Een Zwitserse cloud AVG verwerkersovereenkomst derde land is een overeenkomst waarbij een Europese organisatie persoonsgegevens overdraagt aan een in Zwitserland gevestigde cloudprovider, waarbij Zwitserland juridisch gezien buiten de Europese Economische Ruimte valt en dus als derde land wordt behandeld onder de Algemene Verordening Gegevensbescherming. De keuze voor Zwitserse cloudopslag is populair geworden bij overheidsorganisaties, advocatenkantoren en andere gereguleerde sectoren die afstand willen nemen van Amerikaanse hyper-scalers, maar de AVG-compliance vereist meer dan alleen een contracthandtekening.
Zwitserland als derde land: de juridische basis voor gegevensdoorgifte
Zwitserland is geen EU-lidstaat en geen EER-lid, waardoor iedere doorgifte van persoonsgegevens vanuit een EU-organisatie naar een Zwitserse provider in beginsel onderhevig is aan de doorgifte-regels van AVG hoofdstuk V.
De Europese Commissie heeft voor Zwitserland een adequaatheidsbesluit afgegeven, oorspronkelijk in 2000 en sindsdien gehandhaafd. Dit besluit stelt vast dat Zwitserland een beschermingsniveau biedt dat in wezen gelijkwaardig is aan dat van de EU. Als gevolg hiervan is voor de doorgifte zelf geen aanvullend instrument vereist: de doorgifte is rechtmatig op grond van het adequaatheidsbesluit alleen.
Dit neemt echter niet weg dat de verwerkingsverantwoordelijke een volledige verwerkersovereenkomst moet sluiten conform AVG artikel 28. Die overeenkomst moet onder meer de verwerkingsdoeleinden, beveiligingsmaatregelen, rechten van betrokkenen en de subverwerkingsketen vastleggen. Het adequaatheidsbesluit regelt uitsluitend de rechtmatigheid van de doorgifte, niet de inhoud van de contractuele verplichtingen tussen verwerkingsverantwoordelijke en verwerker.
Vergelijking met de EU-US Data Privacy Framework
Het EU-Zwitserland adequaatheidsbesluit verschilt fundamenteel van regelingen zoals de EU-US Data Privacy Framework.
| Kenmerk | EU-Zwitserland adequaatheidsbesluit | EU-US Data Privacy Framework |
|---|---|---|
| Rechtsbasis | Structurele gelijkwaardigheid Zwitsers rechtsstelsel | Zelfcertificering door Amerikaanse bedrijven |
| Stabiliteit | Stabiel sinds 2000, meerdere beoordelingen doorstaan | Voorganger Privacy Shield vernietigd door HvJ EU in 2020 (Schrems II) |
| CLOUD Act-risico | Geen Amerikaans recht van toepassing op Zwitserse providers zonder VS-banden | Inherent aanwezig voor alle Amerikaanse providers |
| Toezichthouder | Federale Gegevensbeschermings- en Informatiecommissaris (FDPIC) | U.S. Department of Commerce en FTC |
Het grootste resterende juridische risico bij Zwitserse providers is niet het adequaatheidsbesluit zelf, maar de vraag of de specifieke provider Amerikaanse banden heeft. Heeft de Zwitserse provider een Amerikaanse moedermaatschappij, Amerikaanse investeerders met zeggenschapsrechten, of verwerkt zij data op servers die mede worden beheerd door een Amerikaanse entiteit, dan kan de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) alsnog van toepassing zijn. De CLOUD Act machtigt Amerikaanse autoriteiten om gegevens op te vragen bij aanbieders die onder Amerikaanse rechtsmacht vallen, ongeacht de fysieke locatie van de servers.
De Electronic Frontier Foundation (EFF) stelt hierover: “The CLOUD Act allows U.S. authorities to compel U.S.-based providers to disclose data stored abroad, regardless of where those servers are physically located.”
Hoe het Zwitsers recht CLOUD Act-verzoeken behandelt
Zwitsers recht biedt in beginsel stevige bescherming tegen directe gegevensuitlevering aan buitenlandse autoriteiten. Buiten het kader van een rechtshulpverdrag is het een Zwitserse provider verboden gegevens rechtstreeks aan buitenlandse overheden te verstrekken. Zwitserland heeft geen rechtshulpverdrag met de VS dat automatische gegevensuitlevering mogelijk maakt op basis van CLOUD Act-verzoeken.
