ISMS Copilot
Beveiliging

Transfer Impact Assessment (TIA) - BIJGEWERKT

ISMS Copilot heeft een Transfer Impact Assessment (TIA) uitgevoerd voor internationale gegevensoverdrachten naar de Verenigde Staten onder de vereisten van AVG Hoofdstuk V. Dit artikel legt de bevindingen van de beoordeling uit, de geïmplementeerde aanvullende maatregelen en hoe de Modus voor Geavanceerde Gegevensbescherming uw overdrachtsverplichtingen beïnvloedt.

Wat is een Transfer Impact Assessment

Onder de AVG en de Schrems II-uitspraak moeten organisaties die persoonsgegevens doorgeven naar landen buiten de EU/EER beoordelen of de wetgeving van het bestemmingsland voldoende bescherming biedt. Standard Contractual Clauses (SCC's) alleen zijn mogelijk niet voldoende—u moet evalueren of aanvullende waarborgen nodig zijn.

Een TIA evalueert:

  • Wetten in het bestemmingsland die de overheid toegang tot gegevens zouden kunnen geven

  • Of uw gegevensimporteur (subverwerker) aan die wetten onderworpen zou kunnen zijn

  • Technische en organisatorische maatregelen die de geïdentificeerde risico's beperken

  • Of de combinatie van SCC's + aanvullende maatregelen adequate bescherming biedt

Deze beoordeling is van toepassing wanneer de Modus voor Geavanceerde Gegevensbescherming UIT staat (standaard). Wanneer deze AAN staat, blijft AI-verwerking binnen de EU, wat de overdrachtverplichtingen aanzienlijk vereenvoudigt.

Monitoring EU-VS Data Privacy Framework

In juli 2023 heeft de Europese Commissie een adequaatheidsbesluit genomen voor het EU-VS Data Privacy Framework (DPF). ISMS Copilot vertrouwt echter niet uitsluitend op het DPF en implementeert aanvullende maatregelen onafhankelijk van adequaatheidsbesluiten.

Toezeggingsmonitoring DPF: ISMS Copilot controleert elk kwartaal op juridische uitdagingen tegen het EU-VS Data Privacy Framework. In het geval van wezenlijke juridische ontwikkelingen (bijv. CJEU-uitdaging, intrekking van het adequaatheidsbesluit, nieuwe EDPB-richtlijnen), zal deze TIA binnen 30 dagen worden herzien en bijgewerkt. Gebruikers worden via e-mail en productaankondigingen op de hoogte gebracht van materiële wijzigingen in overdrachtsmechanismen.

Organisaties moeten toezien op eventuele uitdagingen voor het DPF (vergelijkbaar met de Schrems I/II-besluiten).

De TIA van ISMS Copilot: in de VS gevestigde AI-providers

Reikwijdte van de beoordeling

ISMS Copilot heeft een Transfer Impact Assessment uitgevoerd voor in de VS gevestigde subverwerkers die worden gebruikt wanneer de Modus voor Geavanceerde Gegevensbescherming is uitgeschakeld:

  • Anthropic (Claude) [STANDAARD]: Verwerking van AI-gesprekken

  • OpenAI: Verwerking van AI-gesprekken en documentanalyse

  • xAI (Grok): Verwerking van AI-gesprekken

  • Google Gemini: Verwerking van AI-gesprekken

  • SendGrid (Twilio): Levering van transactionele e-mails

  • Kit (ConvertKit): Onboarding- en productupdate-e-mails

Opmerking: Anthropic (Claude) is de standaard AI-provider wanneer de Modus voor Geavanceerde Gegevensbescherming UIT staat. Gebruikers kunnen alternatieve providers selecteren (OpenAI, xAI of Google Gemini) via de instellingen.

