Wat is een data sharing agreement?

Een data sharing agreement (DSA) is een overeenkomst tussen twee of meer organisaties waarin staat welke gegevens de ene partij aan de andere verstrekt, voor welke doeleinden, onder welke waarborgen, en wat de ontvanger met die gegevens juist niet mag doen. De overeenkomst benoemt de datasets, legt het toegestane gebruik vast, verdeelt de verantwoordelijkheid voor beveiliging en incidenten, en bepaalt wat er met de gegevens gebeurt zodra de samenwerking eindigt.

Kenmerkend is dat de ontvanger de gegevens doorgaans voor eigen doeleinden mag gebruiken, binnen de grenzen die de overeenkomst stelt. Dat onderscheidt een data sharing agreement van een verwerkersovereenkomst, waarbij een leverancier uitsluitend verwerkt op basis van de gedocumenteerde instructies van de klant en geen eigen zelfstandig doel heeft. Onder de General Data Protection Regulation (GDPR) van de Europese Unie (EU) is die instructiegebonden relatie precies wat een verwerkersovereenkomst moet dichttimmeren, inclusief geheimhoudingsverplichtingen, beveiligingsmaatregelen, voorwaarden voor subverwerkers, en verwijdering of teruggave van de gegevens aan het einde van de dienstverlening [1]. Een data sharing agreement heeft een andere vorm: twee organisaties die elk hun eigen reden hebben om over de gegevens te willen beschikken.

Deze gids beschrijft de praktijk in de Verenigde Staten. Dat is relevant voor Nederlandse organisaties die gegevens uitwisselen met Amerikaanse tegenpartijen, onderzoekspartners of klanten. Verschillende regels hieronder komen uit een specifiek federaal regime of uit één afzonderlijke deelstaatwet en niet uit een algemene landelijke regel, en elke regel wordt genoemd in de zin waarin die van toepassing is. Dit is algemene informatie, geen juridisch advies over een concrete afspraak.

De titel op het voorblad heeft geen juridische betekenis. Het UK Information Commissioner's Office (ICO), waarvan de data sharing code een van de meest uitgewerkte openbare behandelingen van dit document is, merkt op dat organisaties voor hetzelfde instrument titels gebruiken als information sharing agreement, data of information sharing protocol, en personal information sharing agreement [2]. In de Amerikaanse praktijk komt u ook data use agreement, data transfer agreement, data exchange agreement tegen, of simpelweg een databijlage die aan een groter contract is gehangen.

Sommige documenten lijken verwant maar zijn iets anders. De ICO-code stelt dat een memorandum of understanding op zichzelf geen data sharing agreement is, behalve tussen overheidsdiensten en bepaalde andere publieke instanties zoals toezichthouders en opsporingsdiensten, en dat een lijst met standaarden evenmin kwalificeert als een addendum bij een inkoopovereenkomst of inkooporder [2]. Dat is Britse guidance, maar de onderliggende gedachte reist mee: een document dat goede bedoelingen vastlegt zonder een van beide partijen aan concrete verplichtingen voor gegevensverwerking te binden, doet het werk niet.

Twee Amerikaanse subtypen zijn regulatoire instrumenten met een voorgeschreven inhoud, geen vrij onderhandelbare commerciële documenten.

Het eerste is de data use agreement op grond van de Health Insurance Portability and Accountability Act (HIPAA). Een covered entity mag een limited data set alleen verstrekken voor onderzoek, volksgezondheid of health care operations als zij een data use agreement met de ontvanger sluit. De regelgeving schrijft voor wat die overeenkomst moet doen: het toegestane gebruik en de toegestane verstrekkingen vastleggen, vastleggen wie de gegevens mag gebruiken of ontvangen, en de ontvanger binden om de informatie niet anders te gebruiken of verder te verstrekken dan toegestaan, passende waarborgen te treffen, elk gebruik of elke verstrekking buiten de afspraken te melden, zijn eigen hulppersonen aan dezelfde beperkingen te houden, en de informatie niet te herleiden en de betrokkenen niet te benaderen [3]. Een limited data set is geen geanonimiseerde dataset. Het zijn gegevens waaruit een voorgeschreven lijst met directe identificatoren is verwijderd, waaronder namen, straatadres, telefoon- en faxnummers, e-mailadressen, socialezekerheids- en medischdossiernummers, apparaatidentificatoren, Internet Protocol-adressen (IP-adressen), biometrische identificatoren en volledige gezichtsopnamen, terwijl data en plaats, staat en postcode mogen blijven staan [3].

