ICP en recht15 min lezenFeiten gecontroleerd op 1 november 2026

PIPL en AVG: geldt de Chinese privacywet ook voor uw website?

Dat kan, ook zonder kantoor of server in China, en officieel staat er minder vast over waar de wet ophoudt dan de meeste gidsen toegeven.

Hugo Debrabandere, Oprichter, Index in Chinagetoetst aan 35 bronnen

ICP en recht

Kan de Chinese privacywet een website buiten China raken? Ja, dat kan

Het korte antwoord

Dat kan. De PIPL geldt ook voor verwerking buiten China als het doel is om producten of diensten te leveren aan mensen in China, of om hun gedrag te analyseren. Of u daar een kantoor of server heeft, geeft niet de doorslag. Volgens commentatoren vallen sites voor Chinese kopers er waarschijnlijk onder, maar een officiële toets vonden we niet.

De PIPL trad op 1 november 2021 in werking. Artikel 3 noemt twee situaties, plus een restcategorie, waarin de wet ook geldt voor verwerking buiten China.
Volgens Hunton achtte een Chinese rechter een in Frankrijk geregistreerde hotelgroep met een in het buitenland gehoste site onderworpen aan de PIPL, in een zaak die in 2024 werd gepubliceerd.
Die rechter wees RMB 20.000 toe en oordeelde dat een vinkje bij een algemeen privacybeleid geen afzonderlijke toestemming is.
Sinds 1 september 2026 gelden vereenvoudigde regels voor handlers van minder dan 100.000 personen, en artikel 2 richt die op handlers binnen China.
Ernstige gevallen kunnen onder artikel 66 boetes opleveren tot RMB 50 miljoen of 5% van de omzet van het voorgaande jaar.

Samenvatten met

ChatGPT

Claude

Perplexity

Uw site voldoet aan de AVG, draait op een server in Nederland of België, en nu komen er Chinese pagina’s en een contactformulier bij. Geldt dan ook de Chinese privacywet? De meeste antwoorden online zeggen “de PIPL geldt voor iedereen” of “alleen als u in China zit”. De tekst zit daartussenin, en juist dat verschil telt.

Hieronder leest u wat de wet zegt, wat nog open ligt en welke vragen u aan een lokale adviseur voor Chinees recht kunt stellen. Deze gids hoort bij ICP in China: de juridische basis van een website in China.

De Nederlandstalige pagina’s die we vonden, komen vooral van leveranciers,³²³³ en het Belgische advocatenkantoor Horsten richtte zich in een Engelstalig artikel uit 2022 op bedrijven met activiteiten of personeel in China.³⁴ Een site die vanuit de Lage Landen leads verzamelt, komt daarin nauwelijks aan bod.

Geldt de PIPL als u geen kantoor of server in China heeft?

Ja, dat kan. Waar u gevestigd bent, is niet bepalend. Artikel 3 past de PIPL toe op verwerking buiten China van gegevens van mensen in China, in deze gevallen:¹

Het doel is producten of diensten te leveren aan mensen in China.
De verwerking analyseert of beoordeelt het gedrag van mensen in China.
Andere gevallen die een wet of bestuursrechtelijke regeling aanwijst.

Hosting staat niet in dat rijtje. Chinafy stelt dat een buiten China gehoste site onder de wet valt als hij leads van Chinese gebruikers verzamelt.²⁰

Er is ook een voorbeeld uit de rechtspraak. In een zaak die in 2024 werd gepubliceerd, stelde het Internetgerecht van Guangzhou een Franse hotelgroep in het ongelijk in een geschil over de boekingsgegevens van een gast.³⁶

Hunton beschrijft de gedaagde als in Frankrijk geregistreerd, met een website die buiten China wordt gehost, en als onderworpen aan de PIPL omdat zij gegevens verzamelde van mensen in China.³

Wat telt als diensten leveren aan mensen in China?

Voor zover wij konden nagaan, heeft geen officiële instantie die grens getrokken. Sidley schreef in mei 2023, voordat de uitspraak in Guangzhou naar buiten kwam, dat de volledige reikwijdte van deze rechtsmacht “remains untested”, dus nog niet getoetst is.¹¹

Mayer Brown wees in 2021 op een tekstverschil met de AVG: de PIPL spreekt van “providing” (leveren) en niet van “offering” (aanbieden), dus de wet zou ook een site kunnen raken die niet op China is gericht.⁸

Let daarop bij Nederlandse samenvattingen. De AVG zegt inderdaad “aanbieden”,²⁹ maar Pandectes gebruikt datzelfde woord voor de PIPL,³² waardoor dit verschil wegvalt.