Juridisch Kader: Toegang door de Amerikaanse Overheid

De TIA evalueerde Amerikaanse surveillancewetten die toegang door de overheid zouden kunnen toestaan:

FISA Sectie 702

  • Staat Amerikaanse inlichtingendiensten toe om Amerikaanse bedrijven te dwingen communicatie van niet-Amerikaanse personen te verstrekken

  • Geldt voor "aanbieders van elektronische communicatiediensten"

  • Targeting moet plaatsvinden voor doeleinden van buitenlandse inlichtingen

Executive Order 12333

  • Regelt activiteiten van buitenlandse inlichtingendiensten

  • Kan het onderscheppen van gegevens tijdens transport toestaan

CLOUD Act

  • Stelt Amerikaanse wetshandhaving in staat om openbaarmaking van gegevens te dwingen die in handen zijn van Amerikaanse bedrijven, zelfs als deze in het buitenland zijn opgeslagen

  • Vereist een juridische procedure (bevel of dagvaarding)

Bevindingen van de Risicobeoordeling

De TIA van ISMS Copilot concludeerde dat de risico's worden beperkt door de volgende factoren:

Aard van de Verwerkte Gegevens

  • Vragen gerelateerd aan compliance en beleidsconcepten

  • Over het algemeen geen communicatie-inhoud die gericht is op FISA 702

  • Onwaarschijnlijk dat de drempel voor "buitenlandse inlichtingen" voor targeting wordt gehaald

Beperkte Bewaring door AI-providers

  • xAI/OpenAI: 30 dagen bewaring, uitsluitend voor monitoring van misbruik

  • Niet permanent opgeslagen of geïndexeerd voor inlichtingendoeleinden

  • Contractueel verbod op het gebruik van gegevens voor modeltraining

End-to-end Versleuteling

  • TLS 1.3-versleuteling beschermt gegevens tijdens transport

  • Vermindert het risico op bulkonderschepping onder EO 12333

Geen Bewijs van Overheidsverzoeken

  • xAI, OpenAI en e-mailproviders hebben niet gerapporteerd dat zij verzoeken om overheidstoegang hebben ontvangen voor klantgegevens van ISMS Copilot

  • Transparantierapporten tonen gerichte verzoeken van wetshandhaving, geen bulksurveillance

Aanvullende Maatregelen

Naast Standard Contractual Clauses implementeert ISMS Copilot deze aanvullende technische en organisatorische maatregelen:

Technische Maatregelen

  • Versleuteling in transit: TLS 1.3 voor alle gegevensoverdrachten

  • Versleuteling in rust: EU-database versleuteld met AES-256

  • Beperkte bewaring: 30 dagen AI-provider cache versus permanente opslag

  • Door gebruiker gecontroleerde bewaring: Klanten stellen hun eigen bewaartermijnen in (1 dag tot 7 jaar)

  • PII-reductiemodus: Optionele client-side anonimisering van persoonsgegevens vóór AI-verwerking

Contractuele Maatregelen

  • Geen training op gegevens: AI-providers is het contractueel verboden om klantgegevens te gebruiken voor modeltraining

  • Standard Contractual Clauses: Door de Europese Commissie goedgekeurde SCC's met alle Amerikaanse subverwerkers

  • Alleen misbruikmonitoring: 30 dagen bewaring beperkt tot het detecteren van platformmisbruik, niet voor commercieel gebruik

Maatregelen voor Gebruikerscontrole

  • Modus voor Geavanceerde Gegevensbescherming: Gebruikers kunnen overschakelen naar verwerking uitsluitend in de EU (Mistral AI, geen bewaring) om overdrachten naar de VS volledig te vermijden

  • Workspace-isolatie: Klantgegevens worden gescheiden om blootstelling in een enkel verzoek te beperken

  • Dataminimalisatie: Alleen essentiële gegevens worden verzameld; geen demografische of onnodige persoonlijke informatie

De combinatie van SCC's, versleuteling, beperkte bewaring en gebruikerscontrole biedt adequate bescherming voor compliance-gerelateerde gegevensoverdrachten naar Amerikaanse AI-providers. Schakel voor maximale bescherming de Modus voor Geavanceerde Gegevensbescherming in.

