€530 mln TikTok-boete: AVG-soevereiniteit

De TikTok-uitspraak die datasoevereiniteit veranderde

Bijgewerkt voor 2026

In mei 2025 legde de Ierse Data Protection Commission TikTok een boete op van €530 miljoen. De reden was eenvoudig. TikTok stuurde gegevens van EU-gebruikers naar China zonder passende waarborgen.

Dit is de op één na hoogste individuele AVG-boete ooit. Alleen de boete van €1,2 miljard voor Meta uit 2023 is hoger. Ook die werd opgelegd door de Ierse DPC — voor het doorsturen van EU-gegevens naar de Amerikaanse servers van Facebook.

Beide zaken laten hetzelfde patroon zien. Doorgifte over de grens zonder passende waarborgen leidt tot de hoogste boetes. Toezichthouders blijven aandringen totdat bedrijven hun werkwijze aanpassen.

De totale AVG-boetes bereikten in 2025 €5,65 miljard. Handhaving is geen risico op de achtergrond meer. Het is een actieve kostenpost van het zakendoen. Een praktisch overzicht vindt u in onze AVG-conformiteitsgids.

Wat de TikTok-zaak heeft bepaald

Deze zaak ging niet over een datalek. Het ging om de vraag waar bestanden van gebruikers naartoe gaan en op welke rechtsgrond ze over grenzen heen worden verplaatst.

TikTok sloeg bestanden van EU-gebruikers op servers op. Medewerkers in China hadden toegang tot die servers. De artikelen 44–46 van de AVG beperken doorgifte naar landen zonder adequaatheidsbesluit van de EU. China heeft zo'n besluit niet. TikTok stelde dat het over toereikende technische maatregelen beschikte. De toezichthouders oordeelden van niet.

De les is eenvoudig. Hosting in de EU is niet genoeg als medewerkers buiten de EU bij de bestanden kunnen. Het is ook niet genoeg als het bedrijf de wetten van een land zonder adequaatheidsbesluit moet naleven.

Dit is van belang bij het kiezen van SaaS-leveranciers. Een leverancier kan zeggen: "wij hosten in de EU." Maar als het moederbedrijf elders is gevestigd, geldt hetzelfde risico. Als de supportmedewerkers van een leverancier vanuit het buitenland bij gebruikersbestanden kunnen, geldt hetzelfde risico. Hun klanten delen dat risico. Raadpleeg onze checklist voor conformiteit voordat u een verwerkersovereenkomst tekent.

AVG-boetes: €5,65 miljard en nog niet voorbij

Toezichthouders zijn van regels stellen overgestapt op regels handhaven. Overtredingen bij doorgifte leiden nu tot de hoogste boetes. Lees hoe wij omgaan met beveiliging en waarborgen.

Duitsland, Zwitserland en sectorregels

De artikelen 44–46 van de AVG gelden voor alle sectoren. Maar voor sommige branches gelden bovenop de AVG aanvullende regels.

Duitse gezondheidszorg: Het Duitse Sociaal Wetboek V (SGB V) beperkt gezondheidsdocumenten tot systemen onder Duitse controle. Een Duitse verzekeraar mag een cloudtool voor de-identificatie in Dublin gebruiken — dat is EU. Maar het kan alsnog in strijd zijn met SGB V als de eigenaar van de tool een niet-Duits bedrijf is.

Zwitserse banken: Artikel 47 van de Zwitserse bankenwet verbiedt het delen van klantdocumenten met externe partijen. Dat omvat ook cloudaanbieders zonder uitdrukkelijke toestemming van de klant. De klantbestanden van een Zwitserse bank kunnen, zelfs in een in de EU gehoste tool, onder deze wet vallen.

Duitse overheid: De richtsnoeren van de BfDI beperken overheidsdocumenten tot systemen die door de overheid zelf worden beheerd. Een de-identificatietool op EU-servers van een commerciële cloudaanbieder voldoet niet aan deze norm.

De les: AVG-conformiteit is de ondergrens, niet de bovengrens. In veel sectoren gelden strengere regels. Ons overzicht van entiteitsverwerking laat zien welke regels per sector gelden.

Wie heeft een adequaatheidsbesluit?

