De staatssecretaris werd ook gevraagd wat zij ervan vindt dat de gegevens door Odido naar een extern bedrijf zijn doorgestuurd. "Doorgifte van persoonsgegevens naar een bedrijf dat buiten de Europese Economische Ruimte (EER) is gevestigd is op grond van de AVG alleen toegestaan onder voorwaarden", stelt Van Bruggen. "Of in deze casus wel of geen grondslag was voor het al dan niet delen van deze gegevens buiten de EER, evenals de vraag of de waarborgen van hoofdstuk V van de AVG in acht zijn genomen, is niet aan het kabinet om te beoordelen, maar aan de toezichthouder." Feitelijk gaat het helemaal niet om hoofdstuk 5, dat het bedrijf buiten de Europese Economische Ruimte is gevestigd is hier bijzaak. Doelbinding en grondslag, hoofdstuk 2, zijn hier essentieel voor wat Odido wel/niet zou mogen doen. Let ook op de verwoording dat Mac adressen en apparaat namen persoonsgegevens KUNNEN zijn. Het hangt er daarbij helemaal vanaf hoeveel moeite zowel Odido als het analythics bedrijf moeten doen om deze informatie ...