Artikel 46 AVG : Passende Waarborgen voor Internationale Doorgiften

1. Plaats van Artikel 46 in Hoofdstuk V

Bij ontstentenis van een adequaatheidsbesluit overeenkomstig Artikel 45 mag een verwerkingsverantwoordelijke of verwerker slechts persoonsgegevens naar een derde land of internationale organisatie doorgeven indien passende waarborgen zijn geboden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. Artikel 46 regelt structurele doorgiften; de afwijkingen van Artikel 49 blijven strikt uitzonderlijk.

2. De Beschikbare Passende Waarborgen

De keuze van het mechanisme hangt af van de partijen, de verwerkingsketen en de juridische status van de gegevensimporteur. Zonder voorafgaande vergunning van een toezichthoudende autoriteit voorziet Artikel 46, lid 2 in:

• Een juridisch bindend en afdwingbaar instrument tussen overheidsinstanties of -organen;
• Bindende bedrijfsvoorschriften (BCRs) goedgekeurd overeenkomstig Artikel 47 voor intragroepsdoorgiften;
• Standaardbepalingen inzake gegevensbescherming vastgesteld door de Commissie of door een toezichthouder en goedgekeurd door de Commissie (SCCs);
• Een goedgekeurde gedragscode overeenkomstig Artikel 40, samen met bindende en afdwingbare toezeggingen van de importeur;
• Een goedgekeurd certificeringsmechanisme overeenkomstig Artikel 42, vergezeld van bindende en afdwingbare verbintenissen van de importeur.

Mits toestemming van de bevoegde toezichthoudende autoriteit staat Artikel 46, lid 3 tevens ad-hoc contractuele bepalingen toe tussen exporteur en importeur, evenals administratieve regelingen tussen overheidsinstanties met afdwingbare rechten.

3. Certificering Art. 46, lid 2, punt f: Het Europrivacy v82-Referentiekader

Advies 15/2026, vastgesteld op 15 april 2026, keurde de criteria goed van de Europrivacy-extensie voor importeurs buiten de EER die niet rechtstreeks aan de AVG zijn onderworpen ingevolge Artikel 3, lid 2. Op 6 augustus 2026 is deze extensie v2.0 (v82) gepubliceerd in het EDPB-register als goedgekeurd Europees gegevensbeschermingszegel dat als doorgifte-instrument dient.

• Certificering is vrijwillig en geldt voor een gedefinieerd verwerkingsbereik; verifieer het certificaat, de reikwijdte, geldigheid en de geaccrediteerde certificeringsinstelling;
• De importeur moet bindende en afdwingbare verbintenissen aangaan ter waarborging van passende bescherming, rechten van betrokkenen en rechtsmiddelen;
• Het certificaat vervangt niet de overige Hoofdstuk V-verplichtingen, de verantwoordingsplicht van de exporteur of de controle op sub-verwerkers.

Er dient een onderscheid gemaakt te worden tussen de Europrivacy Art. 46-extensie voor derde-landenimporteurs en de algemene Europrivacy Art. 42-certificering: laatstgenoemde toont naleving binnen de Unie aan, maar vormt op zichzelf geen doorgifte-instrument.

4. Beoordeling van het Derde Land en Aanvullende Maatregelen (TIA)

Ongeacht het gekozen instrument moet de exporteur verifiëren of het recht en de praktijken van het derde land de importeur belemmeren om de waarborgen na te leven. Bij risico's is een gedocumenteerde Transfer Impact Assessment (TIA) verplicht en moeten aanvullende technische, contractuele of organisatorische maatregelen een wezenlijk gelijkwaardig beschermingsniveau waarborgen.

• Breng alle gegevensstromen, toegang op afstand, sub-importeurs, categorieën gegevens en doeleinden in kaart;
• Beoordeel de relevante wetgeving en toezichtspraktijken van het derde land ten aanzien van de concrete doorgifte;
• Toets de effectiviteit van aanvullende maatregelen, in het bijzonder sleutelbeheer bij versleuteling en dataminimalisatie;
• Schort de doorgifte op of beëindig het mechanisme indien de waarborgen in de praktijk niet geëerbiedigd kunnen worden.

5. Documentair Actieplan voor Doorgiften

• Kwalificeer eerst het bestaan van een internationale doorgifte en ga na of een adequaatheidsbesluit geldt;
• Kies een passende waarborg onder Artikel 46 zonder automatisch uitsluitend op SCCs terug te vallen;
• Documenteer de reikwijdte van het instrument, toezeggingen van de importeur, afdwingbare rechten en rechtsmiddelen;
• Voer de landentoetsing en aanvullende maatregelen uit en werk deze periodiek bij;
• Registreer de doorgifte in het verwerkingsregister (Art. 30), pas privacyverklaringen aan en organiseer periodieke audits.

Geverifieerde Officiële Bronnen

Zie Ook in het Juridisch Referentiekader