Ga naar de inhoud
Home/Gegevensbescherming & AVG

Samenwerken met een Servische ontwikkelpartner onder de AVG

HOW MUCH Labs is geregistreerd in Belgrado, Servië. De meeste van onze klanten zitten in de EU. Deze pagina legt precies uit wat dat betekent voor uw persoonsgegevens — inclusief het deel dat niet vanzelfsprekend is.

Geschreven voor de persoon in uw organisatie die een verwerker buiten de EER moet goedkeuren.

Het korte antwoord

Drie feiten, in de volgorde die telt

01

Servisch recht is gemodelleerd naar de AVG

De Servische gegevensbeschermingswetgeving is nauw gemodelleerd naar de AVG. De Wet bescherming persoonsgegevens (LPDP) is in 2018 aangenomen en is sinds 21 augustus 2019 van toepassing. De wet neemt veel van de kernbeginselen, rechtsgronden, verplichtingen voor verwerkingsverantwoordelijken en verwerkers en rechten van betrokkenen uit de AVG over, hoewel beide regimes niet identiek zijn. In juli 2026 is een ontwerp van een vervangende wet voor openbare consultatie gepubliceerd; totdat een nieuwe wet van toepassing is, blijft de LPDP het toepasselijke recht.

02

Servië heeft geen EU-adequaatheidsbesluit

Servië beschikt momenteel niet over een adequaatheidsbesluit van de Europese Commissie. Elke beperkte doorgifte van persoonsgegevens vanuit de EER aan ons heeft daarom een geldige doorgiftegrond uit hoofdstuk V nodig. Voor onze gebruikelijke opdrachten als verwerker is die grond de modelcontractbepalingen van de EU (SCC’s); de enge afwijkingen van artikel 49 zijn niet geschikt voor doorlopende, herhaalde doorgiften zoals ontwikkelwerk.

03

Doorgiftewaarborgen komen eerst

Wanneer een opdracht een doorgifte van persoonsgegevens aan ons naar een derde land inhoudt, treffen we de toepasselijke doorgiftesafeguards voordat de doorgifte begint. Voor onze gebruikelijke opdrachten als verwerker ondertekenen we de relevante module van de EU-SCC’s uit 2021, leggen we de verwerkingsvoorwaarden vast (waaronder, indien gebruikt, een verwerkersovereenkomst op grond van artikel 28) en verstrekken we de informatie die nodig is voor de doorgiftebeoordeling van de exporteur. Als uit die beoordeling blijkt dat aanvullende maatregelen nodig zijn, moeten ook die maatregelen worden getroffen. Dit is een juridisch waarborgenkader en geen vervanging voor de eigen beoordeling van de exporteur.

De wet die op ons van toepassing is

De Servische gegevensbeschermingswet is gemodelleerd naar de AVG

De Wet bescherming persoonsgegevens (Zakon o zaštiti podataka o ličnosti, „LPDP”) is op 9 november 2018 aangenomen en is sinds 21 augustus 2019 van toepassing. Ze is opgesteld in het kader van Servië’s toetredingsverplichtingen tot de EU en volgt de begrippen van de AVG nauw — beginselen, rechtsgronden, rechten van betrokkenen, privacy by design, datalekmelding, DPIA’s, functionarissen voor gegevensbescherming en doorgifteregels.1,2 (Bronnen)

De wet neemt ook regels over uit de EU-richtlijn rechtshandhaving (2016/680) in dezelfde bepalingen die de gewone verwerking regelen, waardoor ze anders is ingedeeld dan de AVG.3,4,11 (Bronnen)

AVG-begrip → behandeling onder Servisch recht
Het instrument
Wet bescherming persoonsgegevens (LPDP)

Officieel blad van de Republiek Servië nr. 87/2018. Aangenomen op 9 november 2018, in werking getreden op 21 november 2018, van toepassing vanaf 21 augustus 2019. In juli 2026 is een ontwerp van een vervangende wet voor consultatie gepubliceerd.

