--- title: "Niet-persoonsgebonden gegevens over de grens | Pitch" description: "Wat de Data Act en de Datagovernanceverordening vragen wanneer een buitenlandse rechter of overheid toegang wil tot niet-persoonsgebonden gegevens in de EU, en…" url: https://pitch.law/nl/academy/non-personal-data-across-borders --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Data](https://pitch.law/nl/academy/topics/information-technology) # Niet-persoonsgebonden gegevens over de grens Wat de Data Act en de Datagovernanceverordening vragen wanneer een buitenlandse rechter of overheid toegang wil tot niet-persoonsgebonden gegevens in de EU, en wat cloudaanbieders hun klanten moeten vertellen. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 13 november 2026 - Bijgewerkt 13-11-2026 ## Het juridisch kader De regels voor de doorgifte van persoonsgegevens ken je waarschijnlijk: hoofdstuk V van de [AVG](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679) en alles wat na het Schrems II-arrest volgde. Minder bekend is dat de EU ook niet-persoonsgebonden gegevens beschermt tegen toegang door buitenlandse overheden. Denk aan machinemetingen, productiecijfers, geaggregeerde statistieken of geanonimiseerde datasets. Twee verordeningen regelen dat, in bijna identieke bewoordingen. ### De teksten en hun data - **De Data Act**, [Verordening (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854), in werking sinds 11 januari 2024 en van toepassing vanaf 12 september 2025 ([artikel 50](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_50)). Hoofdstuk VII, "Internationale overheidstoegang en overdracht van niet-persoonsgebonden gegevens", bestaat uit één bepaling: [artikel 32](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_32). [Artikel 28](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_28) voegt daar een transparantieplicht aan toe. - **De Datagovernanceverordening** (Data Governance Act, DGA), [Verordening (EU) 2022/868](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32022R0868), in werking sinds 23 juni 2022 en van toepassing vanaf 24 september 2023 ([artikel 38](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022R0868#art_38)). De tegenhanger is [artikel 31](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022R0868#art_31), "Internationale toegang en doorgifte", met specifieke doorgiftevoorwaarden in [artikel 5, leden 9 tot en met 14](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022R0868#art_5). ### Wie valt eronder Onder de Data Act liggen de plichten bij **aanbieders van dataverwerkingsdiensten**. Artikel 2, punt 8, omschrijft dat als digitale diensten die een klant op verzoek netwerktoegang geven tot een gedeelde pool van configureerbare, schaalbare en elastische computermiddelen. In de praktijk gaat het om cloudinfrastructuur, platformen en veel SaaS-diensten. Hoofdstuk VII geldt voor "alle niet-persoonsgebonden gegevens die in de Unie in handen zijn van aanbieders van dataverwerkingsdiensten" (artikel 1, lid 2, f)), en de verordening geldt voor die aanbieders ongeacht hun plaats van vestiging, zodra ze klanten in de Unie bedienen (artikel 1, lid 3, f)). Een Belgisch hostingbedrijf valt er dus onder, net als een grote niet-Europese cloudaanbieder die aan Belgische klanten verkoopt. Onder de DGA bindt artikel 31 vier groepen: openbare lichamen, wie een recht op hergebruik van beschermde overheidsgegevens kreeg onder hoofdstuk II, **aanbieders van databemiddelingsdiensten** en **erkende organisaties voor data-altruïsme**. Een spin-off die vertrouwelijke gegevens van een overheidsagentschap hergebruikt, of een datamarktplaats die zich als bemiddelaar heeft aangemeld, draagt de plicht dus zelf. ### De plicht om onrechtmatige toegang te voorkomen Beide teksten beginnen op dezelfde manier. De aanbieder (artikel 32, lid 1, Data Act) of de DGA-actor (artikel 31, lid 1) neemt technische, organisatorische en juridische maatregelen, "waaronder overeenkomsten" of "contractuele regelingen", om toegang door of doorgifte aan overheden van derde landen te voorkomen voor niet-persoonsgebonden