Transfer Impact Assessment - Anthropic overal toegevoegd

ISMS Copilot heeft een Transfer Impact Assessment (TIA) uitgevoerd voor internationale gegevensdoorgiften naar de Verenigde Staten onder de vereisten van Hoofdstuk V van de AVG. Dit artikel legt de bevindingen van de beoordeling uit, de aanvullende maatregelen die zijn geïmplementeerd en hoe de Advanced Data Protection Mode van invloed is op uw doorgifteverplichtingen.

Wat is een Transfer Impact Assessment?

Onder de AVG en de Schrems II-uitspraak moeten organisaties die persoonsgegevens doorgeven naar landen buiten de EU/EER beoordelen of de wetgeving van het land van bestemming adequate bescherming biedt. Standard Contractual Clauses (SCC's) alleen zijn mogelijk niet voldoende — u moet evalueren of aanvullende waarborgen nodig zijn.

Een TIA evalueert:

• Wetten in het land van bestemming die de overheid toegang tot gegevens zouden kunnen geven

• Of uw gegevensimporteur (subverwerker) aan die wetten onderworpen zou kunnen zijn

• Technische en organisatorische maatregelen die geïdentificeerde risico's beperken

• Of de combinatie van SCC's + aanvullende maatregelen adequate bescherming biedt

TIA van ISMS Copilot: Doorgiften van AI-aanbieders

ISMS Copilot onderhoudt een Transfer Impact Assessment voor internationale gegevensdoorgiften. De huidige routering van AI-aanbieders is gedocumenteerd in de canonieke juridische documenten in ons Trust Center:

Voor de volledige lijst met subverwerkers met locaties en retentiedetails, zie:

• Verwerkersovereenkomst (Trust Center)

• Register van Verwerkingsactiviteiten (Trust Center)

Deze canonieke documenten worden bijgewerkt telkens wanneer de regelingen met AI-aanbieders wijzigen.

Hoe de Advanced Data Protection Mode de TIA-verplichtingen verandert

Standaardmodus (Advanced Data Protection UIT)

Wanneer Advanced Data Protection is uitgeschakeld:

• Locatie van AI-verwerking: Verenigde Staten (xAI, OpenAI, Anthropic)

• Doorgiftemechanisme: Standard Contractual Clauses + aanvullende maatregelen

• TIA-vereiste: Organisaties die onder de AVG vallen, moeten een TIA uitvoeren of vertrouwen op de TIA van ISMS Copilot

• Retentie door AI-aanbieders: 30 dagen (tijdelijke cache voor misbruikmonitoring)

• E-maildoorgiften: Vinden nog steeds plaats naar Amerikaanse aanbieders (SendGrid/Kit), ongeacht de AI-instelling

Advanced Data Protection AAN (EU-Only Mode)

Wanneer Advanced Data Protection is ingeschakeld:

• Locatie van AI-verwerking: Europese Unie (Mistral AI, Frankfurt)

• Doorgiftemechanisme: Geen internationale doorgifte voor AI-verwerking (EU-naar-EU)

• TIA-vereiste: Niet vereist voor AI-verwerking (geen doorgifte buiten EU/EER)

• Retentie door AI-aanbieder: Nul retentie — gegevens worden in realtime verwerkt en verwijderd

• E-maildoorgiften: Vinden nog steeds plaats naar Amerikaanse aanbieders (SendGrid/Kit); TIA nog steeds vereist voor e-mails

E-maildoorgiften blijven bestaan ongeacht de modus

Zelfs met Advanced Data Protection ingeschakeld, omvat e-mailcommunicatie doorgiften naar de VS:

• SendGrid (Twilio): Transactionele e-mails (accountverificatie, wachtwoordherstel, beveiligingswaarschuwingen)

• Kit (ConvertKit): Onboarding-reeksen en productupdates (optioneel, gebruiker kan zich afmelden)

• Doorgegeven gegevens: E-mailadressen, betrokkenheidsgegevens (geopende e-mails, klikken), metagegevens van berichten

• Waarborgen: Standard Contractual Clauses, versleuteling tijdens transport, AVG-conforme DPA's

Om e-maildoorgiften te minimaliseren, kunnen gebruikers zich afmelden voor niet-essentiële communicatie.

Uw eigen TIA uitvoeren

Wanneer u uw eigen beoordeling nodig heeft

Organisaties moeten hun eigen TIA uitvoeren als:

• U bijzondere categorieën gegevens verwerkt (Artikel 9 AVG) via ISMS Copilot

• Uw risicotolerantie verschilt van de beoordeling van ISMS Copilot

• Uw gegevensbeschermingsautoriteit organisatiespecifieke TIA's vereist

• Contracten met klanten onafhankelijke doorgiftebeoordelingen voorschrijven

• U grote hoeveelheden persoonsgegevens van EU-ingezetenen verwerkt

Kernvragen voor uw TIA

Houd bij het uitvoeren van uw eigen beoordeling rekening met:

Gevoeligheid van gegevens

• Welke soorten persoonsgegevens uploadt u?