Het tweede is de federale familie van overeenkomsten tussen overheidsdiensten. Bij de Centers for Medicare & Medicaid Services (CMS) volgt het type overeenkomst de gegevens en het doel: een data use agreement wanneer een andere dienst verstrekking van persoonlijk identificeerbare informatie (PII) of beschermde gezondheidsinformatie (PHI) door CMS vraagt, een information exchange agreement wanneer PII van CMS wordt uitgewisseld met een andere federale of statelijke dienst zonder nadelig effect op de uitkeringen van een individu, en een computer matching agreement wanneer geautomatiseerde systems of record zo worden vergeleken dat dit federale uitkeringen raakt of wordt gebruikt om betalingen terug te vorderen of fraude te onderzoeken [4]. Vraagt een tegenpartij om "een DSA", ga dan eerst na welke van deze bedoeld wordt voordat u iets opstelt.

Doel en veelvoorkomende toepassingen

Een data sharing agreement bestaat om de voorwaarden van de uitwisseling aantoonbaar te maken voordat de gegevens in beweging komen, en om beide partijen achteraf iets te geven om naar te wijzen. Het legt vast waarom de uitwisseling nodig is, wat er feitelijk is overgedragen, wie daarvoor toestemming gaf, en welke beperkingen de ontvanger heeft aanvaard. De ICO-code plaatst dit onder verantwoordingsplicht: een data sharing agreement is naar Brits recht niet verplicht, maar helpt een organisatie aan te tonen dat zij de relevante compliancevraagstukken heeft overwogen en vastgelegd, en de ICO geeft aan een relevante overeenkomst mee te wegen bij de beoordeling van een klacht over gegevensuitwisseling [2].

In sommige Amerikaanse contexten is een schriftelijke overeenkomst helemaal niet optioneel.

Onderzoek. Gegevens met beperkte toegang worden vrijgegeven aan goedgekeurde gebruikers onder een ondertekende overeenkomst, niet als vrije download. Het raamwerk van NIH voor het delen van genoomgegevens draait op een Data Use Certification Agreement met voorwaarden als niet-overdraagbaarheid, en daarom mag een imputatieserver geüploade genotypen slechts kort bewaren voordat deze worden verwijderd. NIH publiceerde in december 2025 een voorstel voor een breder Controlled-Access Data Policy en voor herziening van het Genomic Data Sharing Policy, met een reactietermijn tot 18 maart 2026, dus instellingen met onderzoeksdatastromen moeten erop rekenen dat dit raamwerk gaat schuiven [5].

Onderwijs. De Family Educational Rights and Privacy Act (FERPA) staat verstrekking van onderwijsdossiers toe aan organisaties die studies uitvoeren voor of namens scholen, om voorspellende toetsen te ontwikkelen of te valideren, studiefinanciering uit te voeren of het onderwijs te verbeteren, maar uitsluitend onder een schriftelijke overeenkomst die het doel, de reikwijdte en de duur van de studie en de te verstrekken informatie specificeert, het gebruik tot dat doel beperkt, persoonlijke identificatie door anderen dan de vertegenwoordigers van de organisatie voorkomt, en vernietiging van alle persoonlijk identificeerbare informatie eist zodra die niet langer nodig is [6].

Commerciële verstrekking onder deelstaatprivacywetgeving. Californië verplicht een bedrijf dat persoonsgegevens verkoopt aan een derde, deelt met een derde, of verstrekt aan een service provider of contractor, om een overeenkomst te sluiten die de beperkte en gespecificeerde doeleinden vastlegt, de ontvanger verplicht tot hetzelfde beschermingsniveau als de wet vereist, het bedrijf het recht geeft redelijke stappen te zetten om consistent gebruik te borgen, de ontvanger verplicht het bedrijf te informeren zodra deze niet langer aan zijn verplichtingen kan voldoen, en het bedrijf het recht geeft ongeoorloofd gebruik te stoppen en te herstellen [7].