gegevens in de Unie, wanneer die toegang of doorgifte in strijd zou zijn met het Unierecht of met het nationale recht van de betrokken lidstaat. De Data Act vraagt "alle adequate" maatregelen, de DGA "alle redelijke". ### Wanneer je een buitenlands bevel mag opvolgen Volgens lid 2 van beide artikelen wordt een beslissing of uitspraak van een rechter of overheid uit een derde land alleen erkend of uitgevoerd als ze steunt op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtshulp, tussen dat land en de EU of een lidstaat. Is er geen zo'n overeenkomst en zou naleving je in conflict brengen met het Unierecht of het nationale recht, dan geldt lid 3. Toegang of doorgifte mag dan alleen als aan drie voorwaarden samen is voldaan: 1. het rechtssysteem van het derde land vereist dat de redenen en de evenredigheid van het bevel worden uiteengezet en dat het bevel specifiek is, bijvoorbeeld gekoppeld aan bepaalde verdachten of inbreuken; 2. een met redenen omkleed bezwaar van de geadresseerde kan worden getoetst door een bevoegde rechter in dat land; en 3. die rechter mag rekening houden met de rechtmatige belangen van de aanbieder van de gegevens die het Unierecht of het recht van de lidstaat beschermt. De Data Act voegt daar een procedure aan toe. De geadresseerde mag de nationale instantie die bevoegd is voor internationale samenwerking in rechtszaken om advies vragen over die voorwaarden, zeker als bedrijfsgeheimen, door intellectuele eigendom beschermde inhoud of een risico op heridentificatie meespelen. Raakt het verzoek mogelijk aan nationale veiligheid of defensie, dan is dat advies verplicht. Komt er binnen een maand geen antwoord, of is het advies negatief, dan mag de aanbieder het verzoek om die reden weigeren (artikel 32, lid 3, tweede alinea). Twee plichten volgen in beide teksten. Je geeft alleen de **minimale hoeveelheid gegevens** die is toegestaan, op basis van een redelijke interpretatie van het verzoek (lid 4). En je **verwittigt de klant** (Data Act) of de **gegevenshouder** (DGA) vóór je aan het verzoek voldoet, tenzij het verzoek een rechtshandhavingsdoel dient en zolang geheimhouding nodig is om dat doel niet te ondermijnen (lid 5). ### Transparantie voor cloudklanten Artikel 28 van de Data Act verplicht aanbieders van dataverwerkingsdiensten om op hun website te publiceren en actueel te houden: a) het rechtsgebied waaronder de ICT-infrastructuur van elke dienst valt, en b) een algemene beschrijving van de technische, organisatorische en contractuele maatregelen die ze nemen om onrechtmatige internationale overheidstoegang of doorgifte te voorkomen. Die webpagina's moeten vermeld worden in de overeenkomsten voor al hun dataverwerkingsdiensten (artikel 28, lid 2). ### Hergebruikers van beschermde overheidsgegevens Hoofdstuk II van de DGA gaat over overheidsgegevens die beschermd zijn door commerciële of statistische vertrouwelijkheid, intellectuele eigendom van derden of de bescherming van persoonsgegevens (artikel 3, lid 1). Artikel 5 bevat doorgifteregels voor hergebruikers: - Wie zulke niet-persoonsgebonden gegevens naar een derde land wil doorgeven, meldt dat voornemen en het doel ervan al bij de aanvraag tot hergebruik (artikel 5, lid 9). - Tenzij de Commissie het land gelijkwaardig heeft verklaard (artikel 5, lid 12), geeft het openbaar lichaam vertrouwelijke of door intellectuele eigendom beschermde niet-persoonsgebonden gegevens alleen door als de hergebruiker zich contractueel verbindt om de verplichtingen inzake vertrouwelijkheid en intellectuele eigendom ook na de doorgifte na te leven en de bevoegdheid te aanvaarden van de rechtbanken van de lidstaat van dat lichaam (artikel 5, lid 10). - Specifieke Uniehandelingen kunnen bepaalde categorieën niet-persoonsgebonden gegevens als "zeer gevoelig" aanmerken, waarna bijzondere doorgiftevoorwaarden volgen via een gedelegeerde handeling (artikel 5, lid 13). - De hergebruiker mag alleen doorgeven naar derde landen waar aan de vereisten van de leden 10, 12 en 13 is voldaan (artikel 5, lid 14). Erkende organisaties voor data-altruïsme moeten betrokkenen