Toezichthouder
Commissaris voor informatie van openbaar belang en bescherming van persoonsgegevens

Onafhankelijke autoriteit met onderzoeks-, advies- en corrigerende bevoegdheden, waaronder waarschuwingen, bevelen tot herstel van onregelmatigheden, tijdelijke verwerkingsverboden en bevelen tot wissing van onrechtmatig verzamelde gegevens. Zij kan zelf alleen een vaste boete opleggen voor bepaalde overtredingen; alle andere boetes worden opgelegd door de rechtbanken voor overtredingen (prekršajni sud).

Rechtsgronden
Nauw afgestemd op de AVG

Toestemming, overeenkomst, wettelijke verplichting, vitaal belang, algemeen belang en gerechtvaardigd belang — dezelfde zes gronden als artikel 6 AVG.

Bijzondere categorieën van gegevens
Nauw afgestemd op de AVG

Verwerking in beginsel verboden, onderworpen aan een enge set uitzonderingen die vergelijkbaar is met die in artikel 9 AVG.

Rechten van betrokkenen
Nauw afgestemd op de AVG

Inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en bescherming tegen uitsluitend geautomatiseerde besluitvorming.

Verwerkingsverantwoordelijke / verwerker
Nauw afgestemd op de AVG

Een onderscheid tussen verwerkingsverantwoordelijke en verwerker dat vergelijkbaar is met dat van de AVG (artikel 4), en een vergelijkbare eis van een schriftelijke verwerkersovereenkomst (artikel 28).

Melding van datalekken
Nauw afgestemd op de AVG

Melding aan de Commissaris zonder onnodige vertraging en, indien mogelijk, binnen 72 uur, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor personen oplevert; melding aan betrokkenen wanneer het risico voor hen hoog is.

DPIA en functionaris voor gegevensbescherming
Nauw afgestemd op de AVG

Gegevensbeschermingseffectbeoordelingen bij hoog-risicoverwerking; functionarissen voor gegevensbescherming vereist in vergelijkbare omstandigheden.

Internationale doorgiften
Nauw afgestemd op de AVG, met een Servische lijst

Doorgiften aan partijen bij Verdrag 108 en aan landen op de adequaatheidslijst van de Servische regering; anders waarborgen zoals modelcontractbepalingen van de Commissaris (momenteel alleen bruikbaar wanneer de importeur een verwerker is), bindende bedrijfsvoorschriften, gedragscodes en certificering.

De artikelnummering verschilt tussen beide instrumenten en de LPDP is anders opgebouwd, dus deze tabel koppelt begrippen in plaats van artikelnummers te citeren. Voor de bindende tekst, zie de wet zelf in de bronnen hieronder.

Waar het verschilt

Compatibel is niet identiek

Een pagina die volledige gelijkwaardigheid zou beweren, zou ernaast zitten, en de verschillen zijn het eerste waar een bekwame FG naar vraagt. Hier zijn ze.

Geen consideransen

De 173 consideransen van de AVG zijn het belangrijkste interpretatiehulpmiddel bij de operatieve tekst. De LPDP heeft er geen. De rechtspraak daarover is nog beperkt, hoewel de gepubliceerde toezichts- en klachtenpraktijk van de Commissaris aanzienlijk is gegroeid.2,3 (Bronnen)

Wat dit voor u betekent

Servische praktijkjuristen raadplegen de consideransen van de AVG en EDPB-richtsnoeren bij de uitlegging van de LPDP, ook al is geen van beide een formele bron van Servisch recht — de interpretatie neigt daardoor naar de EU-positie in plaats van ervan weg te drijven.

Een andere doorgiftelijst

Servisch recht behandelt partijen bij Verdrag 108 als landen die een passend beschermingsniveau bieden, en de Servische regering heeft een eigen adequaatheidslijst vastgesteld: EU- en EER-staten, de overige partijen bij Verdrag 108, en enkele verdere landen zoals Canada (alleen bedrijfsentiteiten) en Japan. Omdat daarin partijen bij Verdrag 108 staan die geen EU-adequaatheidsbesluit hebben, zoals Türkiye, is die lijst niet identiek aan die van de EU.5 (Bronnen)

Wat dit voor u betekent

Alleen relevant voor verdere doorgifte. Als uw gegevens het paar EU/Servië nooit mogen verlaten, zet dat in de verwerkersovereenkomst en wij contracteren daarop.