Prighter, dat vertegenwoordigingsdiensten verkoopt, zegt dat de Chinese autoriteiten geen richtsnoeren hebben gepubliceerd en leent daarom signalen uit EU-richtsnoeren over de AVG.¹⁰ Dit zijn de gepubliceerde standpunten:

Uw site	Gepubliceerd standpunt	Status
Geen Chinese versie, af en toe een bestelling uit China	Een wereldwijde webshop kan geraakt worden (“may be caught”) omdat één klant in China zit, volgens Mayer Brown ⁸	Open: een lezing uit 2021, en we vonden geen officiële tekst over dit geval
Chinese taal, betaling in RMB of levering in China	Signalen dat u diensten aanbiedt, volgens Prighter ¹⁰	Geleend uit EU-richtsnoeren, geen Chinese toets
Gedragsgerichte advertenties of cookietracking van mensen in China	Een signaal van “analyse”, volgens Prighter ¹⁰	Morrison Foerster noemt gedragsanalyse een aparte grond voor toepassing ⁷
Chinese pagina’s met alleen een aanvraagformulier, geen verkoop online	Komt niet aan bod in wat we lazen	Open: vraag het een lokale adviseur

De laatste rij is waarschijnlijk de opzet van veel buitenlandse dienstverleners, en juist die is het slechtst gedocumenteerd.

Een Chinese pagina die is geschreven om Chinese klanten te winnen, ligt dicht bij het doel uit artikel 3. Dat is onze lezing, geen uitspraak. Ga er bij uw planning van uit dat de wet voor u geldt: dat is de voorzichtige keuze.

Fig. 1Drie vragen om uw site te plaatsen

1Richten uw pagina's zich op klanten in China?
2Verzamelt u persoonsgegevens van hen, of volgt u hun gedrag?
3Hangt het verzamelen samen met het bedienen van die klanten?
4Drie keer jaGa ervan uit dat de PIPL geldt.
5Twijfel bij een van de drieVraag het een lokale adviseur.

Wat verschilt er van de AVG?

De opzet zal u bekend voorkomen, want ook de AVG reikt over de grens. Toch kunt u uw AVG-werk niet zomaar overnemen.

Punt	AVG	PIPL
Bereik buiten het eigen gebied	Aanbieden van goederen of diensten aan mensen in de Unie, of hun gedrag daar monitoren (art. 3, lid 2) ²⁹	Leveren aan mensen in China, of hun gedrag analyseren of beoordelen, plus een restcategorie (art. 3) ¹
Gerechtvaardigd belang	Grondslag, na belangenafweging (art. 6, lid 1, f) ³⁰	Geen grondslag: artikel 13 noemt het niet ¹³³
Vertegenwoordiger	In de Unie, met een uitzondering voor onder meer incidentele verwerking die waarschijnlijk geen risico inhoudt (art. 27) ³¹	In China (art. 53) ¹. K&L Gates leest de plicht als onafhankelijk van het volume ¹⁵

Pandectes, dat toestemmingstools verkoopt, vat het zo samen: veel ideeën komen bekend voor, maar sommige toestemmingsregels zijn strenger. Het noemt afzonderlijke toestemming voor gevoelige gegevens, delen met anderen, openbaar maken en doorgifte buiten China.³² Horsten noemde de PIPL in 2022 op de AVG geïnspireerd, maar vager.³⁴

Krijgt een klein bedrijf een lichter regime?

Ga daar niet van uit. De PIPL zelf kent geen ondergrens voor omvang, zoals Morrison Foerster in 2021 opmerkte.⁷ Nieuwe regels voor kleine handlers bestaan wel, maar die zijn misschien niet voor u geschreven. Een handler is in de PIPL wie zelf doel en wijze van de verwerking bepaalt,¹ ongeveer wat de AVG een verwerkingsverantwoordelijke noemt.

China publiceerde vereenvoudigde maatregelen voor handlers van minder dan 100.000 personen, van kracht sinds 1 september 2026.⁹²²

Artikel 2 past ze toe op kleine handlers “binnen de Volksrepubliek China” (onze vertaling).⁹

Niets in de tekst, de vragen en antwoorden van de CAC, of de notities van CMS en China Briefing zegt dat een buitenlands bedrijf zonder aanwezigheid in China deze regels mag gebruiken.⁹²³²⁴²⁵ De twee bijgevoegde formulieren lazen we niet.