• Bevat het bijzondere categorieën gegevens (gezondheid, biometrie, politieke opvattingen)?

• Hoe zou ongeoorloofde toegang door de overheid de betrokkenen schaden?

Waarschijnlijkheid van toegang

• Zouden uw nalevingsgegevens de drempel voor "buitenlandse inlichtingen" onder FISA 702 kunnen halen?

• Bent u of zijn uw klanten potentiële doelwitten van overheidstoezicht?

• Behandelt u gegevens met betrekking tot nationale veiligheid, terrorisme of georganiseerde misdaad?

Aanvullende maatregelen

• Zijn de technische maatregelen van ISMS Copilot (versleuteling, beperkte retentie) voldoende voor uw use-case?

• Moet u de Advanced Data Protection Mode inschakelen voor verwerking alleen binnen de EU?

• Moet u de PII Reduction Mode inschakelen om persoonsgegevens te anonimiseren vóór AI-verwerking?

• Heeft u extra anonimisering nodig voordat u documenten uploadt?

Alternatieve oplossingen

• Als risico's niet kunnen worden beperkt, kunt u de doorgifte dan vermijden door de Advanced Data Protection Mode in te schakelen?

• Kunt u gegevens anonimiseren voordat u ISMS Copilot gebruikt?

• Moet u het gebruik van ISMS Copilot beperken tot uitsluitend niet-persoonlijke gegevens?

Bronnen voor uw TIA

• UK ICO: Transfer Risk Assessments

• EDPB-aanbevelingen 01/2020 over aanvullende maatregelen

• CNIL: Hoe voer je een Transfer Impact Assessment uit

• ISMS Copilot Verwerkersovereenkomst (Sectie 3: Internationale gegevensdoorgiften)

• Register van Verwerkingsactiviteiten voor gedetailleerde informatie over subverwerkers

Beslisgids: Welke modus moet u gebruiken?

Gebruik de Advanced Data Protection Mode (EU-Only) wanneer:

• Uw organisatie verplichte EU-datacentralisatievereisten heeft

• U persoonsgegevens van EU-ingezetenen verwerkt en de TIA-naleving wilt vereenvoudigen

• Contracten met klanten gegevensverwerking in de VS verbieden

• U bijzondere categorieën gegevens verwerkt (Artikel 9 AVG)

• Uw gegevensbeschermingsautoriteit verwerking alleen binnen de EU vereist

• Uw risicobeoordeling concludeert dat doorgiften naar de VS onaanvaardbare risico's inhouden

• U nul retentie bij de AI-aanbieder wilt voor maximale privacy

De standaardmodus kan acceptabel zijn wanneer:

• U alleen nalevingsdocumentatie zonder persoonsgegevens verwerkt

• Uw TIA concludeert dat aanvullende maatregelen adequate bescherming bieden

• U niet onderworpen bent aan de AVG (niet-EU organisatie, geen EU-betrokkenen)

• U alleen niet-gevoelige nalevingsinhoud behandelt (generieke beleidsregels, kaders)

• Een retentieperiode van 30 dagen door de AI-aanbieder acceptabel is volgens uw beleid

Doorgiften documenteren in uw ROPA

Als u ISMS Copilot gebruikt om persoonsgegevens te verwerken, documenteer dit dan in uw Register van Verwerkingsactiviteiten (ROPA):

Standaardmodus (Advanced Data Protection UIT)

• Subverwerkers: ISMS Copilot (EU), xAI (VS), OpenAI (VS), SendGrid (VS), Kit (VS)

• Bestemmingen van doorgifte: Verenigde Staten

• Doorgiftemechanismen: Standard Contractual Clauses, versleuteling, beperkte retentie

• TIA-referentie: "Vertrouwend op de Transfer Impact Assessment van ISMS Copilot van [datum]" of "Interne TIA uitgevoerd op [datum]"

Advanced Data Protection Mode (AAN)

• Subverwerkers: ISMS Copilot (EU), Mistral AI (EU), SendGrid (VS), Kit (VS)

• Bestemmingen van doorgifte: Verenigde Staten (alleen e-mail)

• Doorgiftemechanismen: Standard Contractual Clauses voor e-mailproviders

• TIA-referentie: "AI-verwerking vindt plaats in de EU (geen doorgifte); e-maildoorgiften gedekt door SCC's"

Zie het Register van Verwerkingsactiviteiten van ISMS Copilot voor een sjabloon dat u kunt raadplegen.

