingen om gewichtige redenen van openbaar belang uitdrukkelijk grenzen worden gesteld aan de doorgifte van specifieke categorieën van persoonsgegevens aan een derde land of een internationale organisatie. Uitzonderingsgrond t.a.v. doorgifte
PRIV_U.07.05.01 adequaatheidsbesluit Doorgifte naar buiten de EU is alleen toegestaan, wanneer naar het oordeel van de Europese Commissie in het derde land, in het gebied of in één of meerdere nader bepaalde sectoren in het derde land of bij de internationale organisatie in kwestie een passend beschermingsniveau is gewaarborgdAVG art. 45.. Adequaatheidsbesluit
PRIV_U.07.06.01 passende waarborgen Wanneer door de Europese commissie geen adequaatheidsbesluit is genomen, dan zijn passende waarborgen geboden doordat erAVG art. 46.:
  1. een juridisch bindend en afdwingbaar instrument is tussen overheidsinstanties of -organen;
  2. door de AP goedgekeurd bindende bedrijfsvoorschriften zijn, zie /05.02;
  3. standaardbepalingen zijn inzake gegevensbescherming die in de door de Europese Commissie bedoelde onderzoeksprocedure zijn vastgesteldAVG art. 93, lid 2.;
  4. standaardbepalingen zijn inzake gegevensbescherming die door een AP zijn vastgesteld en die in de door de Europese Commissie bedoelde onderzoeksprocedure zijn goedgekeurdAVG art. 93, lid 2.;
  5. een goedgekeurde gedragscode is, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen toe te passen, waaronder waarborgen voor de rechten van de betrokkenen;
  6. een goedgekeurd certificeringmechanisme is, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen, of:
  7. door de AP passende waarborgen zijn, waarbij er met name:
  • contractbepalingen zijn tussen de verwerkingsverantwoordelijke of de verwerker en de verwerkingsverantwoordelijke, de verwerker of de ontvanger van de persoonsgegevens in het derde land of de internationale organisatie, of:
  • bepalingen zijn opgenomen in administratieve regelingen tussen overheidsinstanties of -organen, waaronder afdwingbare en effectieve rechten van betrokkenen.
Passende waarborgen bij afwezigheid adequaatheidsbesluit
PRIV_U.07.06.02 passende waarborgen Als bindende bedrijfsvoorschriften (/05.01 punt b) worden gebruikt om passende waarborgen te bieden, dan:
  • zijn die juridisch bindend of van toepassing en worden deze gehandhaafd door alle betrokken leden van het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen; met inbegrip van hun werknemers;
  • kunnen betrokkenen uitdrukkelijk afdwingbare rechten toekennen met betrekking tot de verwerking van hun persoonsgegevens, en:
  • zijn de hier beknopt weergegeven elementen vastgelegd (zie voor de volledige weergave artikel 47 lid 1):
  1. de structuur en de contactgegeven;
  2. de gegevensdoorgiften of reeks van doorgiften;
  3. het intern en extern juridisch bindende karakter;
  4. de toepassing van de algemene beginselen inzake gegevensbescherming;
  5. de rechten van betrokkenen;
  6. de aanvaarding van aansprakelijkheid voor alle inbreuken;
  7. de wijze waarop informatie wordt verschaft over de bindende bedrijfsvoorschriften;
  8. de taken van elke Functionaris voor de Gegevensbescherming, of elke andere persoon of entiteit die is belast met het toezicht op:
    1. de naleving van de bindende bedrijfsvoorschriften binnen het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen,
    2. opleiding, en:
    3. de behandeling van klachten;
  9. de klachtenprocedures;
  10. de bestaande procedures om te controleren of de bindende bedrijfsvoorschriften zijn nageleefd;
  11. de procedures om die veranderingen in de regels te melden, te registreren en aan de AP te melden;
  12. de procedure voor samenwerking met de AP;
  13. de procedures om eventuele wettelijke voorschriften aan de AP te melden, en:
  14. de passende opleiding inzake gegevensbescherming voor personeel.
Passende waarborgen bij aanwezigheid adequaatheidsbesluit
PRIV_U.07.06.03 passende waarborgen Wanneer de verwerking niet had mogen plaatsvinden, dan wordt door de verwerkings¬verantwoordelijke de doorgifte beëindigd en de AP en de betrokkenen hierover geïnformeerdAVG art. 49.. Passende waarborgen- beëindigen van doorgifte en informeren van betrokkene
PRIV_U.07.07.01 afwijking voor een specifieke situatie Afwijking voor een specifieke situatie
Persoonlijke instellingen
Naamruimten

Varianten
Handelingen
Hulpmiddelen