Gezamenlijke programma's en doorverwijzingen. Twee organisaties die samen een dienst uitvoeren, een co-marketingafspraak hebben of een verwijsstroom onderhouden, hebben elk een eigen doel met de gegevens, dus geen van beide verwerkt op instructie van de ander. Onder de General Data Protection Regulation (GDPR) van de Europese Unie (EU) zijn twee of meer verwerkingsverantwoordelijken die gezamenlijk de doeleinden en middelen van de verwerking bepalen gezamenlijke verwerkingsverantwoordelijken, en moeten zij hun respectieve verantwoordelijkheden vastleggen in een onderlinge regeling, waarvan de wezenlijke elementen beschikbaar moeten worden gesteld aan de betrokkenen [1].

Partijen bij een data sharing agreement

Er zijn normaal gesproken twee genoemde partijen: de verstrekkende organisatie, soms data provider of bron genoemd, en de ontvangende organisatie, soms ontvanger of data user genoemd. De juiste rechtspersoon vaststellen is hier net zo belangrijk als in elk ander contract. Is de ontvanger een onderzoeksinstelling, dan is de handtekening die bindt doorgaans die van een tekenbevoegde namens de instelling, niet die van de individuele onderzoeker die de gegevens wil hebben.

De verstrekkende partij is verantwoordelijk voor het hebben van de bevoegdheid of grondslag om überhaupt te verstrekken, voor het aanleveren van uitsluitend de velden die de overeenkomst noemt, en voor de juistheid op het moment van overdracht. Onder HIPAA blijft die verantwoordelijkheid ook daarna bestaan: weet een covered entity van een patroon van handelen of gedrag van de ontvanger dat een wezenlijke schending van de data use agreement oplevert, dan moet zij redelijke stappen zetten om de schending te herstellen of de verstrekking te beëindigen, en het probleem melden bij de Secretary als geen van beide mogelijk is [3].

De ontvangende partij draagt de operationele last. Zij houdt de gegevens binnen de genoemde doeleinden, past de afgesproken waarborgen toe, houdt eigen medewerkers en hulppersonen binnen dezelfde beperkingen, meldt incidenten, en geeft de gegevens volgens schema terug of vernietigt ze.

Twee andere groepen doen ertoe zonder te tekenen. Hulppersonen, onderaannemers en ontvangers verderop in de keten moeten via doorwerkende bepalingen gebonden zijn, en de HIPAA data use agreement eist precies dat van elke hulppersoon [3]. En de personen op wie de gegevens betrekking hebben zijn geen partij, maar behouden rechten jegens de organisaties die hun gegevens houden, en daarom moet de overeenkomst benoemen wie een inzageverzoek beantwoordt. Onder de General Data Protection Regulation (GDPR) van de Europese Unie (EU) kan een betrokkene zijn rechten uitoefenen jegens elke gezamenlijke verwerkingsverantwoordelijke, ongeacht wat die onderling hebben afgesproken [1].

Belangrijkste bepalingen en clausules

De meeste werkbare data sharing agreements dekken hetzelfde terrein. De namen van de clausules verschillen, de vragen niet.

Specificatie van de gegevens. Precies welke datasets, tabellen en velden overgaan. De ICO-code vraagt om dit niveau van precisie en merkt op dat in sommige gevallen alleen bepaalde informatie uit een bestand gedeeld hoort te worden terwijl gevoeliger materiaal wegblijft, en dat aan afzonderlijke gegevenselementen rechten kunnen worden gekoppeld zodat alleen getrainde medewerkers in specifieke rollen toegang hebben [2]. Een specificatie die "klantgegevens" zegt, is geen specificatie.

Doel en toegestaan gebruik. Wat de ontvanger met de gegevens mag doen, zo nauw omschreven dat het toetsbaar is. Elk regime hierboven bouwt op deze clausule, en zij bepaalt of later gebruik een schending is of gewoon de bedoeling.

Toegestane ontvangers en toegang. Wie binnen de ontvangende organisatie de gegevens mag aanraken, en of het gaat om met naam genoemde personen, rollen of ook groepsmaatschappijen.

Grondslag of bevoegdheid. De bevoegdheid op grond waarvan elke partij deelt of ontvangt. De ICO-code merkt op dat de rechtmatige grondslag voor de ene organisatie in een uitwisseling niet dezelfde hoeft te zijn als voor de andere, en dat de overeenkomst de ingeroepen bevoegdheid moet vastleggen [2].