Lichtere handhaving

Boetes onder de LPDP liggen veel lager dan onder de AVG: voor een rechtspersoon bedraagt het wettelijke bereik RSD 50.000 tot RSD 2.000.000 (ongeveer €430 tot €17.000). De Commissaris kan zelf alleen een vaste boete van RSD 100.000 (ongeveer €850) opleggen voor bepaalde overtredingen; alle andere boetes worden opgelegd door de rechtbanken voor overtredingen (prekršajni sud), doorgaans op verzoek van de Commissaris.3,5 (Bronnen)

Wat dit voor u betekent

Dat is een goede reden om te steunen op contractuele remedies in plaats van alleen op toezicht — precies waarvoor SCC’s bedoeld zijn.

Sectorwetgeving is niet volledig afgestemd

De LPDP verplichtte andere wetten om uiterlijk eind 2020 daarmee in overeenstemming te worden gebracht (artikel 100), en dat werk is niet afgerond. De Servische strategie voor gegevensbescherming 2023–2030 erkent dat wetgeving die persoonsgegevens raakt nog niet volledig met de LPDP is geharmoniseerd en noemt verdere aansluiting bij EU-normen, waaronder werkzaamheden gericht op een EU-adequaatheidsbesluit, als beleidsdoel.2,9 (Bronnen)

Wat dit voor u betekent

De relevantie van sectorspecifieke Servische regels hangt af van het soort gegevens en project; gereguleerde domeinen zoals arbeid, gezondheidszorg, financiën, telecommunicatie of de publieke sector kunnen aanvullende beoordeling vereisen.

Doorgiften EU → Servië

Servië heeft geen adequaatheidsbesluit. Zo wordt een beperkte doorgifte doorgaans aangepakt.

Op grond van hoofdstuk V van de AVG is voor de doorgifte van persoonsgegevens buiten de EER een geldige doorgiftegrond nodig. Een adequaatheidsbesluit is één route; passende waarborgen op grond van artikel 46, zoals SCC’s, zijn een andere, en artikel 49 bevat beperkte uitzonderingen voor specifieke situaties.10 (Bronnen) Servië staat niet op de EU-lijst van landen met een adequaatheidsbesluit.7 (Bronnen) Voor onze normale, doorlopende opdrachten als verwerker waarbij EER-persoonsgegevens betrokken zijn, vormen de EU-SCC’s uit 2021 doorgaans de relevante route.

Dit is hetzelfde mechanisme dat EU-bedrijven doorgaans gebruiken bij leveranciers buiten de EER. Het is routinewerk, geen obstakel — maar waar een beperkte doorgifte speelt, moet het gebeuren, en wel voordat gegevens bewegen.

1

We stellen eerst vast of persoonsgegevens überhaupt nodig zijn

Een groot deel van ontwikkelwerk kan worden uitgevoerd met daadwerkelijk geanonimiseerde gegevens of synthetische testgegevens die geen persoonsgegevens zijn. Wanneer gepseudonimiseerde persoonsgegevens voldoende zijn, geven we daaraan de voorkeur boven rechtstreeks identificeerbare productiegegevens omdat dit het risico verlaagt; gepseudonimiseerde gegevens blijven echter persoonsgegevens wanneer personen opnieuw kunnen worden geïdentificeerd, zodat de AVG en de toepasselijke doorgiftewaarborgen van toepassing blijven. Als er helemaal geen persoonsgegevens worden doorgegeven, is hoofdstuk V op dat werk niet van toepassing.

2

U sluit een verwerkersovereenkomst met ons

Voor onze gebruikelijke opdrachten als verwerker leggen we de verwerkingsvoorwaarden vast in een verwerkersovereenkomst op grond van artikel 28, indien gebruikt. Die dekt het onderwerp, de aard, het doel en de duur van de verwerking; de categorieën gegevens en betrokkenen; verwerking uitsluitend op uw gedocumenteerde instructies, ook met betrekking tot doorgiften; geheimhoudingsplichten voor iedereen met toegang; onze beveiligingsmaatregelen; de regels voor subverwerkers; onze bijstand bij verzoeken van betrokkenen en bij uw verplichtingen inzake beveiliging, datalekmelding en effectbeoordeling; uw audit- en informatierechten; en wat er aan het einde van de opdracht met de gegevens gebeurt. We werken graag met uw sjabloon. Modules twee en drie van de SCC’s uit 2021 bevatten al clausules van artikel 28; wij ondertekenen een afzonderlijke verwerkersovereenkomst wanneer u de verwerkingsvoorwaarden in één document wilt hebben.