Echter: de bescherming werkt alleen volledig als de Zwitserse provider ook daadwerkelijk buiten de Amerikaanse rechtsmacht valt. Providers als Proton AG (Geneva) en Tresorit (met Europese juridische structuur) zijn zo gestructureerd dat zij geen Amerikaanse moedermaatschappij hebben. Maar compliance officers moeten dit per geval verifiëren in de verwerkersovereenkomst en de corporate structuur van de aanbieder, niet afgaan op marketingclaims.
De revFADP: inhoud en betekenis voor Europese organisaties
De herziene Federale Wet op de Gegevensbescherming (revFADP) trad in werking op 1 september 2023 en vervangt de verouderde wet uit 1992. De revFADP brengt het Zwitserse gegevensbeschermingsrecht dichter bij de AVG. Kernpunten zijn: verplichte gegevensbeschermingseffectbeoordelingen bij hoog-risicoactiviteiten, meldplicht bij datalekken aan de FDPIC, expliciete rechten voor betrokkenen, en aansprakelijkheid voor subverwerkers.
Statistiek: De revFADP trad in werking op 1 september 2023, aldus de Federale Gegevensbeschermings- en Informatiecommissaris (FDPIC), en vervangt een wet die meer dan dertig jaar oud was.
Voor Europese organisaties betekent dit dat de inhoudelijke standaard voor gegevensverwerking door Zwitserse providers vergelijkbaar is geworden met die van de AVG. Dit versterkt de positie van het adequaatheidsbesluit en vermindert het risico dat dit besluit wordt ingetrokken wegens onvoldoende bescherming.
Sectoren die het meest profiteren van Zwitserse gegevenssouvereiniteit
Advocatenkantoren, notarissen en rechtbanken profiteren van het Zwitserse beroepsgeheim en de stabiele politieke neutraliteit. Zorginstellingen die met gezondheidsgegevens werken zoeken maximale jurisdictionele afstand van de VS. Overheidsorganisaties die NIS-2-verplichtingen moeten naleven, kiezen voor providers waarbij de subverwerkingsketen volledig buiten Amerikaans bereik valt. Financiële instellingen met grensoverschrijdende klantdata waarderen de combinatie van FDPIC-toezicht en Zwitserse bankgeheimwetgeving.
Contractuele en technische vereisten voor bijzondere categorieën persoonsgegevens
Voor bijzondere categorieën persoonsgegevens (gezondheid, religie, politieke opvatting, biometrie) geldt AVG artikel 9 als drempeleis: de verwerkingsgrondslag moet expliciet zijn, en de beveiligingsnorm is hoger dan voor gewone persoonsgegevens.
Bij gebruik van Zwitserse cloudopslag voor zulke gegevens zijn de volgende maatregelen doorslaggevend:
- End-to-end encryptie met klantbeheerde sleutels (BYOK, Bring Your Own Key): de provider heeft technisch geen toegang tot de plaintext. Dit is de meest effectieve technische bescherming tegen zowel datalekken als overheidsverzoeken aan de provider.
- Zero-knowledge architectuur: de provider kan de inhoud van bestanden structureel niet inzien, wat ook bescherming biedt bij een eventueel rechtshulpverzoek.
- Expliciete subverwerkerslijst in de verwerkersovereenkomst: iedere subverwerker moet zijn geïdentificeerd, met vermelding van land van vestiging en verwerkingsactiviteit. De verwerkingsverantwoordelijke moet toestemming geven voor nieuwe subverwerkers.
- Contractueel recht op audit: AVG artikel 28 lid 3 sub h vereist dat de verwerker alle informatie beschikbaar stelt die nodig is om naleving aan te tonen, inclusief het recht op audits of inspecties.
Beoordeling van de verwerkersovereenkomst van Zwitserse providers
Als compliance officer beoordeel je de verwerkersovereenkomst van een Zwitserse provider op minimaal vier lagen.
Eerste laag: rechtsbasis voor doorgifte. Bevestig dat het EU-Zwitserland adequaatheidsbesluit van de Europese Commissie nog van kracht is op het moment van verwerking. Overweeg aanvullend AVG artikel 46 standaardcontractbepalingen op te nemen als contractuele vangnetbepaling, zodat bij een eventuele intrekking van het adequaatheidsbesluit de doorgifte ononderbroken rechtmatig blijft.