Beveiliging en waarborgen. Technische en organisatorische maatregelen, transportmethode, opslaglocatie en toegangscontroles. Gebruikelijk is om een standaard te benoemen in plaats van een vage zorgplicht.

Geen heridentificatie en geen benadering. Een standaardbepaling bij uitwisseling in de zorg en het onderzoek, en een verplicht onderdeel van de HIPAA data use agreement [3].

Incidentmelding. Wat als meldingsplichtige gebeurtenis geldt en hoe snel die moet worden gemeld, van ontvanger aan verstrekker en vervolgens aan een eventuele toezichthouder.

Doorgifte aan derden. Deze clausule is dragend geworden voor Amerikaanse bedrijven die gegevens over de grens delen. De regel van het Department of Justice ter uitvoering van Executive Order 14117, van kracht sinds 8 april 2025, verbiedt een Amerikaanse persoon om bewust aan data brokerage te doen waarmee een buitenlandse persoon toegang krijgt tot government-related data of bulk US sensitive personal data, tenzij die Amerikaanse persoon de buitenlandse persoon contractueel verplicht om dezelfde gegevens niet verder te verhandelen met een country of concern of een covered person, en elke bekende of vermoede schending van die contractuele verplichting binnen 14 dagen meldt [8]. De countries of concern zijn China inclusief Hongkong en Macau, Cuba, Iran, Noord-Korea, Rusland en Venezuela [8].

Rechten van betrokkenen. Wie inzage-, bezwaar-, rectificatie- en wissingsverzoeken afhandelt, en wie het enige aanspreekpunt is. De ICO-code is expliciet dat alle verwerkingsverantwoordelijken verantwoordelijk blijven voor naleving, ook waar de overeenkomst taken toebedeelt, en dat de overeenkomst moet benoemen wie de eindverantwoordelijkheid draagt om een individu te helpen al zijn gedeelde gegevens te bereiken [2].

Bewaring, teruggave en vernietiging. Hoe lang de ontvanger de gegevens mag houden en welk bewijs van vernietiging vereist is. De studies exception van FERPA maakt vernietiging een voorwaarde voor de verstrekking en geen dienstbetoon [6].

Audit- en herstelrechten. De Californische wet verplicht het verstrekkende bedrijf tot het bedingen van rechten om redelijke en passende stappen te zetten die consistent gebruik helpen borgen en, na melding, om ongeoorloofd gebruik te stoppen en te herstellen [7]. Onder de regel van het United States Department of Justice (DOJ) moet een Amerikaanse persoon die restricted transactions verricht eenmaal per kalenderjaar waarin hij die verricht een onafhankelijke audit laten uitvoeren over de voorgaande 12 maanden [8].

Looptijd, beëindiging en nawerking. Welke verplichtingen de overeenkomst overleven. Geheimhouding, het verbod op heridentificatie en de vernietigingsplicht doen dat doorgaans.

Belangrijke data en gebeurtenissen in de looptijd

Data sharing agreements lopen geruisloos vast, omdat wat misgaat meestal een datum is waar niemand naar keek. De data die u vanaf dag één wilt vastleggen:

Gebeurtenis	Waarom het van belang is
Ingangsdatum en looptijd	Legt vast wanneer het toegestane gebruik begint en stopt
Verval van de onderliggende goedkeuring	Een IRB-goedkeuring, toestemming of subsidieperiode kan eerder eindigen dan het contract
Schema voor dataverversing of datafeed	Een ongeplande extra overdracht is een ongeoorloofde overdracht
Deadline voor vernietiging of teruggave	Meestal gekoppeld aan het einde van het project, niet aan het einde van het contract
Meldtermijn bij incidenten	De DOJ-regel stelt 14 dagen voor het melden van een vermoede schending bij doorgifte [8]
Jaarlijkse audit	Vereist voor elk kalenderjaar met restricted transactions onder de DOJ-regel [8]
Evaluatiedatum	Geen wettelijke termijn, maar het enige dat het document actueel houdt

De evaluatiedatum verdient een eigen regel. De ICO-code stelt dat afspraken regelmatig moeten worden geëvalueerd en zeker wanneer de omstandigheden of de reden voor het delen veranderen, dat de overeenkomst moet worden bijgewerkt om elke wijziging te weerspiegelen, en dat een serieuze klacht of een beveiligingsinbreuk op zichzelf een evaluatie hoort uit te lokken [2]. Een organisatie toevoegen aan de afspraak is een volgende aanleiding, en de ICO beveelt aan dat de overeenkomst procedures bevat voor het toevoegen van extra organisaties en voor het uitsluiten van een organisatie [2].

