IR-04

Bij contracten waarin persoonsgegevens of bedrijfskritische data worden verwerkt, of waarin AI-systemen worden geleverd, wordt de toepasselijke jurisdictie expliciet vastgelegd en wordt een exit-clausule opgenomen die onder omschreven omstandigheden een leveranciersovergang mogelijk maakt binnen een haalbare termijn.

Data die fysiek op Europese bodem staat kan juridisch onder buitenlandse wetgeving vallen (bv. via de US CLOUD Act). Bij overname of strategische verschuiving van een leverancier kan een publieke organisatie in een lock-in terechtkomen waaruit exit feitelijk onmogelijk is. Exit moet een reële optie zijn, geen papieren formule.

Een ZBO heeft data bij een NL-cloudprovider die wordt overgenomen door een niet-EU-partij. IR-04 vereist dat zo'n overname een vooraf beschreven exit-recht activeert met concrete termijnen en dataportabiliteit in open formaat.

De toets is goed als de organisatie bij een trigger (wetswijziging, overname door niet-EU-partij, dienstbeëindiging) daadwerkelijk binnen de afgesproken termijn de data in open formaat kan terugkrijgen, niet alleen op papier maar aantoonbaar uitvoerbaar.

[
  "Toepasselijke jurisdictie en blootstelling aan buitenlandse wetgeving",
  "Datalocatie (fysiek én juridisch)",
  "Exit-scenario met termijnen, dataportabiliteit-eisen en ondersteuningsverplichting",
  "Triggerevents die exit activeren (overname niet-EU, strategische verschuiving, niet-nakoming)",
  "Kosten- en verantwoordelijkheidsverdeling bij exit"
]

{
  "ICT": "Kernsector: CLOUD Act-blootstelling, datacenter-locatie en open-formaat-portabiliteit expliciet toetsen.",
  "ZORG": "Bijzondere persoonsgegevens (AVG art. 9): strikte EER-jurisdictie; cliëntdossiers integer overdraagbaar.",
  "DEFENSIE": "Soevereiniteits- en rubriceringseisen kunnen niet-EU-hosting volledig uitsluiten.",
  "SPECIAAL": "Leveringszekerheid van de nutsfunctie weegt zwaar; exit mag continuïteit niet in gevaar brengen."
}

{}

7