Tweede laag: subverwerkingsketen. Analyseer alle subverwerkers, hun vestigingsland en hun eigen beveiligingscertificeringen (ISO 27001, SOC 2). Let specifiek op CDN-leveranciers, e-mailrouting, back-upopslag en klantenserviceplatforms. Providers als Proton AG en Tresorit publiceren subverwerkerslijsten; beoordeel die op volledigheid en geografische spreiding.
Derde laag: technische garanties. Controleer of de provider aantoonbaar geen toegang heeft tot onversleutelde klantdata. Vraag naar technische architectuurdocumentatie, niet alleen marketingmateriaal.
Vierde laag: reactie op overheidsbevelen. Een goede verwerkersovereenkomst bevat een clausule die de provider verplicht de verwerkingsverantwoordelijke onmiddellijk te informeren bij een overheidsbevel, voor zover juridisch toegestaan, en verplicht de provider om beschikbare rechtsmiddelen in te zetten alvorens gegevens te verstrekken.
De EDPB benadrukt in haar richtsnoeren over doorgiften naar derde landen: “The adequacy decision for Switzerland is one of the oldest and most stable adequacy decisions the EU has issued, but organisations must remember that adequacy does not mean equivalence in every detail.”
Statistiek: Cumulatieve AVG-boetes overschreden de 4,5 miljard euro wereldwijd per begin 2024, blijkt uit de GDPR Enforcement Tracker van CMS Law (2024). Dit illustreert dat toezichthouders actief handhaven en dat tekortkomingen in verwerkersovereenkomsten financieel consequent worden gevolgd.
Statistiek: De Europese Data Protection Board (EDPB) rapporteerde dat meer dan 160.000 datalekken werden gemeld bij EU-toezichthouders in de eerste drie jaar na inwerkingtreding van de AVG, wat de operationele realiteit van gegevensbeveiliging onderstreept (EDPB, 2021).
FAQ: Zwitserse cloud, AVG en verwerkersovereenkomsten
Is een verwerkersovereenkomst met een Zwitserse provider automatisch AVG-compliant dankzij het adequaatheidsbesluit?
Nee. Het adequaatheidsbesluit regelt uitsluitend de rechtmatigheid van de doorgifte. De verwerkingsverantwoordelijke blijft verplicht een volledige verwerkersovereenkomst conform AVG artikel 28 te sluiten, inclusief beveiligingseisen, subverwerkersregeling en auditrecht. Voor bijzondere categorieën persoonsgegevens gelden aanvullende technische en contractuele eisen.
Wat is het verschil tussen het EU-Zwitserland adequaatheidsbesluit en de EU-US Data Privacy Framework?
Het EU-Zwitserland adequaatheidsbesluit is gebaseerd op structurele gelijkwaardigheid van het Zwitserse rechtsstelsel en is stabiel gebleven sinds 2000. De EU-US Data Privacy Framework steunt op zelfcertificering door Amerikaanse bedrijven. De voorganger, het Privacy Shield, werd in 2020 vernietigd door het Hof van Justitie van de EU in het Schrems II-arrest. Het politieke en juridische risico van de Amerikaanse regeling is daarmee structureel hoger.
Biedt de revFADP bescherming tegen CLOUD Act-verzoeken?
Gedeeltelijk. Zwitsers recht verbiedt directe gegevensuitlevering aan buitenlandse autoriteiten buiten het rechtshulpverdrag. Maar als een Zwitserse provider een Amerikaanse moedermaatschappij heeft of anderszins onder de CLOUD Act-definitie van “control” valt, kan die bescherming worden doorbroken. De corporate structuur van de provider is daarmee een kritisch beoordelingscriterium.
Moeten AVG artikel 46-SCCs worden gebruikt naast het adequaatheidsbesluit voor Zwitserland?
In beginsel niet: het adequaatheidsbesluit volstaat als rechtsbasis. Maar veel compliance officers kiezen bewust voor een aanvullende laag van standaardcontractbepalingen als vangnet, met name voor hoog-risicogegevens of als buffer bij een toekomstige herziening van het adequaatheidsbesluit.
Welke technische maatregelen zijn minimaal vereist voor gezondheidsgegevens in een Zwitserse cloud?
End-to-end encryptie waarbij de sleutels uitsluitend bij de verwerkingsverantwoordelijke liggen (BYOK), een zero-knowledge architectuur, pseudonimisering van identificerende velden, en een subverwerkersketen waarvan alle leden aantoonbaar buiten Amerikaanse rechtsmacht vallen. Deze combinatie is noodzakelijk om AVG artikel 9 en de verhoogde norm van de revFADP na te leven.