3

We ondertekenen de modelcontractbepalingen van de EU

De SCC’s van de Commissie uit 2021 (Uitvoeringsbesluit (EU) 2021/914) gebruiken module twee voor doorgiften van verwerkingsverantwoordelijke naar verwerker en module drie voor doorgiften van verwerker naar verwerker. Zij bieden de waarborgen van artikel 46 voor die scenario’s, mits partijen ook voldoen aan de eigen vereisten van de SCC’s — waaronder de beoordeling op grond van clausule 14 die in de volgende stap wordt beschreven.8 (Bronnen)

4

We ondersteunen uw doorgiftebeoordeling

Op grond van Schrems II draagt de exporteur de primaire verantwoordelijkheid om te beoordelen of het recht en de praktijk van het land van bestemming de SCC’s ondermijnen. Op grond van clausule 14 van de SCC’s garanderen beide partijen dat die beoordeling is gemaakt, en moeten wij als importeur ons best doen om u de relevante informatie te verstrekken en u onverwijld te melden als een wijziging in recht of praktijk ons zou kunnen beletten de SCC’s na te komen. Wij beantwoorden schriftelijk vragen over Servisch recht, overheidsbevoegdheden tot toegang en onze eigen technische en organisatorische maatregelen, zodat de beoordeling is gedocumenteerd in plaats van verondersteld. Als daaruit blijkt dat aanvullende maatregelen nodig zijn, moeten die zijn overeengekomen en van kracht zijn voordat de doorgifte begint.8 (Bronnen)

Gegevens de andere kant op zijn eenvoudiger

Servisch recht behandelt EU-lidstaten als landen met een passend beschermingsniveau, zodat doorgiften van ons terug naar u — een database teruggeven, een repository overdragen, een back-up op uw infrastructuur terugzetten — onder de LPDP geen extra mechanisme vereisen.5 (Bronnen)

Internationale verplichtingen

Servië heeft het Protocol bij Verdrag 108+ geratificeerd

Servië is partij bij Verdrag 108 van de Raad van Europa en bij het Aanvullend Protocol betreffende toezichthoudende autoriteiten en grensoverschrijdende gegevensstromen (ETS nr. 181), en ratificeerde op 26 mei 2020, als vierde staat, het protocol tot modernisering van het Verdrag (CETS nr. 223, doorgaans aangeduid als Verdrag 108+). Het protocol is nog niet in werking getreden: op 27 augustus 2026 waren er 34 ratificaties, terwijl er volgens de inwerkingtredingsregel 38 nodig zijn. Servië is dus gebonden aan het bestaande Verdrag 108 en heeft het Protocol 108+ geratificeerd, maar is nog niet gebonden aan een in werking getreden Protocol 108+.6 (Bronnen)

Dit telt om twee redenen. Verdrag 108 is een bindende internationale verplichting voor Servië, los van de binnenlandse wetgeving, en de AVG noemt toetreding tot Verdrag 108 uitdrukkelijk als een factor die de Europese Commissie bij de beoordeling van adequaatheid in aanmerking moet nemen (considerans 105; zie ook artikel 45, lid 2, onder c).10 (Bronnen)

Het creëert op zichzelf geen adequaatheid. De hierboven beschreven waarborgen blijven van toepassing.

Status in één oogopslag
EU-lidstaatNee
EER-lidNee
EU-kandidaat-lidstaatJa
Adequaatheidsbesluit van de Europese CommissieNiet verleend
Verdrag 108 (ETS 108)Partij (incl. Aanvullend Protocol, ETS 181)
Protocol Verdrag 108+ (CETS 223)Geratificeerd 2020 (nog niet in werking)
Op de AVG gemodelleerde nationale wetJa, sinds 2019 (ontwerpvervanging gepubliceerd 2026)
Onafhankelijke toezichthouderJa
In de praktijk

Hoe dit er op een concreet project uitziet

De meeste ontwikkelwerkzaamheden hebben helemaal geen persoonsgegevens uit productie nodig. Waar dat wel zo is, gelden deze werkregels.