Ze zijn wel van belang als u een kleine Chinese dochteronderneming heeft. De bepalingen vereenvoudigen het volgende:⁹

Onderwerp	Vereenvoudigde maatregel
Privacyverklaring (art. 4, 6)	Kortere minimuminhoud. Het publiceren van de regels kan volstaan als de gegevens nodig zijn en niet worden gedeeld
Toestemming (art. 7)	U mag verwerken wat mensen vrijwillig en volledig geïnformeerd verstrekken om uw dienst te krijgen, onder de gepubliceerde regels
Doorgifte (art. 10)	Geen beoordeling, standaardcontract of certificering in genoemde gevallen, zoals een echte contractuele noodzaak
Audits (art. 13)	Minstens om de vijf jaar, met een bijgevoegde zelfcontrole die vijf jaar wordt bewaard
Kleine overtredingen (art. 18)	Geen straf als ze zonder schade snel worden hersteld

Gevoelige gegevens vragen nog steeds om afzonderlijke toestemming, en voor kinderen onder de 14 zijn eigen regels nodig.⁹ Artikel 10 handhaaft de plicht tot informeren en afzonderlijke toestemming voor gegevens die naar het buitenland gaan.⁹

Wat moet een website doen die eronder valt?

Vertellen wat ze doet, een rechtsgrond hebben en de rechten van mensen respecteren. Dit zijn de regels die een gewone marketingsite raken:

Plicht	Bron	Op uw site
Informeren voor het verzamelen	PIPL art. 17 ¹	Wie u bent, contact, doel, methode, soorten gegevens, bewaartermijn, hoe rechten uit te oefenen
Rechtsgrond	Art. 13 ¹	Onder meer toestemming, of noodzaak voor een overeenkomst met die persoon
Geldige toestemming	Art. 14 tot en met 16 ¹	Geïnformeerd en uitdrukkelijk, eenvoudig in te trekken, nieuwe toestemming als het doel verandert, geen dienst weigeren omdat iemand gegevens achterhoudt die u niet nodig heeft
Alleen wat nodig is	Regeling art. 22 ²	Geen extra formuliervelden buiten de dienst
Delen met een ander bedrijf	Art. 23 ¹	Noem de ontvanger, vraag afzonderlijke toestemming
Gevoelige gegevens	Art. 28 tot en met 31 ¹	Afzonderlijke toestemming, en toestemming van ouders bij kinderen onder de 14
Verzoeken van mensen	Art. 45, 47, 50 ¹	Een werkende manier om in te zien, te kopiëren en te wissen

Eén verschil verrast wie aan de AVG gewend is. Artikel 13 kent geen gerechtvaardigd belang, dus een werkwijze die daarop steunt, kunt u niet zomaar overnemen.¹

Wat dit betekent voor uw leadformulier

Uw contactformulier is meestal het belangrijkste verzamelpunt. Dit is een voorzichtige opzet om met uw adviseur door te nemen.

Schrap velden. Houd over wat u nodig heeft om de aanvraag te beantwoorden.
Zet de informatie bij het formulier. Zet vóór de verzendknop een link naar de verwerkingsregels.
Scheid marketing. Bied nieuwsbrieven en follow-ups aan als optionele, niet aangevinkte keuze.
Behandel partners apart. Krijgt een distributeur de lead, noem die dan en vraag afzonderlijke toestemming.
Bewaar bewijs. Bij schadeclaims wordt onder artikel 69 schuld vermoed, dus u wilt bewijs kunnen overleggen.¹
Plan het wissen. Zeg hoe lang u een lead bewaart en hoe iemand om verwijdering kan vragen.

Een offerteaanvraag beantwoorden past mogelijk bij de contractgrond van artikel 13. Marketing volgt daar niet uit: de rechter in Guangzhou zei dat marketing zonder toestemming niet nodig is om een overeenkomst uit te voeren.⁴

Controleer ook formuliertools en CRM’s. Een leverancier die voor u werkt, valt onder verwerking in opdracht, en dat vraagt om een overeenkomst en toezicht.¹

Onze gids reCAPTCHA in China: waarom formulieren falen en wat u kunt doen behandelt de technische kant.