Hoe de Modus voor Geavanceerde Gegevensbescherming de TIA-verplichtingen verandert

Standaardmodus (Geavanceerde Gegevensbescherming UIT)

Wanneer Geavanceerde Gegevensbescherming is uitgeschakeld:

  • AI-verwerkingslocatie: Verenigde Staten (Anthropic Claude [STANDAARD], OpenAI, xAI of Google Gemini - door gebruiker te selecteren)

  • Overdrachtsmechanisme: Standard Contractual Clauses + aanvullende maatregelen

  • TIA-vereiste: Organisaties die onderworpen zijn aan de AVG moeten een eigen TIA uitvoeren of vertrouwen op de TIA van ISMS Copilot

  • Bewaring door AI-providers: 30 dagen (tijdelijke cache voor misbruikmonitoring)

  • E-mailoverdrachten: Vinden nog steeds plaats naar Amerikaanse providers (SendGrid/Kit), ongeacht de AI-instelling

Als u de standaardmodus gebruikt voor het verwerken van persoonsgegevens van EU-ingezetenen, documenteer deze overdracht dan in uw Register van Verwerkingsactiviteiten en vertrouw op de TIA van ISMS Copilot of voer uw eigen beoordeling uit.

Geavanceerde Gegevensbescherming AAN (Alleen EU-modus)

Wanneer Geavanceerde Gegevensbescherming is ingeschakeld:

  • AI-verwerkingslocatie: Europese Unie (Mistral AI, Frankfurt)

  • Overdrachtsmechanisme: Geen internationale overdracht voor AI-verwerking (EU-naar-EU)

  • TIA-vereiste: Niet vereist voor AI-verwerking (geen overdracht buiten EU/EER)

  • Bewaring door AI-provider: Nul-bewaring—gegevens worden realtime verwerkt en weggegooid

  • E-mailoverdrachten: Vinden nog steeds plaats naar Amerikaanse providers (SendGrid/Kit); TIA is nog steeds vereist voor e-mails

De Modus voor Geavanceerde Gegevensbescherming elimineert de noodzaak voor een TIA voor AI-verwerking, wat de AVG-compliance aanzienlijk vereenvoudigt. E-mailoverdrachten naar Amerikaanse providers blijven echter bestaan en vereisen nog steeds een beoordeling.

E-mailoverdrachten blijven bestaan ongeacht de modus

Zelfs als Geavanceerde Gegevensbescherming is ingeschakeld, houden e-mailcommunicaties overdrachten naar de VS in:

  • SendGrid (Twilio): Transactionele e-mails (accountverificatie, wachtwoordherstel, beveiligingswaarschuwingen)

  • Kit (ConvertKit): Onboarding-series en productupdates (optioneel, gebruiker kan zich uitschrijven)

  • Overgedragen gegevens: E-mailadressen, betrokkenheidsgegevens (geopend, geklikt), metadata van berichten

  • Waarborgen: Standard Contractual Clauses, versleuteling in transit, AVG-conforme DPA's

Om e-mailoverdrachten te minimaliseren, kunnen gebruikers zich afmelden voor niet-essentiële communicatie.

Uw eigen TIA uitvoeren

Wanneer u uw eigen beoordeling nodig heeft

Organisaties moeten hun eigen TIA uitvoeren als:

  • U bijzondere categorieën gegevens (Artikel 9 AVG) verwerkt via ISMS Copilot

  • Uw risicotolerantie afwijkt van de beoordeling van ISMS Copilot

  • Uw gegevensbeschermingsautoriteit organisatiespecifieke TIA's vereist

  • Klantcontracten onafhankelijke overdrachtsbeoordelingen verplicht stellen

  • U grote volumes persoonsgegevens van EU-ingezetenen verwerkt

Kernvragen voor uw TIA

Houd bij het uitvoeren van uw eigen beoordeling rekening met:

Gevoeligheid van Gegevens

  • Welke soorten persoonsgegevens uploadt u?

  • Bevat het bijzondere categorieën gegevens (gezondheid, biometrisch, politieke opvattingen)?

  • Hoe zou ongeautoriseerde toegang door de overheid de betrokkenen schaden?

Waarschijnlijkheid van Toegang

  • Zouden uw compliance-gegevens kunnen voldoen aan de drempel voor "buitenlandse inlichtingen" onder FISA 702?

  • Zijn u of uw klanten potentiële doelwitten van overheidssurveillance?

  • Behandelt u gegevens met betrekking tot nationale veiligheid, terrorisme of georganiseerde misdaad?

Aanvullende Maatregelen

  • Zijn de technische maatregelen van ISMS Copilot (versleuteling, beperkte bewaring) voldoende voor uw use-case?