Risico's en veelgemaakte fouten

Het verkeerde instrument gebruiken. Een verwerkersrelatie die als data sharing agreement is vormgegeven krijgt de verkeerde set clausules. Handelt de andere partij uitsluitend op uw gedocumenteerde instructies, dan hebt u een verwerkersovereenkomst nodig en geen deelovereenkomst. Zie wat is een data processing agreement (DPA)? voor die kant van de scheidslijn.

Aannemen dat de-identificatie de gegevens buiten bereik brengt. Dat is vaak niet zo. De DOJ-regel definieert bulk US sensitive personal data als gegevens die aan de drempels voldoen "regardless of whether the data is anonymized, pseudonymized, de-identified, or encrypted", en die drempels liggen lager dan de meeste mensen denken: meer dan 100 Amerikaanse personen voor menselijke genoomgegevens, meer dan 1.000 Amerikaanse personen voor andere menselijke omics-gegevens of biometrische identificatoren, meer dan 1.000 Amerikaanse apparaten voor precieze locatiegegevens, meer dan 10.000 Amerikaanse personen voor gezondheids- of financiële gegevens, en meer dan 100.000 Amerikaanse personen voor covered personal identifiers [8].

Aannemen dat een gedefinieerd begrip betekent wat het lijkt te betekenen. Naar Californisch recht is "share" geen algemeen woord. Het betekent het verstrekken van persoonsgegevens aan een derde voor cross-context behavioral advertising, en "sell" is het bredere begrip dat verstrekking tegen geld of andere waardevolle tegenprestatie dekt [7]. Een intern beleid dat zegt "wij delen geen gegevens" beschrijft mogelijk iets veel smallers dan de lezer denkt.

Een open geformuleerde doelbepaling. "Voor zakelijke doeleinden" geeft de ontvanger alles en laat u niets om af te dwingen.

Geen doorwerking. Is de onderaannemer van de ontvanger niet gebonden, dan stoppen de beperkingen bij de eerste schakel.

Geen bewijs van vernietiging. Een vernietigingsplicht zonder certificaat en zonder deadline is een plicht die niemand nakomt.

Eenmalig tekenen en opbergen. Verreweg de meest voorkomende fout. De overeenkomst wordt getekend, de gegevens gaan stromen, en drie jaar later kan niemand het actuele toegestane gebruik, de vernietigingsdatum of de eigenaar van de relatie benoemen.

Geen aangewezen eigenaar. Vertrekt degene die de overeenkomst uitonderhandelde, dan loopt de afspraak door zonder dat iemand er verantwoordelijk voor is.

Checklist voor contractbeheer

Zodra de overeenkomst is getekend

1. Leg beide rechtspersonen exact vast zoals getekend, plus de ondertekenaar en de interne eigenaar aan uw kant.
2. Leg de specificatie van de dataset vast als gestructureerde metadata en niet als een zin in een pdf, zodat u de vraag "wat hebben wij ze gestuurd" kunt beantwoorden zonder het document opnieuw te openen.
3. Leg de toegestane doeleinden woordelijk vast in een veld dat iemand in tien seconden kan lezen.
4. Noteer de beveiligingsstandaard waaraan de overeenkomst elke partij bindt, en controleer of die overeenkomt met wat uw systemen feitelijk doen.
5. Noteer of doorwerking naar hulppersonen en onderaannemers is geregeld, en benoem de al bekende ontvangers verderop in de keten.

Zet het in de agenda voordat u het nodig hebt

6. Zet het einde van de looptijd, de deadline voor vernietiging of teruggave en elke opzegtermijn als afzonderlijke herinneringen, elk met aanlooptijd in plaats van op de dag zelf.
7. Zet alles wat de uitwisseling afhankelijk maakt in de agenda: het verlopen van een IRB-goedkeuring, toestemming, subsidieperiode, licentie of financieringstoekenning.
8. Zet de jaarlijkse audit in de agenda als de afspraak restricted transactions onder de DOJ-regel omvat [8].
9. Leg een vaste evaluatiedatum vast en voeg evaluatietriggers toe aan uw incidentproces, zodat een inbreuk of een serieuze klacht de overeenkomst terug op iemands bureau legt [2].

