Mag mijn data naar een Amerikaanse aanbieder?
Hoe de AVG doorgifte regelt, wat het adequaatheidsbesluit wel en niet dekt, en waar Amerikaanse bevoegdheden buiten dat kader om lopen.
Laatst nagekeken: 4 september 2026
Het langere antwoord is dat de grondslag waarop de meeste organisaties vandaag steunen, onder aanzienlijke druk staat, en dat er Amerikaanse bevoegdheden bestaan die er volledig buiten vallen.
Hoe de AVG doorgifte regelt
Er zijn drie routes:
- Een adequaatheidsbesluit (artikel 45)
- De Europese Commissie stelt vast dat een derde land een beschermingsniveau biedt dat in wezen gelijkwaardig is aan dat van de EU. Is dat besluit er, dan is doorgifte mogelijk zonder aanvullende waarborgen.
- Passende waarborgen (artikel 46)
- Zonder adequaatheidsbesluit kunt u zich baseren op standaardcontractbepalingen, bindende bedrijfsvoorschriften of vergelijkbare instrumenten, met een beoordeling van de omstandigheden in het ontvangende land.
- Uitzonderingen voor specifieke situaties (artikel 49)
- Uitdrukkelijke toestemming, noodzaak voor de uitvoering van een overeenkomst, en enkele andere gevallen. Deze zijn bedoeld voor incidentele doorgiften, niet als structurele grondslag.
Wat het adequaatheidsbesluit voor de VS wel dekt
In juli 2023 nam de Commissie een adequaatheidsbesluit voor de Verenigde Staten, gebaseerd op het EU-US Data Privacy Framework.
Een belangrijk detail dat vaak wordt overgeslagen: het besluit dekt niet elke Amerikaanse ontvanger. Het geldt voor organisaties die zich vrijwillig hebben gecertificeerd en op de officiële lijst staan. Draagt uw leverancier die certificering niet, dan biedt het besluit u niets en hebt u standaardcontractbepalingen nodig. Het loont om dat per leverancier na te gaan in plaats van aan te nemen.
Het besluit is vandaag geldig recht. Het is niet ingetrokken en niet vernietigd.
Waarom het onder druk staat
Vier ontwikkelingen, en ze wijzen alle dezelfde richting op.
- De rechterlijke toets is nog niet af
- Op 3 september 2025 verwierp het Gerecht van de EU een beroep tot nietigverklaring van het Franse parlementslid Philippe Latombe. Het Gerecht oordeelde dat het Amerikaanse Data Protection Review Court voldoende onafhankelijk is en dat het Amerikaanse recht de bulkverzameling door inlichtingendiensten voldoende inperkt. Cruciaal: het Gerecht beoordeelde uitdrukkelijk de situatie zoals die was bij het besluit van 2023, en weigerde latere ontwikkelingen mee te wegen. Latombe ging op 31 oktober 2025 in beroep bij het Hof van Justitie, zaak C-703/25 P. Op 29 juni 2026 kreeg Microsoft toestemming om aan de zijde van de Commissie te interveniëren. Commentatoren verwachten een uitspraak eind 2026 of begin 2027. Dat is niet zonder betekenis: het Hof van Justitie, niet het Gerecht, is het orgaan dat de twee voorgaande regelingen ongeldig verklaarde.
- Het toezichtsorgaan functioneert niet
- Op 27 januari 2025 werden drie van de vijf leden van de Privacy and Civil Liberties Oversight Board ontslagen, waardoor het orgaan zijn quorum verloor. Dat orgaan is een van de institutionele waarborgen waarop de Commissie zich in 2023 baseerde. Zowel de Commissie als de Europese toezichthouders hebben dit als zorgpunt aangemerkt.
- De grondslag daarvan is verzwakt
- Op 29 juni 2026 bevestigde het Amerikaanse Hooggerechtshof dat de president de leiding van onafhankelijke agentschappen zonder opgave van reden kan ontslaan. Dat raakt de structurele onafhankelijkheid waarop het hele bouwwerk rust.