  • Moet u de Modus voor Geavanceerde Gegevensbescherming inschakelen voor verwerking uitsluitend in de EU?

  • Moet u de PII-reductiemodus inschakelen om persoonsgegevens te anonimiseren vóór AI-verwerking?

  • Heeft u extra anonimisering nodig voordat u documenten uploadt?

Alternatieve Oplossingen

  • Als risico's niet kunnen worden beperkt, kunt u de overdracht vermijden door de Modus voor Geavanceerde Gegevensbescherming in te schakelen?

  • Kunt u gegevens anonimiseren voordat u ISMS Copilot gebruikt?

  • Moet u het gebruik van ISMS Copilot beperken tot uitsluitend niet-persoonlijke gegevens?

Bronnen voor uw TIA

Beslissingsgids: Welke modus moet u gebruiken

Gebruik Modus voor Geavanceerde Gegevensbescherming (Alleen EU) wanneer:

  • Uw organisatie verplichte EU-dataresidentievereisten heeft

  • U persoonsgegevens van EU-ingezetenen behandelt en de TIA-naleving wilt vereenvoudigen

  • Klantcontracten gegevensverwerking in de VS verbieden

  • U bijzondere categorieën gegevens (Artikel 9 AVG) verwerkt

  • Uw gegevensbeschermingsautoriteit verwerking uitsluitend in de EU vereist

  • Uw risicobeoordeling concludeert dat overdrachten naar de VS onacceptabele risico's met zich meebrengen

  • U een nul-bewaring van de AI-provider wilt voor maximale privacy

Compliance-consultants die met Europese klanten werken, zouden standaard de Modus voor Geavanceerde Gegevensbescherming moeten gebruiken om te voldoen aan strikte soevereiniteitsvereisten en de AVG-compliance te vereenvoudigen.

De Standaardmodus kan acceptabel zijn wanneer:

  • U alleen compliance-documentatie zonder persoonsgegevens verwerkt

  • Uw TIA concludeert dat aanvullende maatregelen adequate bescherming bieden

  • U niet onderworpen bent aan de AVG (niet-EU organisatie, geen EU-betrokkenen)

  • U alleen niet-gevoelige compliance-inhoud behandelt (generiek beleid, kaders)

  • 30 dagen bewaring door de AI-provider acceptabel is onder uw beleid

Overdrachten documenteren in uw ROPA

Als u ISMS Copilot gebruikt om persoonsgegevens te verwerken, documenteer dit dan in uw Register van Verwerkingsactiviteiten:

Standaardmodus (Geavanceerde Gegevensbescherming UIT)

  • Subverwerkers: ISMS Copilot (EU), xAI (VS), OpenAI (VS), SendGrid (VS), Kit (VS)

  • Overdrachtbestemmingen: Verenigde Staten

  • Overdrachtsmechanismen: Standard Contractual Clauses, versleuteling, beperkte bewaring

  • TIA-referentie: "Vertrouwt op de Transfer Impact Assessment van ISMS Copilot gedateerd [datum]" of "Interne TIA uitgevoerd op [datum]"

Modus voor Geavanceerde Gegevensbescherming (AAN)

  • Subverwerkers: ISMS Copilot (EU), Mistral AI (EU), SendGrid (VS), Kit (VS)

  • Overdrachtbestemmingen: Verenigde Staten (alleen e-mail)

  • Overdrachtsmechanismen: Standard Contractual Clauses voor e-mailproviders

  • TIA-referentie: "AI-verwerking vindt plaats in de EU (geen overdracht); e-mailoverdrachten gedekt door SCC's"

Zie ISMS Copilot's Register van Verwerkingsactiviteiten voor een sjabloon dat u kunt gebruiken.

