OLYMP-logoOLYMP
Contact
Compliancegids

AVG en outsourcing naar Kosovo

Kosovo heeft een moderne wet voor gegevensbescherming die nauw aansluit op de AVG, maar geen adequaatheidsbesluit van de EU. Dat betekent dat doorgifte vanuit de EU, het Verenigd Koninkrijk of Zwitserland rechtmatig is, mits de juiste contracten en waarborgen aanwezig zijn. Deze gids legt uit welke dat zijn.

Vraag naar onze opzet voor gegevensbeschermingBekijk de stappen
Waarom KosovoRisico's van outsourcingFeiten over KosovoWoordenlijst

Kunnen EU-bedrijven onder de AVG uitbesteden aan Kosovo?

Ja. De Kosovaarse wet nr. 06/L-082 is nauw gemodelleerd naar de AVG, maar Kosovo heeft geen adequaatheidsbesluit van de EU, dus voor overdrachten is een overdrachtsinstrument nodig. EU-bedrijven sluiten doorgaans een verwerkersovereenkomst en de modelcontractbepalingen van de Europese Commissie af, leggen een beoordeling van het overdrachtsrisico vast en houden gegevens in hun eigen systemen met strikte toegangscontroles.

Kosovaarse wet
Wet nr. 06/L-082 inzake de bescherming van persoonsgegevens (2019)
Toezichthouder
Agentschap voor Informatie en Privacy (AIP)
Adequaatheid EU
Geen; gebruik modelcontractbepalingen
Ook nodig
Verwerkersovereenkomst, beoordeling van het overdrachtsrisico

Een rechtmatige doorgifte inrichten, stap voor stap

Dit is algemene informatie en geen juridisch advies. Uw functionaris voor gegevensbescherming of juridisch adviseur moet de opzet voor uw situatie bevestigen.

  1. Breng de gegevens in kaart

    Vóór het contract

    Maak een lijst van welke persoonsgegevens het team ziet, van wie ze zijn, waarom ze nodig zijn en in welke systemen ze blijven. Minder toegang betekent minder risico en minder papierwerk.

  2. Sluit een verwerkersovereenkomst

    Bij het contract

    Artikel 28 van de AVG vereist een contract waarin de verwerking, de instructies, geheimhouding, beveiliging, subverwerkers en hulp bij verzoeken van betrokkenen zijn vastgelegd.

  3. Voeg een doorgifteinstrument toe

    Bij het contract

    Omdat Kosovo geen adequaatheidsbesluit heeft, gebruikt doorgifte vanuit de EU meestal de modelcontractbepalingen van de Europese Commissie. Doorgifte vanuit het Verenigd Koninkrijk gebruikt de Britse addendum of de eigen Britse doorgifteovereenkomst.

  4. Beoordeel de doorgifte

    Vóór de livegang

    Leg een beoordeling van het doorgifterisico vast die kijkt naar de wetgeving en praktijk in Kosovo en naar de aanwezige waarborgen, zoals toegangsbeheer en versleuteling.

  5. Pas technische maatregelen toe

    Vóór de livegang

    Persoonlijke accounts met meerfactorauthenticatie, toegang met minimale rechten, beheerde apparaten, logging en gegevens die waar mogelijk in uw eigen systemen blijven.

  6. Evalueer regelmatig

    Elk jaar

    Controleer toegangsrechten, subverwerkers, incidenten en wijzigingen in wetgeving opnieuw, en werk het verwerkingsregister en de beoordeling bij.

Waar verwerkingsverantwoordelijken op moeten letten

Contracten maken een overdracht rechtmatig; dagelijkse maatregelen maken haar veilig. Beide tellen.

Wat dekt de Kosovaarse wet op gegevensbescherming?

Wet nr. 06/L-082 legt beginselen, rechtsgronden, rechten van betrokkenen, beveiligingsverplichtingen en de afhandeling van datalekken vast in lijn met de AVG, en geeft het Agentschap voor Informatie en Privacy toezichts- en handhavingsbevoegdheden. Een aanbieder in Kosovo is daaraan gebonden voor zijn eigen verwerking, naast het contract met u.

Wat moet de verwerkersovereenkomst dekken?

  • Onderwerp, duur, aard en doel van de verwerking
  • Soorten persoonsgegevens en categorieën betrokkenen
  • Verwerking uitsluitend op uw gedocumenteerde instructies
  • Vertrouwelijkheid van iedereen met toegang
  • Beveiligingsmaatregelen, concreet beschreven
  • Regels voor subverwerkers en uw recht van bezwaar
  • Hulp bij verzoeken van betrokkenen, datalekken en beoordelingen
  • Teruggave of verwijdering van gegevens aan het einde, en auditrechten

Welke technische maatregelen mag u verwachten?