Op grond van de AVG mogen landen vrijelijk gebruikersgegevens uitwisselen als de Europese Commissie vaststelt dat zij een gelijkwaardige bescherming bieden. Deze landen voldoen daaraan:

Andorra, Argentinië, Canada (commerciële organisaties), Faeröer, Guernsey, Israël, Isle of Man, Japan, Jersey, Nieuw-Zeeland, Zuid-Korea, Zwitserland, het VK, Uruguay en de VS (Data Privacy Framework).

Deze landen voldoen daar niet aan: China, India, Rusland, Brazilië, het grootste deel van Azië-Pacific, het grootste deel van het Midden-Oosten en het grootste deel van Afrika.

Het EU-VS Data Privacy Framework is weer van kracht. Maar het wordt nog steeds voor de rechter aangevochten. Dezelfde juridische argumenten brachten Safe Harbor (Schrems I) en Privacy Shield (Schrems II) ten val. Bedrijven die dit kader gebruiken, moeten rekening houden met een nieuwe ongeldigverklaring.

Vier beschermingsniveaus bij de toolkeuze

De zaken TikTok en Meta leveren een duidelijke rangorde op voor de beoordeling van SaaS-tools.

Niveau 1 — hosting in de EU: Gebruikersgegevens worden verwerkt en opgeslagen op EU-servers. Dat voldoet voor de meeste toepassingen aan de AVG-basis.

Niveau 2 — exploitant gevestigd in de EU: Het moederbedrijf van de leverancier is in de EU gevestigd. Het valt niet onder de wetten van landen zonder adequaatheidsbesluit. Daarmee is het TikTok-probleem opgelost. EU-hosting in combinatie met blootstelling van het moederbedrijf aan Chinese wetgeving is niet veilig.

Niveau 3 — zero-knowledge-ontwerp: Zelfs als de leverancier wordt gehackt of een gerechtelijk bevel krijgt, kan hij uw bestanden niet lezen. U beheert de coderingssleutels. Hij heeft alleen versleutelde gegevens (ciphertext). anonym.legal biedt zero-knowledge-aanmelding, geen zero-knowledge-verwerking; zie ons beveiligingsoverzicht.

Niveau 4 — lokale verwerking: Uw documenten verlaten uw eigen systemen nooit. De verwerking draait op lokale hardware of op machines onder overheidsbeheer. Dit is de enige manier om volledig te voldoen aan het Duitse SGB V, het Zwitserse bankgeheim en de regels van de BfDI. Voor verwerking die uw apparaat nooit verlaat, zie ons zusterproduct anonym.plus; de Desktop-app van anonym.legal leest bestanden op uw apparaat en voert de detectie uit op de in de EU gehoste API.

DPIA's na TikTok

Artikel 35 van de AVG vereist een gegevensbeschermingseffectbeoordeling voor verwerking met een hoog risico. Dit heet een DPIA. Als gebruikersbestanden naar verwerkers in derde landen gaan, hebt u ook een beoordeling van de gevolgen van de doorgifte nodig.

Na TikTok moeten DPIA's voor cloudtools voor het onherkenbaar maken van gegevens vier vragen beantwoorden.

Jurisdictie van het moederbedrijf: Valt het moederbedrijf van de leverancier onder wetgeving — de CLOUD Act, de Chinese cyberbeveiligingswet — die het kan verplichten EU-gebruikersbestanden uit te leveren?

Toegang van medewerkers: Hebben medewerkers in landen zonder adequaatheidsbesluit in de normale bedrijfsvoering toegang tot EU-gebruikersbestanden?

Rechtsgrond: Welk mechanisme uit artikel 46 van de AVG dekt eventuele doorgiften — SCC's, BCR's of afwijkingen?

Gevolgen van een datalek: Wat komt bloot te liggen als de leverancier wordt gehackt of gedwongen wordt documenten uit te leveren?

TikTok toonde aan dat contracten alleen niet volstaan. U moet ze beoordelen op adequaatheid. Leg uw antwoorden vast. Bekijk onze FAQ voor veelgestelde DPIA-vragen.

