Niet-persoonsgebonden gegevens over de grens

Het juridisch kader

De regels voor de doorgifte van persoonsgegevens ken je waarschijnlijk: hoofdstuk V van de AVG en alles wat na het Schrems II-arrest volgde. Minder bekend is dat de EU ook niet-persoonsgebonden gegevens beschermt tegen toegang door buitenlandse overheden. Denk aan machinemetingen, productiecijfers, geaggregeerde statistieken of geanonimiseerde datasets. Twee verordeningen regelen dat, in bijna identieke bewoordingen.

De teksten en hun data

• De Data Act, Verordening (EU) 2023/2854, in werking sinds 11 januari 2024 en van toepassing vanaf 12 september 2025 (artikel 50). Hoofdstuk VII, "Internationale overheidstoegang en overdracht van niet-persoonsgebonden gegevens", bestaat uit één bepaling: artikel 32. Artikel 28 voegt daar een transparantieplicht aan toe.
• De Datagovernanceverordening (Data Governance Act, DGA), Verordening (EU) 2022/868, in werking sinds 23 juni 2022 en van toepassing vanaf 24 september 2023 (artikel 38). De tegenhanger is artikel 31, "Internationale toegang en doorgifte", met specifieke doorgiftevoorwaarden in artikel 5, leden 9 tot en met 14.

Wie valt eronder

Onder de Data Act liggen de plichten bij aanbieders van dataverwerkingsdiensten. Artikel 2, punt 8, omschrijft dat als digitale diensten die een klant op verzoek netwerktoegang geven tot een gedeelde pool van configureerbare, schaalbare en elastische computermiddelen. In de praktijk gaat het om cloudinfrastructuur, platformen en veel SaaS-diensten. Hoofdstuk VII geldt voor "alle niet-persoonsgebonden gegevens die in de Unie in handen zijn van aanbieders van dataverwerkingsdiensten" (artikel 1, lid 2, f)), en de verordening geldt voor die aanbieders ongeacht hun plaats van vestiging, zodra ze klanten in de Unie bedienen (artikel 1, lid 3, f)). Een Belgisch hostingbedrijf valt er dus onder, net als een grote niet-Europese cloudaanbieder die aan Belgische klanten verkoopt.

Onder de DGA bindt artikel 31 vier groepen: openbare lichamen, wie een recht op hergebruik van beschermde overheidsgegevens kreeg onder hoofdstuk II, aanbieders van databemiddelingsdiensten en erkende organisaties voor data-altruïsme. Een spin-off die vertrouwelijke gegevens van een overheidsagentschap hergebruikt, of een datamarktplaats die zich als bemiddelaar heeft aangemeld, draagt de plicht dus zelf.

De plicht om onrechtmatige toegang te voorkomen

Beide teksten beginnen op dezelfde manier. De aanbieder (artikel 32, lid 1, Data Act) of de DGA-actor (artikel 31, lid 1) neemt technische, organisatorische en juridische maatregelen, "waaronder overeenkomsten" of "contractuele regelingen", om toegang door of doorgifte aan overheden van derde landen te voorkomen voor niet-persoonsgebonden gegevens in de Unie, wanneer die toegang of doorgifte in strijd zou zijn met het Unierecht of met het nationale recht van de betrokken lidstaat. De Data Act vraagt "alle adequate" maatregelen, de DGA "alle redelijke".

Wanneer je een buitenlands bevel mag opvolgen

Volgens lid 2 van beide artikelen wordt een beslissing of uitspraak van een rechter of overheid uit een derde land alleen erkend of uitgevoerd als ze steunt op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtshulp, tussen dat land en de EU of een lidstaat.

Is er geen zo'n overeenkomst en zou naleving je in conflict brengen met het Unierecht of het nationale recht, dan geldt lid 3. Toegang of doorgifte mag dan alleen als aan drie voorwaarden samen is voldaan:

1. het rechtssysteem van het derde land vereist dat de redenen en de evenredigheid van het bevel worden uiteengezet en dat het bevel specifiek is, bijvoorbeeld gekoppeld aan bepaalde verdachten of inbreuken;
2. een met redenen omkleed bezwaar van de geadresseerde kan worden getoetst door een bevoegde rechter in dat land; en
3. die rechter mag rekening houden met de rechtmatige belangen van de aanbieder van de gegevens die het Unierecht of het recht van de lidstaat beschermt.

De Data Act voegt daar een procedure aan toe. De geadresseerde mag de nationale instantie die bevoegd is voor internationale samenwerking in rechtszaken om advies vragen over die voorwaarden, zeker als bedrijfsgeheimen, door intellectuele eigendom beschermde inhoud of een risico op heridentificatie meespelen. Raakt het verzoek mogelijk aan nationale veiligheid of defensie, dan is dat advies verplicht. Komt er binnen een maand geen antwoord, of is het advies negatief, dan mag de aanbieder het verzoek om die reden weigeren (artikel 32, lid 3, tweede alinea).