en gegevenshouders vóór de verwerking bovendien vertellen waar een verwerking in een derde land plaatsvindt en voor welke doelstellingen van algemeen belang ([artikel 21, lid 1, b)](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022R0868#art_21)). ### Handhaving Volgens [artikel 34](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022R0868#art_34) van de DGA stellen de lidstaten sancties vast voor inbreuken op artikel 5, lid 14, en artikel 31. Ook de Data Act laat de sancties aan de lidstaten over ([artikel 40](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_40)). ### Gezondheidsgegevens: hetzelfde patroon De verordening betreffende de Europese ruimte voor gezondheidsgegevens (EHDS), [Verordening (EU) 2025/327](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32025R0327), neemt dat model over voor niet-persoonsgebonden elektronische gezondheidsgegevens. [Artikel 89](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0327#art_89) herhaalt de plicht om toegang te voorkomen, de drie voorwaarden en de melding aan de houder. [Artikel 88](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0327#art_88) merkt bepaalde niet-persoonsgebonden gezondheidsgegevens die naar gebruikers in derde landen gaan aan als "zeer gevoelig" in de zin van artikel 5, lid 13, DGA, als er een risico op heridentificatie is. Die bepalingen gelden vanaf 26 maart 2027. Ons artikel over [secundair gebruik en gegevensvergunningen in de EHDS](https://pitch.law/nl/academy/european-health-data-space-secondary-use-and-data-permits) legt het bredere systeem uit. ## In de praktijk ### Een Belgische SaaS-aanbieder met een niet-Europese moeder Neem een Belgisch bedrijf dat sensordata van Europese fabrikanten host op infrastructuur van zijn Amerikaanse moedervennootschap. Het gaat om niet-persoonsgebonden gegevens, dus de AVG-doorgifteregels zijn niet het probleem. De Data Act wel. Het bedrijf publiceert best een pagina volgens artikel 28 met het rechtsgebied van de infrastructuur achter elke dienst en een beschrijving van de waarborgen, en vermeldt die pagina in elk klantcontract. Intern heb je een geschreven procedure nodig voor buitenlandse verzoeken: wie ontvangt ze, wie kijkt of er een verdrag van toepassing is, wie toetst de drie voorwaarden van artikel 32, lid 3, wanneer vraag je advies aan de nationale instantie, en hoe verwittig je de klant. In de intragroepsovereenkomsten leg je de moeder op om elk verzoek door te geven en niets vrij te geven zonder die toets. ### Een spin-off die vertrouwelijke overheidsgegevens hergebruikt Een universitaire spin-off krijgt onder de DGA vertrouwelijke bedrijfsgegevens van een overheidsagentschap en wil een deel van de analyse laten doen door een partnerlabo buiten de EU. Dat voornemen moet al in de aanvraag tot hergebruik staan (artikel 5, lid 9). Tenzij dat land gelijkwaardig is verklaard, tekent de spin-off een verbintenis om de vertrouwelijkheid en de intellectuele eigendom te blijven respecteren en de rechtbanken van de lidstaat van het agentschap te aanvaarden (artikel 5, lid 10). De doorgifte weglaten uit de aanvraag en ze later toevoegen, is de klassieke fout. ### Cloud aankopen als klant Zet je productie- of R\&D-gegevens in de cloud, lees dan de artikel 28-pagina van de aanbieder vóór je tekent en kijk of het contract ernaar verwijst. Voeg daarna toe wat de verordening veronderstelt maar je standaardcontract misschien niet zegt: snelle melding van elk verzoek uit een derde land (binnen de grens van artikel 32, lid 5), vrijgave beperkt tot het minimum, medewerking als je bezwaar wilt maken, en de plicht om de artikel 28-informatie actueel te houden. Laten de voorwaarden van een aanbieder toe dat hij gegevens geeft aan "elke bevoegde autoriteit" zonder die stappen, dan is dat een onderhandelingspunt. ### Een korte checklist - Breng in kaart welke datasets niet-persoonsgebonden zijn en waar ze staan. - Bepaal je rol: aanbieder van dataverwerkingsdiensten, hergebruiker onder de DGA, aanbieder van databemiddelingsdiensten of organisatie voor data-altruïsme. - Schrijf de procedure