Evalueer met een vaste frequentie

10. Leg één keer per jaar de feitelijk stromende gegevens naast de specificatie in de overeenkomst. Datafeeds krijgen er velden bij.
11. Loop de lijst met ontvangers opnieuw na. Nieuwe groepsmaatschappijen, overnames en offshore supportteams veranderen wie toegang heeft zonder dat iemand het contract aanpast.
12. Bevestig dat elke afgelopen afspraak daadwerkelijk tot vernietiging of teruggave heeft geleid en dat u het bewijs daarvan hebt.
13. Wijzig schriftelijk zodra het doel, de datasets of de partijen veranderen, en hang de wijziging aan het dossier in plaats van die te mailen.
14. Wijs de interne eigenaar opnieuw aan zodra de vorige van rol verandert, en controleer of geen enkele overeenkomst zonder eigenaar achterblijft.

Het meeste hiervan is bijhoudwerk, en dat is precies het deel dat als eerste verwatert. Contracko is AI-contractmanagementsoftware die daarvoor is gebouwd. AI-contractanalyse leest een geüploade overeenkomst en haalt de belangrijke data, ongunstige voorwaarden en makkelijk te missen problemen naar boven, de contractrepository houdt het getekende document, de bijbehorende bestanden en de metadata doorzoekbaar op één plek, en verloopherinneringen kunnen meer dan eens per contract worden ingesteld, worden toegewezen aan de eigenaar van het dossier, en worden herhaald wanneer een contract verlengt. Voor de bredere werkwijze, zie best practices voor contractbeheer, en prijzen voor commerciële context.

Start een gratis proefperiode met de data sharing agreements die u al hebt, en zie elke vernietigingsdeadline, evaluatiedatum en clausule over toegestaan gebruik in één overzicht.

Bronnen

[1] European Union, General Data Protection Regulation, Articles 26 and 28 (regelingen tussen gezamenlijke verwerkingsverantwoordelijken, en wat een verwerkersovereenkomst moet bepalen). gdpr-info.eu/art-26-gdpr en gdpr-info.eu/art-28-gdpr

[2] UK Information Commissioner's Office, Data sharing: a code of practice, the data sharing agreements chapter (alternatieve benamingen, wat erin hoort, en wanneer te evalueren). ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/data-sharing-a-code-of-practice/data-sharing-agreements

[3] HIPAA Privacy Rule, 45 CFR 164.504(e) and 164.514(e) (contracten met business associates, de limited data set, en elk verplicht onderdeel van een data use agreement). govinfo.gov/content/pkg/CFR-2023-title45-vol2/xml/CFR-2023-title45-vol2-sec164-514.xml

[4] Centers for Medicare and Medicaid Services Information Security and Privacy Program. Wanneer CMS een data use agreement, een information exchange agreement of een computer matching agreement vereist. security.cms.gov/learn/data-sharing-agreements

[5] National Institutes of Health, NIH Controlled-Access Data Policy and Proposed Revisions to NIH Genomic Data Sharing Policy, 90 FR 59131 (de Data Use Certification Agreement, en de reactietermijn tot 18 maart 2026). govinfo.gov/content/pkg/FR-2025-12-18/html/2025-23246.htm

[6] FERPA regulations, 34 CFR 99.31(a)(6) (de studies exception en de schriftelijke overeenkomst die daarvoor vereist is). govinfo.gov/content/pkg/CFR-2023-title34-vol1/xml/CFR-2023-title34-vol1-sec99-31.xml

[7] California Consumer Privacy Act, Cal. Civ. Code 1798.100(d) and 1798.140 (de vereiste contractvoorwaarden, en de definities van share en sell). leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.100

[8] Department of Justice, 28 CFR part 202, sections 202.205, 202.206, 202.301, 202.302, 202.401, and 202.601 (de bulkdrempels, de contractuele eis bij doorgifte en de meldtermijn van 14 dagen, de jaarlijkse audit, en de countries of concern). govinfo.gov/content/pkg/FR-2025-01-08/html/2024-31486.htm

De afbeeldingen in dit artikel zijn gegenereerd met behulp van AI.