Best Practices

Voor EU-organisaties

  • Schakel standaard de Modus voor Geavanceerde Gegevensbescherming in om TIA-complexiteit te vermijden

  • Documenteer ISMS Copilot in uw ROPA met de juiste subverwerkergegevens

  • Informeer betrokkenen dat u AI-tools gebruikt voor compliance-verwerking (privacyverklaring)

  • Anonimiseer persoonsgegevens vóór het uploaden waar mogelijk

  • Voer een DPIA uit bij het verwerken van bijzondere gegevenscategorieën of grootschalige persoonsgegevens

Voor Compliance-consultants

  • Beoordeel de dataresidentievereisten van elke klant voordat u een modus kiest

  • Maak aparte workspaces per klant om gegevens te isoleren

  • Neem ISMS Copilot op als subverwerker in de DPA's van uw klanten

  • Informeer klanten over de modus die u gebruikt en waarom

  • Schakel PII-reductiemodus in voor extra bescherming bij het behandelen van auditrapporten met namen van werknemers

Overdrachtsrisico's minimaliseren

  • Schakel Modus voor Geavanceerde Gegevensbescherming in: Elimineert overdrachten voor AI-verwerking volledig

  • Schakel PII-reductiemodus in: Anonimiseert persoonsgegevens voordat deze AI-providers bereiken

  • Afmelden voor niet-essentiële e-mails: Vermindert overdrachten naar e-mailproviders

  • Stel korte bewaartermijnen in: Beperkt hoe lang gegevens worden bewaard

  • Anonimiseer voor upload: Verwijder of pseudonimiseer persoonlijke identificatoren

Veelgestelde Vragen

Moet ik mijn eigen TIA uitvoeren als ik ISMS Copilot gebruik?

Dat hangt ervan af. Als u de standaardmodus gebruikt en persoonsgegevens van EU-ingezetenen verwerkt, moet u ofwel uw eigen TIA uitvoeren of uw afhankelijkheid van de beoordeling van ISMS Copilot documenteren. Als u de Modus voor Geavanceerde Gegevensbescherming inschakelt, blijft de AI-verwerking in de EU en is er geen TIA vereist (hoewel voor e-mailoverdrachten nog wel).

Elimineert de Modus voor Geavanceerde Gegevensbescherming alle overdrachtsverplichtingen volledig?

Nee. Het elimineert overdrachten voor AI-verwerking, maar e-mailcommunicatie verloopt nog steeds via in de VS gevestigde providers (SendGrid, Kit). Deze e-mailoverdrachten blijven onderworpen aan de vereisten van AVG Hoofdstuk V en moeten worden gedocumenteerd in uw ROPA.

Wat als mijn gegevensbeschermingsautoriteit de TIA van ISMS Copilot afwijst?

Als uw autoriteit concludeert dat overdrachten naar de VS onacceptabele risico's met zich meebrengen, schakel dan de Modus voor Geavanceerde Gegevensbescherming in om AI-workloads uitsluitend in de EU te verwerken. Dit neemt de noodzaak voor een TIA op AI-verwerking weg.

Kan ik ISMS Copilot gebruiken voor bijzondere categorieën gegevens?

Ja, maar met voorzorgsmaatregelen. Schakel de Modus voor Geavanceerde Gegevensbescherming in voor verwerking uitsluitend in de EU, schakel de PII-reductiemodus in, stel korte bewaartermijnen in en voer een Data Protection Impact Assessment (DPIA) uit zoals vereist door Artikel 35 AVG. Zorg dat u een wettelijke basis heeft onder Artikel 9.

Hoe vaak moet ik mijn TIA herzien?

Herzie uw TIA telkens wanneer:

  • ISMS Copilot van subverwerkers of gegevensstromen verandert

  • De Amerikaanse surveillancewetgeving verandert

  • Uw gegevensbeschermingsautoriteit nieuwe richtlijnen uitgeeft

  • De aard of het volume van de gegevens die u verwerkt aanzienlijk verandert

Waar kan ik de Standard Contractual Clauses van ISMS Copilot vinden?

SCC's zijn opgenomen in de overeenkomsten met subverwerkers. Neem contact op met support via het Helpcenter om kopieën van SCC's op te vragen voor uw leveranciersbeoordeling of auditdoeleinden.

Gerelateerde Bronnen

Hulp krijgen

Voor vragen over transfer impact assessments of internationale gegevensoverdrachten:

  • Bekijk de Verwerkersovereenkomst voor juridische overdrachtsmechanismen

  • Neem contact op met support via het Helpcenter voor TIA-documentatie of SCC-kopieën

  • Vermeld "TIA Request" of "Transfer Impact Assessment" in uw onderwerpsregel

  • Bezoek de Security Collection voor uitgebreide compliance-documentatie

Was dit nuttig?