Best practices

Voor EU-organisaties

• Schakel de Advanced Data Protection Mode standaard in om TIA-complexiteit te vermijden

• Documenteer ISMS Copilot in uw ROPA met de juiste details van subverwerkers

• Informeer betrokkenen dat u AI-tools gebruikt voor nalevingsverwerking (privacyverklaring)

• Anonimiseer persoonsgegevens voordat u ze uploadt, indien mogelijk

• Voer een DPIA uit bij het verwerken van bijzondere categorieën gegevens of grootschalige persoonsgegevens

Voor nalevingsconsultants

• Beoordeel de vereisten voor datacentralisatie van elke klant voordat u een modus kiest

• Maak aparte workspaces per klant om gegevens te isoleren

• Neem ISMS Copilot op als subverwerker in de DPA's van uw klanten

• Informeer klanten over de modus die u gebruikt en waarom

• Schakel de PII Reduction Mode in voor extra bescherming bij het verwerken van auditrapporten met namen van werknemers

Doorgifterisico's minimaliseren

• Schakel de Advanced Data Protection Mode in: Elimineert doorgiften voor AI-verwerking volledig

• Schakel de PII Reduction Mode in: Anonimiseer persoonsgegevens voordat deze AI-aanbieders bereiken

• Afmelden voor niet-essentiële e-mails: Vermindert doorgiften via e-mailproviders

• Stel korte retentieperiodes in: Beperkt hoe lang gegevens worden opgeslagen

• Anonimiseer vóór upload: Verwijder of pseudonimiseer persoonlijke identificatoren

Veelgestelde vragen

Moet ik mijn eigen TIA uitvoeren als ik ISMS Copilot gebruik?

Dat hangt ervan af. Als u de standaardmodus gebruikt en persoonsgegevens van EU-ingezetenen verwerkt, moet u ofwel uw eigen TIA uitvoeren of uw vertrouwen op de beoordeling van ISMS Copilot documenteren. Als u de Advanced Data Protection Mode inschakelt, blijft de AI-verwerking in de EU en is er geen TIA vereist (hoewel dit voor e-maildoorgiften nog wel het geval is).

Elimineert de Advanced Data Protection Mode de doorgifteverplichtingen volledig?

Nee. Het elimineert doorgiften voor AI-verwerking, maar e-mailcommunicatie verloopt nog steeds via Amerikaanse aanbieders (SendGrid, Kit). Deze e-maildoorgiften blijven onderworpen aan de vereisten van Hoofdstuk V van de AVG en moeten worden gedocumenteerd in uw ROPA.

Wat als mijn gegevensbeschermingsautoriteit de TIA van ISMS Copilot afwijst?

Als uw gegevensbeschermingsautoriteit concludeert dat doorgiften naar de VS onaanvaardbare risico's inhouden, schakel dan de Advanced Data Protection Mode in om AI-workloads uitsluitend in de EU te verwerken. Dit neemt de noodzaak voor een TIA voor AI-verwerking weg.

Kan ik ISMS Copilot gebruiken voor bijzondere categorieën gegevens?

Ja, maar met voorzorgsmaatregelen. Schakel de Advanced Data Protection Mode in voor verwerking alleen binnen de EU, schakel de PII Reduction Mode in, stel korte retentieperiodes in en voer een Data Protection Impact Assessment (DPIA) uit zoals vereist door Artikel 35 AVG. Zorg ervoor dat u een wettelijke grondslag heeft onder Artikel 9.

Hoe vaak moet ik mijn TIA herzien?

Herzie uw TIA telkens wanneer:

• ISMS Copilot subverwerkers of gegevensstromen wijzigt

• De Amerikaanse surveillancewetgeving verandert

• Uw gegevensbeschermingsautoriteit nieuwe richtlijnen uitgeeft

• De aard of het volume van de gegevens die u verwerkt aanzienlijk verandert

Waar kan ik de Standard Contractual Clauses van ISMS Copilot vinden?

SCC's zijn opgenomen in de overeenkomsten met subverwerkers. Neem contact op met de ondersteuning via het Helpcenter om kopieën van de SCC's aan te vragen voor uw leveranciersbeoordeling of auditdoeleinden.

Gerelateerde bronnen

• Verwerkersovereenkomst (DPA) — Volledig juridisch kader voor gegevensverwerking door ISMS Copilot

• Advanced Data Protection Mode — Hoe verwerking alleen binnen de EU in te schakelen

• Overzicht van gegevenscontroles — Retentie, PII-reductie en privacy-instellingen

• Gegevensprivacy & AVG-naleving — Uw rechten en AVG-implementatie

• Register van Verwerkingsactiviteiten (ROPA) — Lijst met subverwerkers en verwerkingsdetails

Hulp krijgen

Voor vragen over transfer impact assessments of internationale gegevensdoorgiften:

• Raadpleeg de Verwerkersovereenkomst voor juridische doorgiftemechanismen

• Neem contact op met de ondersteuning via het Helpcenter voor TIA-documentatie of SCC-kopieën

• Vermeld "TIA Request" of "Transfer Impact Assessment" in uw onderwerpregel

• Bezoek de Security Collection for uitgebreide nalevingsdocumentatie