  • Persoonlijke accounts, single sign-on en meerfactorauthenticatie
  • Toegang beperkt tot de wachtrijen en velden die elke rol nodig heeft
  • Beheerde, versleutelde apparaten en beperkingen op lokale downloads
  • Logging van toegang en regelmatige toegangsbeoordelingen
  • Duidelijke procedures voor vertrekkende medewerkers en voor het melden van incidenten binnen afgesproken termijnen
Verder lezen

Wat met bijzondere categorieën gegevens?

Gezondheids-, financiële of andere gevoelige gegevens vragen om een nadere blik: een gegevensbeschermingseffectbeoordeling, strengere toegang en soms pseudonimisering of maskering in de tools die het team gebruikt. Sommig gereguleerd werk moet mogelijk intern of in het eigen land blijven; besluit dit voordat u het team afbakent.

Laatst gecontroleerd: . Geschreven door het OLYMP BPO-team in Pristina, Kosovo. Over het bedrijf

Gegevensbescherming en Kosovo: veelgestelde vragen

Voldoet Kosovo aan de AVG?

Kosovo maakt geen deel uit van de EU, dus de AVG is daar niet rechtstreeks van toepassing. De eigen wet nr. 06/L-082 van Kosovo over de bescherming van persoonsgegevens, sinds 2019 van kracht, is nauw gemodelleerd op de AVG en wordt gehandhaafd door het Information and Privacy Agency. EU-bedrijven kunnen gegevens rechtmatig naar Kosovo doorgeven met de juiste waarborgen.

Heeft Kosovo een adequaatheidsbesluit van de EU?

Nee. De Europese Commissie heeft geen adequaatheidsbesluit voor Kosovo genomen. Doorgifte vanuit de EU vraagt daarom om een ander doorgifteinstrument, meestal de modelcontractbepalingen, samen met een beoordeling van het doorgifterisico en passende technische en organisatorische maatregelen.

Welke modelcontractbepalingen gelden bij outsourcing naar Kosovo?

Wanneer een EU-bedrijf de verwerkingsverantwoordelijke is en de aanbieder in Kosovo namens hem gegevens verwerkt, is de module van verwerkingsverantwoordelijke naar verwerker van de modelcontractbepalingen van de Europese Commissie uit 2021 de gebruikelijke keuze. Uw juridisch adviseur moet de module bevestigen en de bijlagen voor uw verwerking invullen.

Kunnen Britse en Zwitserse bedrijven uitbesteden aan Kosovo?

Ja. Britse bedrijven gebruiken doorgaans de Britse International Data Transfer Agreement of de Britse addendum bij de EU-bepalingen. Zwitserse bedrijven kunnen zich beroepen op de EU-modelcontractbepalingen met de aanpassingen die de Zwitserse wet op gegevensbescherming vereist. Beide hebben ook een verwerkersovereenkomst nodig.

Moeten de gegevens uw systemen verlaten?

Meestal niet. In de meeste outsourcingopzetten loggen medewerkers in op de eigen helpdesk, CRM of ERP van de klant, zodat de gegevens in de systemen van de klant blijven en alleen op afstand worden ingezien of bewerkt. Toegang op afstand vanuit Kosovo geldt onder de AVG nog steeds als doorgifte, maar houdt de blootstelling laag.

Bronnen

Juridische verwijzingen op deze pagina linken naar de officiële bronnen. Wetten en richtsnoeren veranderen, dus controleer de actuele versies.

  1. Information and Privacy Agency (wet nr. 06/L-082), Republiek Kosovo
  2. Adequaatheidsbesluiten, Europese Commissie
  3. Modelcontractbepalingen voor internationale doorgifte, Europese Commissie
  4. Aanbevelingen 01/2020 over aanvullende maatregelen voor doorgifte, Europees Comité voor gegevensbescherming
  5. Richtsnoeren over internationale doorgifte, inclusief de IDTA en addendum, Information Commissioner's Office, VK

Hebt u onze documenten voor gegevensbescherming nodig?

Vraag om onze verwerkersovereenkomst en beveiligingsoverzicht. Uw functionaris voor gegevensbescherming kan ze beoordelen vóór enige verplichting.

Documenten aanvragenWaarom Kosovo