De TikTok-uitspraak die Gegevensoevereiniteit Veranderde
Bijgewerkt voor 2026
In mei 2025 beboette Ireland's Data Protection Commission TikTok met €530 miljoen. De reden was eenvoudig: TikTok stuurde EU-gebruikersinformatie naar China zonder adequate waarborgen.
Dit is de op één na grootste enkelvoudige GDPR-boete ooit. Alleen de €1,2 miljard Meta-boete uit 2023 is groter — ook van Ireland's DPC, voor het sturen van EU-records naar Facebook's Amerikaanse servers.
Beide zaken delen een duidelijk patroon. Grensoverschrijdende overdrachten zonder adequate waarborgen trekken de grootste boetes aan.
Totale GDPR-boetes bereikten €5,65 miljard door 2025. Handhaving is geen achtergrondrisico meer. Het is een actieve bedrijfskosten.
Waarom Gegevensoverdrachten de Grootste Boetes Aantrekken
GDPR Hoofdstuk V stelt strikte regels voor het overdragen van persoonsgegevens buiten de EER. Organisaties mogen dit alleen doen als:
- De Europese Commissie heeft vastgesteld dat het bestemmingsland adequate bescherming biedt (adequaatheidsbeslissing), of
- Passende waarborgen bestaan (Standard Contractual Clauses, Binding Corporate Rules), of
- Specifieke uitzonderingen van toepassing zijn (uitdrukkelijke toestemming, vitaal belang, enz.)
Het overdragen van gegevens naar China valt in geen van deze categorieën. China heeft geen adequaatheidsbeslissing. SCCs zijn moeilijk te handhaven in jurisdicties waar lokale wetten toegang tot gegevens door autoriteiten vereisen.
De Implicaties voor Clouddiensten
Elke cloudprovider die EU-persoonsgegevens verwerkt op servers buiten de EER, is een potentieel TikTok. Dit geldt voor:
- Amerikaanse SaaS-platforms met EU-klantgegevens op Amerikaanse servers
- AI-providers die EU-gebruikersinputs verwerken op niet-EU-infrastructuur
- Samenwerkingstools die EU-interne communicatie syncen naar internationale servers
De technische oplossing: verwerk EU-persoonsgegevens nooit in een leesbare vorm op servers buiten de EER. Zero-knowledge anonimisering vóór overdracht betekent dat wat de server ontvangt geen persoonsgegevens zijn — en dus niet onder GDPR Hoofdstuk V valt.
Bekijk de GDPR-nalevingsgids en de beveiligingspagina.