Heeft u een cookiebanner nodig voor Chinese bezoekers?

We vonden geen regel die dat uitdrukkelijk zegt, en de bronnen zijn het oneens. FlexyConsent merkt zelf op dat de PIPL cookies niet specifiek noemt.¹⁴ Een banner die u al voor de AVG heeft, beantwoordt deze vraag niet vanzelf.

Bron	Standpunt
Morrison Foerster, augustus 2023	Banners niet gebruikelijk, en door de PIPL niet uitdrukkelijk vereist, “at least not yet” ¹²
FlexyConsent, juni 2026 (verkoopt toestemmingstools)	Sites horen bezoekers in China via geotargeting om toestemming te vragen ¹⁴
CookieChimp, ongedateerd (verkoopt toestemmingstools)	Opt-in vereist, niet-essentiële cookies standaard uit ¹³
Pandectes, ongedateerd (verkoopt toestemmingstools)	Analyse- en advertentietools mogen pas draaien na uitdrukkelijke instemming ³²

Achter de claims van leveranciers zit een commercieel belang, en ze verwijzen naar weinig of niets buiten de wet. Toch kan het volgen van mensen in China raken aan het onderdeel “gedrag analyseren” van artikel 3.¹

Gratis check

Is uw website zichtbaar op Baidu?

Vul uw website in. Wij controleren Baidu, de bereikbaarheid vanuit China en hoe uw site is opgezet, en mailen u het rapport.

Moet uw privacyverklaring in het Chinees?

De wet zegt het niet, maar wij zouden het wel doen. Artikel 17 eist duidelijke, begrijpelijke bewoordingen en noemt geen specifieke taal.¹

Leveranciers zoals FlexyConsent raden verklaringen in vereenvoudigd Chinees aan.¹⁴

Een lezer van uw Chinese pagina die alleen een Engelse of Nederlandse verklaring krijgt, is niet vanzelfsprekend geïnformeerd. Vertalen dwingt u bovendien precies op te schrijven wat u doet.

De Regeling voegt toe dat verwerkingsregels bij elkaar moeten staan en eenvoudig te vinden moeten zijn.²

Heeft u een vertegenwoordiger in China nodig?

Valt u onder het tweede lid van artikel 3, dan zegt de tekst ja. Artikel 53 verplicht een buitenlandse handler een kantoor op te zetten of een vertegenwoordiger in China aan te wijzen, en de contactgegevens te melden.¹

De Regeling uit 2024 noemt bij wie u die gegevens meldt: het cyberspacebureau op stadsniveau waar het kantoor of de vertegenwoordiger zich bevindt.²

K&L Gates leest de plicht als onafhankelijk van het datavolume, en zei in januari 2022 dat er “no clear guidance” was over hoe u iemand aanwijst.¹⁵

Ga er dus niet zomaar van uit dat de uitzondering voor incidentele verwerking in artikel 27 van de AVG³¹ ook hier geldt.

We zochten naar een procedure die sinds januari 2022 is gepubliceerd en vonden er geen. We konden ook niet nagaan wat er gebeurt als u geen vertegenwoordiger heeft.

Dit is de eerste vraag voor een lokale adviseur.

Is een lead naar uw hoofdkantoor sturen een grensoverschrijdende doorgifte?

Dat hangt af van wie de lead verzamelde. Het duidelijkste geval is een bedrijf in China dat gegevens naar het buitenland stuurt. Onduidelijker is het geval waarin uw buitenlandse site zelf rechtstreeks verzamelt.

Stroom	Lezing
Chinese dochter of agent stuurt leads naar uw hoofdkantoor	Een doorgifte: voorwaarden van art. 38, plus informeren en afzonderlijke toestemming onder art. 39 ¹, al laat de Q&A van de CAC de toestemming vallen, niet het informeren, als een andere grond van art. 13 geldt ¹⁸
Bezoeker in China vult een formulier in op uw buitenlandse site	Omstreden: zie hieronder
U geeft die lead door aan overzeese partners voor marketing	Het gedrag waar het in de zaak in Guangzhou om ging ⁴

Over rechtstreeks verzamelen schreef Withers in 2023 dat de vraag omstreden is. Het kantoor neigt naar de opvatting dat dit geen uitgaande doorgifte is en vermeldt ook de tegengestelde opvatting.¹⁶ CMS noteerde die praktijkopvatting in 2022, en ook een certificeringsontwerp dat het tegendeel leek te suggereren.¹⁷