Inkoopvragen voor 2026

Functionarissen voor gegevensbescherming stellen nu zeer specifieke vragen bij het beoordelen van SaaS-leveranciers van tools voor de verwerking van persoonsgegevens.

• Waar staan de servers? (In de EU?)
• Waar is het moederbedrijf gevestigd? (EU? VS? Elders?)
• Hebben medewerkers buiten de EU toegang tot EU-klantbestanden?
• Welk recht bepaalt gerechtelijke bevelen voor persoonlijke documenten?
• Beheert de leverancier de coderingssleutels, of u?
• Is er een optie voor lokale verwerking?

De antwoorden op deze vragen — niet alleen de ondertekende verwerkersovereenkomsten — bepalen of er echt sprake is van conformiteit op het gebied van soevereiniteit. Lees in onze verklaring van de oprichter hoe anonym.legal is gebouwd om al deze vragen te beantwoorden. U kunt ook onze woordenlijst met kernbegrippen raadplegen voor snelle definities van SCC's, BCR's en adequaatheidsbesluiten.

De situatie na TikTok is duidelijk. Toezichthouders volgen doorgifte over grenzen nauwlettend. De boetes zijn hoog. Ze nemen toe. Uw keuze voor een leverancier is nu een regelgevende beslissing. Het is niet alleen een technische.

Wanneer deze aanpak grenzen kent

Hosting in de EU, zero-knowledge-ontwerp en lokale verwerking pakken elk het doorgifterisico aan dat de TikTok-zaak duur heeft gemaakt — maar geen ervan is een algemene garantie voor conformiteit, en het juiste niveau hangt af van feiten waarover dit artikel niet voor u kan beslissen.

Anonimisering verandert de doorgiftevraag; ze neemt die niet altijd weg. Getokeniseerde uitvoer is onder de AVG gepseudonimiseerd, niet geanonimiseerd, zolang de koppeling bestaat — het over de grens sturen ervan kan dus nog steeds een doorgifte van persoonsgegevens zijn. Het verminderen van identificatoren verlaagt het risico, maar of voor een bepaalde gegevensstroom een mechanisme uit artikel 46 nodig is, is een juridische beoordeling en geen instelling in de tool.

Detectie is niet perfect, dus "er zijn geen persoonsgegevens de EU uit gegaan" is een bewering die u moet controleren. Als anonimisering uw grondslag is om gegevens naar een verwerker in een land zonder adequaatheidsbesluit te sturen, ondermijnt een gemiste identificator die grondslag. De maatregel verkleint de blootstelling; ze ontslaat u niet van de beoordeling van de gevolgen van de doorgifte of van de menselijke controle daarbij.

Lokale en zero-knowledge-verwerking lossen de locatie op, niet elke sectorregel. Gegevens op uw eigen machines houden beantwoordt de grensoverschrijdende vraag helder, maar SGB V, het Zwitserse bankgeheim en de richtsnoeren van de BfDI stellen eisen die verder gaan dan de plek waar de bytes staan. Beschouw het vierniveaumodel als beginkader en laat sectorspecifieke verplichtingen bevestigen door een jurist.

De architectuur van de leverancier is noodzakelijk, maar niet voldoende. Zelfs bij een perfect gevestigde zero-knowledge-leverancier blijft u als verwerkingsverantwoordelijke verantwoordelijk voor rechtsgrond, DPIA's en documentatie. De tool ondersteunt conformiteit op het gebied van soevereiniteit; ze kan er niet het geheel van zijn.

anonym.legal verwerkt tekst in in de EU gelegen datacenters van Hetzner (Falkenstein); zero-knowledge geldt voor de aanmelding, zodat uw wachtwoord uw apparaat nooit verlaat. Hebt u uitsluitend lokale verwerking nodig? Ons zusterproduct anonym.plus draait volledig op uw apparaat; de Desktop-app van anonym.legal leest bestanden op uw apparaat; de detectie draait op de in de EU gehoste API.

Bronnen

• Ierse DPC: besluit over de TikTok-boete van €530 miljoen — VERIFIED-EXTERNAL
• Wire: digitale soevereiniteit 2025 — VERIFIED-EXTERNAL
• GDPR.eu Enforcement Tracker — VERIFIED-EXTERNAL