Twee plichten volgen in beide teksten. Je geeft alleen de minimale hoeveelheid gegevens die is toegestaan, op basis van een redelijke interpretatie van het verzoek (lid 4). En je verwittigt de klant (Data Act) of de gegevenshouder (DGA) vóór je aan het verzoek voldoet, tenzij het verzoek een rechtshandhavingsdoel dient en zolang geheimhouding nodig is om dat doel niet te ondermijnen (lid 5).

Transparantie voor cloudklanten

Artikel 28 van de Data Act verplicht aanbieders van dataverwerkingsdiensten om op hun website te publiceren en actueel te houden: a) het rechtsgebied waaronder de ICT-infrastructuur van elke dienst valt, en b) een algemene beschrijving van de technische, organisatorische en contractuele maatregelen die ze nemen om onrechtmatige internationale overheidstoegang of doorgifte te voorkomen. Die webpagina's moeten vermeld worden in de overeenkomsten voor al hun dataverwerkingsdiensten (artikel 28, lid 2).

Hergebruikers van beschermde overheidsgegevens

Hoofdstuk II van de DGA gaat over overheidsgegevens die beschermd zijn door commerciële of statistische vertrouwelijkheid, intellectuele eigendom van derden of de bescherming van persoonsgegevens (artikel 3, lid 1). Artikel 5 bevat doorgifteregels voor hergebruikers:

• Wie zulke niet-persoonsgebonden gegevens naar een derde land wil doorgeven, meldt dat voornemen en het doel ervan al bij de aanvraag tot hergebruik (artikel 5, lid 9).
• Tenzij de Commissie het land gelijkwaardig heeft verklaard (artikel 5, lid 12), geeft het openbaar lichaam vertrouwelijke of door intellectuele eigendom beschermde niet-persoonsgebonden gegevens alleen door als de hergebruiker zich contractueel verbindt om de verplichtingen inzake vertrouwelijkheid en intellectuele eigendom ook na de doorgifte na te leven en de bevoegdheid te aanvaarden van de rechtbanken van de lidstaat van dat lichaam (artikel 5, lid 10).
• Specifieke Uniehandelingen kunnen bepaalde categorieën niet-persoonsgebonden gegevens als "zeer gevoelig" aanmerken, waarna bijzondere doorgiftevoorwaarden volgen via een gedelegeerde handeling (artikel 5, lid 13).
• De hergebruiker mag alleen doorgeven naar derde landen waar aan de vereisten van de leden 10, 12 en 13 is voldaan (artikel 5, lid 14).

Erkende organisaties voor data-altruïsme moeten betrokkenen en gegevenshouders vóór de verwerking bovendien vertellen waar een verwerking in een derde land plaatsvindt en voor welke doelstellingen van algemeen belang (artikel 21, lid 1, b)).

Handhaving

Volgens artikel 34 van de DGA stellen de lidstaten sancties vast voor inbreuken op artikel 5, lid 14, en artikel 31. Ook de Data Act laat de sancties aan de lidstaten over (artikel 40).

Gezondheidsgegevens: hetzelfde patroon

De verordening betreffende de Europese ruimte voor gezondheidsgegevens (EHDS), Verordening (EU) 2025/327, neemt dat model over voor niet-persoonsgebonden elektronische gezondheidsgegevens. Artikel 89 herhaalt de plicht om toegang te voorkomen, de drie voorwaarden en de melding aan de houder. Artikel 88 merkt bepaalde niet-persoonsgebonden gezondheidsgegevens die naar gebruikers in derde landen gaan aan als "zeer gevoelig" in de zin van artikel 5, lid 13, DGA, als er een risico op heridentificatie is. Die bepalingen gelden vanaf 26 maart 2027. Ons artikel over secundair gebruik en gegevensvergunningen in de EHDS legt het bredere systeem uit.

In de praktijk

Een Belgische SaaS-aanbieder met een niet-Europese moeder

Neem een Belgisch bedrijf dat sensordata van Europese fabrikanten host op infrastructuur van zijn Amerikaanse moedervennootschap. Het gaat om niet-persoonsgebonden gegevens, dus de AVG-doorgifteregels zijn niet het probleem. De Data Act wel.

Het bedrijf publiceert best een pagina volgens artikel 28 met het rechtsgebied van de infrastructuur achter elke dienst en een beschrijving van de waarborgen, en vermeldt die pagina in elk klantcontract. Intern heb je een geschreven procedure nodig voor buitenlandse verzoeken: wie ontvangt ze, wie kijkt of er een verdrag van toepassing is, wie toetst de drie voorwaarden van artikel 32, lid 3, wanneer vraag je advies aan de nationale instantie, en hoe verwittig je de klant. In de intragroepsovereenkomsten leg je de moeder op om elk verzoek door te geven en niets vrij te geven zonder die toets.