Een later CAC-document wijst de andere kant op. AllBright meldt dat de tweede editie van de beoordelingsgids, in 2024, verwerking onder artikel 3, tweede lid, toevoegde aan de lijst van data-exporten.²⁷

Daarmee is uw geval niet beslist. Volgens AllBright geeft de gids geen duidelijk antwoord als er geen andere Chinese partij bij betrokken is.²⁷ Deheng wijst erop dat er dan geen binnenlandse handler is om een melding te doen.²⁸ We lazen deze commentaren, niet de gids of de latere derde editie.

De samenvatting van Hunton van de Q&A van de CAC van 24 juli 2026 gaat niet in op rechtstreeks verzamelen, en de Q&A zelf lazen we niet.¹⁸

Afzonderlijke toestemming komt er wel in aan bod: die moet specifiek zijn, mag niet gebundeld worden en kan via een pop-up, een ondertekend document of een antwoord per e-mail of sms.¹⁸

Volgens Paul Weiss redeneerde de rechter net zo: een vinkje bij een algemeen beleid telt niet.⁵

Verzamelt een Chinese partner uw leads, lees dan Verkopen aan China zonder vestiging daar en Zakendoen in China zonder Chinees bedrijf: kan dat?

Wat is het werkelijke risico voor een buitenlands bedrijf?

Het maximum is fors, maar de zaken die we lazen, betreffen bedrijven die een band met China hebben. Dit bepalen artikel 66 en artikel 42:¹

Situatie	Gevolg
Elke overtreding	Herstelbevel, waarschuwing, verbeurdverklaring van onrechtmatig verkregen winst, opschorting van een overtredende app
Weigering te herstellen	Tot RMB 1 miljoen, plus RMB 10.000 tot 100.000 voor de verantwoordelijken
Ernstig geval	Tot RMB 50 miljoen of 5% van de omzet van het voorgaande jaar, mogelijke bedrijfsschorsing, plus RMB 100.000 tot 1 miljoen voor de verantwoordelijken
Buitenlandse entiteit die rechten van Chinese burgers schaadt	Plaatsing op een lijst die het verstrekken van gegevens eraan beperkt (art. 42)

En dit is wat daadwerkelijk is gemeld:

Zaak	Wie	Uitkomst
Internetgerecht Guangzhou, gepubliceerd 2024	Franse hotelgroep, met gelieerde onderneming in Shanghai als medegedaagde	Schriftelijke verontschuldiging, wissen, RMB 20.000 ³⁴
CAC Shanghai, mei 2025	Shanghaise gelieerde onderneming van een luxemerk	Bestraft, bedrag niet genoemd door DLA Piper ¹⁹
CAC Shanghai, zaken uit 2025	Multinational, door DLA Piper genoemd onder “domestic enterprises” in de hotel- en vastgoedsector	Beboet wegens schending van een beslissing over een doorgiftebeoordeling, bedrag niet genoemd ¹⁹
CAC Shanghai, juni 2026	Ctrip, gevestigd in Shanghai	RMB 10 miljoen en een herstelbevel ¹⁹

We vonden geen CAC-straf tegen een buitenlands bedrijf zonder aanwezigheid in China. DLA Piper voegt toe dat andere provinciale bureaus zaken niet publiceren zoals Shanghai dat doet.¹⁹ Dat wij niets lazen, bewijst niet dat u veilig bent, en het is geen complianceplan.

De zaak in Guangzhou begon met één klant die procedeerde, dus een toezichthouder is niet de enige route. Artikel 70 laat ook het openbaar ministerie en aangewezen organisaties procederen als veel mensen zijn getroffen.¹

Verdict

Laat uw plan niet afhangen van de maximumboete of van het gebrek aan zaken. Breng de toestemmingsprocedure die u zelf in de hand heeft op orde, en vraag advies voor de rest.

Wat vraagt u een lokale adviseur?

Neem deze vragen mee, met een lijst van wat uw pagina’s verzamelen:

Vallen mijn Chinese pagina’s onder artikel 3, gezien wat ik verkoop en hoe?
Heb ik een vertegenwoordiger volgens artikel 53 nodig, en wie kan die rol vervullen?
Telt mijn formulier als grensoverschrijdende doorgifte, of als rechtstreeks verzamelen?
Welke rechtsgrond past bij een aanvraag, en wat vraagt om toestemming?
Hoe moeten mijn Chinese privacyverklaring en cookieafhandeling eruitzien?