Minimaliseren

Standaard geanonimiseerde gegevens

We vragen eerst om een geschoonde databasedump of synthetische testdata, voordat we om productiegegevens vragen. Bij de meeste builds is dat voor de hele opdracht voldoende.

Locatie

U kiest waar gegevens staan

Ontwikkel-, staging- en productiehosting kan binnen de EU worden gehouden, op uw infrastructuur of bij een door u gekozen provider. Dat kan risico’s rond gegevenslocatie en verdere doorgifte verminderen, maar neemt de vraag onder hoofdstuk V niet op zichzelf weg: externe toegang tot persoonsgegevens door onze medewerkers in Servië is zelf een doorgifte naar een derde land en valt onder dezelfde doorgiftewaarborgen.

Beperken

Alleen benoemde toegang

Toegang tot elke omgeving met persoonsgegevens is beperkt tot de mensen die daadwerkelijk aan uw project werken, wordt ingetrokken wanneer zij stoppen, en volledig herroepen bij overdracht.

Subverwerken

Subverwerkers na toestemming

Wij maken bekend welke subverwerkers namens ons persoonsgegevens zouden verwerken en gebruiken hen alleen volgens het met u overeengekomen autorisatiemodel. Wanneer u algemene schriftelijke toestemming geeft, informeren wij u vooraf over voorgenomen toevoegingen of vervangingen, zodat u overeenkomstig de toepasselijke verwerkersovereenkomst/SCC-voorwaarden bezwaar kunt maken.

Reageren

Bijstand bij verzoeken van betrokkenen

Als een inzage- of wissingsverzoek bij u binnenkomt en de gegevens in een door ons gebouwd systeem staan, helpen wij u binnen uw wettelijke termijn te antwoorden. Als een verzoek rechtstreeks bij ons binnenkomt, geven wij het onverwijld aan u door en beantwoorden wij het zelf niet, tenzij u ons daartoe machtigt.

Exit

Verwijdering op verzoek

Aan het einde van een opdracht geven we alle persoonsgegevens die wij namens u hebben verwerkt terug of wissen we ze, inclusief alle kopieën, zoals u instrueert, en bevestigen we dat schriftelijk.

Als u een bureau bent

Wanneer wij achter het merk van een bureau werken, is een veelvoorkomende structuur dat de klant van het bureau de verwerkingsverantwoordelijke is, het bureau de verwerker en HOW MUCH Labs de subverwerker. De werkelijke rollen moeten echter worden bepaald aan de hand van wie de doeleinden en essentiële middelen van elke verwerkingsactiviteit bepaalt. Wanneer wij als uw subverwerker optreden, aanvaarden wij de toepasselijke doorgelegde verplichtingen en kunnen wij in uw subverwerkersregister worden opgenomen.

Hoe een samenwerking werkt →
Bronnen & referenties

Controleer dit zelf

Primaire bronnen en het vakcommentaar waarop de samenvattingen hierboven steunen.