voor verzoeken uit en train wie juridische post ontvangt. - Stem intragroeps- en onderaannemingscontracten af op artikel 32 of artikel 31. - Houd een logboek bij van verzoeken, gevraagde adviezen en vrijgegeven gegevens. ## Veelgestelde vragen ### Verbieden deze regels om niet-persoonsgebonden gegevens buiten de EU op te slaan? Niet als zodanig. Artikel 32 van de Data Act en artikel 31 van de DGA richten zich op overheidstoegang en doorgiften die in strijd zouden zijn met het Unierecht of het nationale recht. Ze vragen maatregelen en stellen voorwaarden om buitenlandse bevelen op te volgen. Hergebruikers van beschermde overheidsgegevens onder de DGA krijgen wel echte doorgiftevoorwaarden via artikel 5. ### Wij zijn klant. Wat krijgen we concreet? Van je aanbieder: de artikel 28-informatie op zijn website, een verwijzing daarnaar in je contract, en een melding vóór hij ingaat op een verzoek uit een derde land, tenzij de uitzondering voor rechtshandhaving geldt. Wil je meer, zoals auditrechten of een recht om bezwaar te maken, dan moet je dat contractueel afspreken. ### En geanonimiseerde persoonsgegevens? Geanonimiseerde gegevens zijn niet-persoonsgebonden, dus deze regels gelden ervoor. De DGA laat toe om bepaalde categorieën als zeer gevoelig aan te merken als heridentificatie een risico is, en de EHDS doet dat voor sommige gezondheidsgegevens. Kunnen de gegevens nog aan een persoon worden gekoppeld, dan blijven het persoonsgegevens en geldt hoofdstuk V van de AVG. ### Telt een Amerikaanse subpoena als besluit van een overheid van een derde land? Artikel 32 spreekt van elke beslissing of uitspraak van een rechter in een derde land en elk besluit van een administratieve autoriteit van een derde land. Of een concreet bevel voldoet aan de voorwaarden van lid 3, is een juridische beoordeling per geval. Daarom laat de verordening de aanbieder toe om een nationale instantie om advies te vragen. ## Hoe dit samenhangt Clausules over overheidstoegang horen in elk cloud-, hosting- en datadelingscontract. We stellen ze op en onderhandelen erover binnen [datalicenties en datadeling](https://pitch.law/nl/solutions/data-licensing-sharing) en ons werk rond [commerciële contracten](https://pitch.law/nl/solutions/commercial-contracts-transactions). Stuurt een aanbieder zijn eigen voorwaarden, dan toetst onze [contractreview](https://pitch.law/nl/technologies/clause-library-risk-review) de clausules over toegang en melding aan ons playbook, en na ondertekening houdt [opvolging van rechten en plichten](https://pitch.law/nl/technologies/contract-obligations) verplichtingen zoals meldingstermijnen in beeld. Voor persoonsgegevens begin je bij [internationale doorgiften na Schrems II](https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii). ### Overzicht - **Aangehaalde bepalingen:** Data Act artikelen 1, lid 2, f), en lid 3, f), 2, punt 8, 28, 32, 40 en 50; DGA artikelen 3, lid 1, 5, leden 9 tot en met 14, 21, lid 1, b), 31, 34 en 38; EHDS artikelen 88 en 89; AVG hoofdstuk V. - **Belangrijke data:** DGA van toepassing 24-09-2023; Data Act van toepassing 12-09-2025; EHDS artikelen 88 en 89 van toepassing 26-03-2027. - **In deze reeks:** [De Datagovernanceverordening: databemiddelaars en data-altruïsme](https://pitch.law/nl/academy/data-governance-act-data-intermediaries-and-data-altruism); [Data voor AI: dataruimtes en licenties op trainingsdata](https://pitch.law/nl/academy/data-for-ai-data-spaces-and-licensing-training-data); [Hergebruik van overheidsgegevens](https://pitch.law/nl/academy/re-using-public-sector-data-open-data-and-high-value-datasets); [Europese ruimte voor gezondheidsgegevens I](https://pitch.law/nl/academy/european-health-data-space-secondary-use-and-data-permits). - **Verder lezen:** [De Europese Data Act](https://pitch.law/nl/academy/eu-data-act); [Internationale doorgiften](https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii); [SaaS-overeenkomsten](https://pitch.law/nl/academy/saas-agreements). ## In het kort - Wie niet-persoonsgebonden gegevens moet afschermen tegen buitenlandse overheden - De drie voorwaarden om een buitenlands bevel op te volgen - Wat cloudaanbieders moeten publiceren en in hun contracten vermelden - Doorgiftevoorwaarden voor hergebruikers van beschermde overheidsgegevens - Praktische stappen voor aanbieders en voor klanten ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/data-licensing-sharing) ### [Datalicenties en datadeling](https://pitch.law/nl/solutions/data-licensing-sharing) [Data delen of in licentie geven zonder meer weg te geven dan je van plan was. Met een duidelijke afbakening, afspraken over wie eigenaar is van wat eruit voortkomt, en de GDPR meteen mee geregeld.](https://pitch.law/nl/solutions/data-licensing-sharing) - [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions) ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions) [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions) ## Onze eigen Legal Tech - [Technologie](https://pitch.law/nl/technologies/clause-library-risk-review) ### [Contractreview](https://pitch.law/nl/technologies/clause-library-risk-review) [Stuur ons het contract van de wederpartij en we toetsen het clausule per clausule aan ons playbook, met een risicorangschikking die een advocaat heeft nagekeken.](https://pitch.law/nl/technologies/clause-library-risk-review) - [Technologie](https://pitch.law/nl/technologies/contract-obligations) ### [Contractbeheer: rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) [Zodra een contract definitief is, halen we de plichten en rechten van elke partij eruit, met de clausule waar ze vandaan komen. Een persoon bevestigt ze en we volgen ze op met herinneringen.](https://pitch.law/nl/technologies/contract-obligations) ## Meer over Data - ### [Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) [Wat de Digital Services Act vandaag al vraagt om minderjarigen te beschermen, wat het voorstel voor een EU KIDS Act van 17 september 2026 zou toevoegen voor sociale netwerken, videoplatformen, games, appwinkels en chatbots, en hoe het Europese kader voor leeftijdsverificatie daarin past.](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) - ### [De Cloud and AI Development Act: soevereiniteitsregels voor de aankoop van cloud en AI](https://pitch.law/nl/academy/cloud-and-ai-development-act) [Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende diensten en van inschrijvers op cloud- en AI-opdrachten, en hoe het zich verhoudt tot de Data Act en de aanbestedingsrichtlijn.](https://pitch.law/nl/academy/cloud-and-ai-development-act) - ### [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) [De plichten van importeurs, distributeurs en gemachtigde vertegenwoordigers onder de artikelen 18 tot en met 23 van Verordening (EU) 2024/2847, wanneer een wederverkoper fabrikant wordt, hoe vrije en opensourcesoftware en haar stewards worden behandeld, en welke bedingen daaruit volgen.](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) - ### [Verordening cyberweerbaarheid I: welke producten vallen eronder, en in welke klasse](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) [Hoe je nagaat of hardware of software die je verkoopt onder Verordening (EU) 2024/2847 valt, of het een gewoon, belangrijk (klasse I of II) of kritiek product is en welke conformiteitsroute daaruit volgt, met de data tot 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) - ### [Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) [Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke plichten rond kwetsbaarheden uit bijlage I, deel II, volgen vanaf 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) - ### [Cyberincidenten over de grenzen heen: de verordening cybersolidariteit](https://pitch.law/nl/academy/cyber-solidarity-act) [Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de EU-cyberbeveiligingsreserve en het evaluatiemechanisme voor incidenten, hoe een bedrijf dat door een zwaar incident wordt getroffen ervan kan profiteren, en wat het betekent voor aanbieders van beheerde beveiligingsdiensten.](https://pitch.law/nl/academy/cyber-solidarity-act) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)