Een spin-off die vertrouwelijke overheidsgegevens hergebruikt

Een universitaire spin-off krijgt onder de DGA vertrouwelijke bedrijfsgegevens van een overheidsagentschap en wil een deel van de analyse laten doen door een partnerlabo buiten de EU. Dat voornemen moet al in de aanvraag tot hergebruik staan (artikel 5, lid 9). Tenzij dat land gelijkwaardig is verklaard, tekent de spin-off een verbintenis om de vertrouwelijkheid en de intellectuele eigendom te blijven respecteren en de rechtbanken van de lidstaat van het agentschap te aanvaarden (artikel 5, lid 10). De doorgifte weglaten uit de aanvraag en ze later toevoegen, is de klassieke fout.

Cloud aankopen als klant

Zet je productie- of R&D-gegevens in de cloud, lees dan de artikel 28-pagina van de aanbieder vóór je tekent en kijk of het contract ernaar verwijst. Voeg daarna toe wat de verordening veronderstelt maar je standaardcontract misschien niet zegt: snelle melding van elk verzoek uit een derde land (binnen de grens van artikel 32, lid 5), vrijgave beperkt tot het minimum, medewerking als je bezwaar wilt maken, en de plicht om de artikel 28-informatie actueel te houden. Laten de voorwaarden van een aanbieder toe dat hij gegevens geeft aan "elke bevoegde autoriteit" zonder die stappen, dan is dat een onderhandelingspunt.

Een korte checklist

• Breng in kaart welke datasets niet-persoonsgebonden zijn en waar ze staan.
• Bepaal je rol: aanbieder van dataverwerkingsdiensten, hergebruiker onder de DGA, aanbieder van databemiddelingsdiensten of organisatie voor data-altruïsme.
• Schrijf de procedure voor verzoeken uit en train wie juridische post ontvangt.
• Stem intragroeps- en onderaannemingscontracten af op artikel 32 of artikel 31.
• Houd een logboek bij van verzoeken, gevraagde adviezen en vrijgegeven gegevens.

Veelgestelde vragen

Verbieden deze regels om niet-persoonsgebonden gegevens buiten de EU op te slaan?

Niet als zodanig. Artikel 32 van de Data Act en artikel 31 van de DGA richten zich op overheidstoegang en doorgiften die in strijd zouden zijn met het Unierecht of het nationale recht. Ze vragen maatregelen en stellen voorwaarden om buitenlandse bevelen op te volgen. Hergebruikers van beschermde overheidsgegevens onder de DGA krijgen wel echte doorgiftevoorwaarden via artikel 5.

Wij zijn klant. Wat krijgen we concreet?

Van je aanbieder: de artikel 28-informatie op zijn website, een verwijzing daarnaar in je contract, en een melding vóór hij ingaat op een verzoek uit een derde land, tenzij de uitzondering voor rechtshandhaving geldt. Wil je meer, zoals auditrechten of een recht om bezwaar te maken, dan moet je dat contractueel afspreken.

En geanonimiseerde persoonsgegevens?

Geanonimiseerde gegevens zijn niet-persoonsgebonden, dus deze regels gelden ervoor. De DGA laat toe om bepaalde categorieën als zeer gevoelig aan te merken als heridentificatie een risico is, en de EHDS doet dat voor sommige gezondheidsgegevens. Kunnen de gegevens nog aan een persoon worden gekoppeld, dan blijven het persoonsgegevens en geldt hoofdstuk V van de AVG.

Telt een Amerikaanse subpoena als besluit van een overheid van een derde land?

Artikel 32 spreekt van elke beslissing of uitspraak van een rechter in een derde land en elk besluit van een administratieve autoriteit van een derde land. Of een concreet bevel voldoet aan de voorwaarden van lid 3, is een juridische beoordeling per geval. Daarom laat de verordening de aanbieder toe om een nationale instantie om advies te vragen.

Hoe dit samenhangt

Clausules over overheidstoegang horen in elk cloud-, hosting- en datadelingscontract. We stellen ze op en onderhandelen erover binnen datalicenties en datadeling en ons werk rond commerciële contracten. Stuurt een aanbieder zijn eigen voorwaarden, dan toetst onze contractreview de clausules over toegang en melding aan ons playbook, en na ondertekening houdt opvolging van rechten en plichten verplichtingen zoals meldingstermijnen in beeld. Voor persoonsgegevens begin je bij internationale doorgiften na Schrems II.

Overzicht

• Aangehaalde bepalingen: Data Act artikelen 1, lid 2, f), en lid 3, f), 2, punt 8, 28, 32, 40 en 50; DGA artikelen 3, lid 1, 5, leden 9 tot en met 14, 21, lid 1, b), 31, 34 en 38; EHDS artikelen 88 en 89; AVG hoofdstuk V.
• Belangrijke data: DGA van toepassing 24-09-2023; Data Act van toepassing 12-09-2025; EHDS artikelen 88 en 89 van toepassing 26-03-2027.
• In deze reeks: De Datagovernanceverordening: databemiddelaars en data-altruïsme; Data voor AI: dataruimtes en licenties op trainingsdata; Hergebruik van overheidsgegevens; Europese ruimte voor gezondheidsgegevens I.
• Verder lezen: De Europese Data Act; Internationale doorgiften; SaaS-overeenkomsten.