  1. 1
    Wet bescherming persoonsgegevens (Zakon o zaštiti podataka o ličnosti)
    Officieel blad van de Republiek Servië nr. 87/2018. De primaire wetgeving. Gepubliceerd met uitvoeringsvoorschriften en richtsnoeren door de Commissaris voor informatie van openbaar belang en bescherming van persoonsgegevens.
    poverenik.rs — kantoor van de Commissaris (opent in een nieuw tabblad)
  2. 2
    IAPP — The state of Serbia’s Personal Data Protection Law after two years
    Praktijkbeoordeling van hoe nauw de LPDP de AVG volgt, en van de interpretatiekloof door het ontbreken van consideransen.
    iapp.org (opent in een nieuw tabblad)
  3. 3
    Chambers — Data Protection & Privacy 2026: Serbia
    Actuele landengids over de LPDP (die de gids PDPA noemt): de afstemming op de AVG en de richtlijn rechtshandhaving, de bevoegdheden en boetes van de Commissaris, en de extraterritoriale reikwijdte.
    practiceguides.chambers.com (opent in een nieuw tabblad)
  4. 4
    CMS Expert Guide — Impact of the GDPR in Serbia
    Vergelijkend overzicht van de LPDP (die de gids de PDP-wet noemt) tegenover de AVG, inclusief de rollen van verwerkingsverantwoordelijke/verwerker, bijzondere categorieën van gegevens en de mix van AVG-regels en regels uit de richtlijn rechtshandhaving. Laatst bijgewerkt april 2021.
    cms.law (opent in een nieuw tabblad)
  5. 5
    DLA Piper — Transfer of personal data in Serbia
    Samenvatting van het LPDP-doorgifteregime, inclusief de Servische adequaatheidslijst en de modelcontractbepalingen van de Commissaris.
    dlapiperdataprotection.com (opent in een nieuw tabblad)
  6. 6
    Raad van Europa — Verdrag 108 en Protocol CETS 223
    Verdragsteksten en het overzicht van ondertekeningen en ratificaties. Servië ratificeerde het moderniseringsprotocol op 26 mei 2020, als vierde staat. Op 27 augustus 2026 telde het protocol 34 ratificaties; voor inwerkingtreding zijn er 38 nodig, dus het is nog niet in werking.
    coe.int — CETS 223 (opent in een nieuw tabblad)coe.int — Moldova wordt de 34e staat die ratificeert (15 mei 2026) (opent in een nieuw tabblad)
  7. 7
    Europese Commissie — Adequaatheidsbesluiten
    De officiële lijst van landen en organisaties die onder een EU-adequaatheidsbesluit vallen, en de vaststellingsprocedure. Servië staat er niet op.
    commission.europa.eu (opent in een nieuw tabblad)
  8. 8
    Uitvoeringsbesluit (EU) 2021/914 van de Commissie — modelcontractbepalingen
    De huidige EU-SCC’s, inclusief module twee (verwerkingsverantwoordelijke naar verwerker) en module drie (verwerker naar verwerker), de beoordelingsvereisten van clausule 14, de verplichtingen van clausule 8.5 en clausule 10 inzake wissing en verzoeken van betrokkenen, en de in die modules opgenomen clausules van artikel 28.
    eur-lex.europa.eu — 2021/914 (opent in een nieuw tabblad)
  9. 9
    Schoenherr — Serbia’s Data Protection Strategy 2023–2030 unveiled
    Analyse van de overheidsstrategie die een EU-adequaatheidsbesluit als beleidsdoel stelt en resterende hiaten in de huidige wetgeving identificeert.
    schoenherr.eu (opent in een nieuw tabblad)
  10. 10
    Verordening (EU) 2016/679 — Algemene verordening gegevensbescherming (AVG)
    De verordening zelf: definities van artikel 4, verwerkersvoorwaarden van artikel 28, datalekmelding van artikel 33, de doorgifteregels van hoofdstuk V (artikelen 44–50), en considerans 105 over Verdrag 108 als adequaatheidsfactor.
    eur-lex.europa.eu — 2016/679 (opent in een nieuw tabblad)
  11. 11
    Ministerie van Justitie van de Republiek Servië — Ontwerp Wet bescherming persoonsgegevens (2026)
    Ontwerpvervanging van de LPDP, gepubliceerd op 30 juli 2026 voor openbare consultatie tot 10 september 2026. Commentaar: IAPP, „Serbia’s draft Personal Data Protection Law: What changes are on the table” (6 augustus 2026; volledige tekst voor IAPP-leden).
    mpravde.gov.rs — openbare consultaties (opent in een nieuw tabblad)iapp.org (opent in een nieuw tabblad)
Vragen over gegevensbescherming

Vraag het vóór u tekent, niet erna

Als uw FG of juridisch team een ingevulde doorgiftebeoordeling, een ondertekende verwerkersovereenkomst, een subverwerkerslijst of antwoorden op een beveiligingsvragenlijst nodig heeft, vraag het aan — wij vullen het in.

[email protected]+381 63 872 6019Volledige gegevens van de rechtspersoon →