- De wettelijke basis voor het surveillanceprogramma is in beweging
- Sectie 702 van de Amerikaanse Foreign Intelligence Surveillance Act, het programma dat in de Schrems-arresten centraal stond, is voorwerp van hernieuwing in het Amerikaanse Congres. Ga de actuele stand na voor u hierop steunt; dit dossier beweegt snel.
- De praktische aanbeveling die uit alle analyses terugkeert: wie uitsluitend op het adequaatheidsbesluit steunt, doet er goed aan standaardcontractbepalingen als terugvaloptie te voorzien.
Wat buiten dit kader om loopt
Hier zit het punt dat het vaakst over het hoofd wordt gezien. De discussie hierboven gaat over de rechtmatigheid van doorgifte onder de AVG. Daarnaast bestaan er Amerikaanse bevoegdheden die zich niets van dat kader aantrekken.
De CLOUD Act
Deze Amerikaanse wet uit 2018 verplicht aanbieders die onder Amerikaanse rechtsmacht vallen om gegevens te verstrekken die in hun bezit of onder hun controle zijn, ongeacht waar die gegevens fysiek staan. Een datacenter in Brussel verandert de geografie, niet de rechtsbevoegdheid. Of een Europese dochtervennootschap daar verandering in brengt, is juridisch omstreden en niet beslecht.
Parlementaire dagvaardingen
In mei 2026 zouden Microsoft en andere technologiebedrijven namen van medewerkers van de Nederlandse Autoriteit Consument en Markt en de Autoriteit Persoonsgegevens hebben overgemaakt aan een commissie van het Amerikaanse Huis van Afgevaardigden. De grondslag was geen CLOUD Act-verzoek maar een parlementaire dagvaarding, een instrument waarmee het Congres bedrijven kan verplichten intern materiaal te overhandigen.
Dat tweede geval is het instructiefst. Er bestaat meer dan één weg, en niet elke weg is voorzien in het kader waarop u zich baseert.
Wat dit praktisch betekent
Doorgifte is toegestaan en blijft dat waarschijnlijk. Maar de grondslag is niet stabiel, en de vraag is dus niet of het vandaag mag, maar wat u doet als het morgen anders ligt.
Vier vragen voor uw eigen omgeving:
- Welke van uw verwerkers zijn Amerikaans of vallen onder Amerikaanse rechtsmacht, inclusief Europese dochters van Amerikaanse moeders?
- Welke daarvan zijn gecertificeerd onder het Data Privacy Framework, en welke niet?
- Voor welke doorgiften hebt u standaardcontractbepalingen als terugvaloptie liggen, en zijn die actueel?
- Welke van uw processen zou u binnen drie maanden moeten verplaatsen als het adequaatheidsbesluit wegvalt?
Wie vraag 1 niet kan beantwoorden, kan de rest ook niet. En in de praktijk is dat de gebruikelijke situatie, omdat de meeste doorgiften niet als zodanig zijn ingekocht maar meekomen in een softwarepakket.
Dat is de eerste stap van een audit: welke systemen draaien er, via welke leveranciers, en waar worden de gegevens verwerkt. Voor AI-toepassingen komt daar de vraag bovenop welke rol u onder de AI-verordening inneemt, want die twee kaders lopen naast elkaar en dekken elkaar niet.
Waarom wij Thor bouwen zoals we het bouwen
Deze onzekerheid is de reden achter een ontwerpkeuze. Thor 1.0 draait op een open-weight model op afgezonderde apparatuur in een Belgisch datacenter, zodat de vraag naar doorgifte voor die toepassing niet gesteld hoeft te worden.
Dat is geen algemeen advies. Voor veel organisaties en veel toepassingen is een Amerikaanse clouddienst met correcte waarborgen een verdedigbare keuze. Het wordt een andere afweging zodra het om gegevens gaat waarvoor u een eigen verantwoordingsplicht draagt en waarvoor een wisseling van grondslag u binnen enkele maanden in de problemen brengt.