Vraag als Nederlands of Belgisch bedrijf ook hoe de AVG en de PIPL samen uitpakken voor zo’n lead. Daarover lazen we niets.

Onze Checklist voor uw website in China helpt u eerst de feiten te verzamelen. Verkoopt u aan mensen in China, plan dit dan voor de lancering en niet erna.

Tot slot

Richten uw pagina’s zich op klanten in China en verzamelen ze hun gegevens, ga er dan van uit dat de PIPL geldt, waar uw server ook staat.

Begin bij wat u zelf in de hand heeft: minder velden, een duidelijke Chinese privacyverklaring en afzonderlijke toestemming voor marketing.

Leg de vragen over de vertegenwoordiger en de doorgifte voor aan een lokale adviseur, want de gepubliceerde richtsnoeren geven daarover geen uitsluitsel.

Hoe Index in China kan helpen

Wij vertalen sites naar vereenvoudigd Chinees met een menselijke revisor en werken eraan dat Chinese zoekmachines ze indexeren.

We geven geen juridisch advies, en we zeggen het u als uw geval een lokale adviseur nodig heeft. Bekijk wat we doen of plan een gesprek van 30 minuten.

Plan een gesprek van 30 minuten

Veelgestelde vragen

Geldt de PIPL voor Chinese staatsburgers in Nederland of België?

Niet via de tekst van artikel 3, dat spreekt over mensen die zich in China bevinden en niet over nationaliteit. Letterlijk gelezen valt een Chinese staatsburger in Rotterdam die uw formulier invult buiten die bepaling, en een Vlaamse ingenieur in Shanghai erbinnen. De privacywetgeving bij u ter plaatse blijft gelden, dus behandel die bezoeker als ieder ander.

Moet ik door de PIPL gegevens in China opslaan?

Standaard niet. Artikel 40 eist lokale opslag van exploitanten van kritieke infrastructuur en van handlers boven een volume dat de CAC vaststelt. Leverancier Chinafy houdt het op ongeveer 1 miljoen personen, zonder een regel aan te wijzen,²⁰ en we vonden geen CAC-tekst met dat getal. Het artikel gaat over in China verzamelde en gegenereerde gegevens, dus vraag advies als u een groot bedrijf bent.

Vallen zakelijke contacten in een B2B-leadformulier onder de PIPL?

Ga daar voor de zekerheid van uit. Artikel 4 omvat vastgelegde informatie over elke identificeerbare persoon, en we vonden daarin geen uitzondering voor zakelijke e-mailadressen of visitekaartjes. Artikel 13 staat wel redelijk gebruik van al openbaar gemaakte informatie toe, maar die grondslag kent grenzen. Een bij elkaar geschraapte contactlijst is dus niet automatisch veilig.

Kan ik de PIPL ontlopen door bezoekers uit China te blokkeren?

Verzamelt u niets van mensen in China, dan blijft er volgens onze lezing weinig over waar de wet aan kan haken, maar dan laat u ook de markt schieten. Voor pagina's die voor Chinese kopers zijn gemaakt, is dat geen oplossing. Is China helemaal geen doelmarkt, dan is het eenvoudiger hun gegevens niet te verzamelen dan er een complianceprogramma voor op te zetten.

Dekt een ICP-licentie de PIPL?

Nee. Ze beantwoorden verschillende vragen. Een ICP gaat over wie een site op servers op het Chinese vasteland mag draaien, de PIPL over wat u met persoonsgegevens doet, waar de site ook staat. Het ene vervangt het andere niet. Een site die in Europa wordt gehost en geen ICP heeft, kan nog steeds onder de PIPL vallen als aan artikel 3 is voldaan.

Heb ik ook een functionaris voor gegevensbescherming nodig?

Dat is een aparte plicht. Artikel 52 eist een functionaris voor de bescherming van persoonsgegevens boven een volume dat de CAC vaststelt, terwijl artikel 53 voor een vertegenwoordiger zo'n volume niet noemt. Een CAC-kennisgeving van juli 2025 verplicht handlers van 1 miljoen personen of meer hun functionaris te melden.²⁶ Buitenlandse handlers staan daar niet in, dus vraag het uw adviseur.