De gegevensferwurkingsoerienkomst (verwerkersovereenkomst) ûnder de GDPR: in Nederlânske praktykgids

Hast elk bedriuw dat yn Nederlân operearret, besteedt wat út dat oangiet op persoanlike gegevens: leanlist, hosting, CRM, marketing, werving, stipe. As in leveransier persoanlike gegevens ferwurket yn jo ynstruksjes, fereasket art. 28 AVG in skriftlike oerienkomst, yn it Nederlânsk in ferwurkersferiening . Dizze hantlieding giet oer wannear't it fereaske is, wat it befetsje moat, hoe't de Nederlânske tafersjochhâldende autoriteit it oanpakt, en hoe't de klausules dy't wichtich binne ûnderhannele wurde.

Wannear't in ferwurkingsoerienkomst fereaske is, en wannear't dat net is

It is mar yn ien situaasje fereaske: as ien partij persoanlike gegevens ferwurket namens in oare. De partij dy't beslút wêrom en, yn essinsje, hoe't de gegevens ferwurke wurde, is de ferantwurdlike; de ​​partij dy't hannelet neffens har ynstruksjes is de ferwurker. De plicht rint del yn 'e keten, dus in ferwurker dy't in subferwurker ynhiert, moat in lykweardige kontrakt mei dy slute. Gjin plicht is nedich as de partijen ûnôfhinklike ferantwurdliken binne dy't elk har eigen doelen neistribje, as se mienskiplike ferantwurdliken binne, wat in regeling ûnder art. 26 AVG fereasket, of as der gjin persoanlike gegevens belutsen binne.

It ûndertekenjen fan ien mei in partij dy't eins in ûnôfhinklike kontrôleur is, is net ûnskealik: it jout ferkeard oan wa't ferantwurdlik is en skept in yllúzje fan ynstruksjes dy't gjin fan beide partijen neikomme kinne. De spegelflater komt like faak foar, wêr't in leveransier dy't foar eigen rekken hannelet, allinich ynstruksjebetingsten akseptearret dy't er net neikomme kin.

Ferwurker of ferwurker: hoe't it ûnderskied eins beoardiele wurdt

De beoardieling is funksjoneel, net formeel: wat it kontrakt de partijen neamt is bewiis, net it antwurd, en it ferskil tusken in ferantwurdlike en in ferwurker is it earste dat in tafersjochhâldende autoriteit test. It referinsjepunt binne de rjochtlinen 07/2020 fan 'e EDPB oer ferantwurdlike en ferwurker, wêrfan de definitive ferzje op 7 july 2021 oannaam is.

Doelen en essensjele middels

De ferantwurdlike bepaalt de doelen en de essensjele middels: hokker kategoryen gegevens ferwurke wurde, oer wa, hoe lang en oan wa't se iepenbier makke wurde. Dy besluten binne keppele oan wettichheid en needsaak en kinne net delegearre wurde. Net-essensjele middels, de ymplemintaasjedetails, kinne oan de leveransier oerlitten wurde: hokker software hy brûkt en hoe't hy syn kontrôles ûntwikkelt.

In organisaasje kin dêrom in ferantwurdlike wêze, hoewol it de gegevens noait oanrekket. Yn syn útspraak fan 5 desimber 2023 yn saak C-683/21 (Nacionalinis visuomenės sveikatos centras) hat it Hof fan Justysje bepaald dat in entiteit dy't de doelen en middels fan ferwurking bepaalt dy't útfierd wurdt fia in app dy't it yn opdracht jûn hie, in ferantwurdlike is, en dat mienskiplike ferantwurdlikens ûntstean kin út konvergearjende besluten sûnder formele regeling. Omkeard wurdt in ferwurker dy't fierder giet as ynstruksjes om foar eigen doelen te ferwurkjen, troch art. 28 AVG behannele as in ferantwurdlike foar dy ferwurking.

Situaasjes dy't bedriuwen yn 'e war bringe

• Salarisburo's. Wêr't it buro de gegevens dy't jo leverje ynfiert en leanstroken produseart, is it in ferwurker. Wêr't de opdracht útwreidet ta ûnôfhinklik advys en neilibingskontrôles nei it eigen oardiel fan it bedriuw, behannelet de rjochtlinen fan 'e Nederlânske beropsorganisaasjes fan 1 oktober 2019 foar accountants, belestingadviseurs en leanlistprofessionals it as in ferwurker.
• Boekhâlders en belestingadviseurs. Wettelijke kontrôle, gearstalling en belestingoanjefte wurde útfierd ûnder de eigen profesjonele en wetlike taken fan it bedriuw, mei ûnôfhinklik oardiel. Dat wiist op kontrôlerstatus, en in ferwurkingsoerienkomst is dan it ferkearde dokumint.
• Marketingburo's. In buro dat in kampanje tsjin jo klantenlist útfiert, is in ferwurker. Ien dy't publyk opbout of ferriket, of ad-tech útfiert wêrby't it platfoarm de parameters stelt, eigen doelen hat, en mienskiplike kontrôle mei it platfoarm in libbene mooglikheid is.
• IT-leveransiers, hosting en SaaS. Normaal ferwurkers, mar kontrolearje de klausule dy't it rjocht foarbehâldt om "aggregearre" of "gebrûksgegevens" te brûken foar tsjinstferbettering, benchmarking of modeltraining. Foar safier't it giet om persoanlike gegevens, is it it eigen doel fan 'e leveransier en is it in ferantwurdlike derfoar.
• Rekrutearders. In buro dat syn eigen kandidatedatabase ûnderhâldt, is de ferantwurdlike dêrfan. It ferwurkjen fan neamde sollisitanten foar jo fakatuere is meastentiids in miks fan twa ferantwurdliken mei beheinde ferwurking op ynstruksje dertusken.

Mienskiplike kontrôle en de regeling dy't it ynstee fereasket

Wêr't twa partijen mienskiplik doelen en middels bepale, of it no troch in mienskiplike beslissing is of troch besluten dy't konvergearje en ûnlosmeitsjelik mei-inoar ferbûn binne, fereasket art. 26 AVG in regeling ynstee fan in ferwurkingsoerienkomst. It moat transparant bepale wa't betrokkenen antwurdet en wa't transparânsje-ynformaasje, feiligens, melding fan ynbreuken, effektbeoardielingen en oerdrachten behannelet. De essinsje dêrfan moat beskikber steld wurde oan betrokkenen, dy't rjochten kinne útoefenje tsjin beide partijen, hoe't de partijen it ek opdield hawwe, en it bindt noch de Autoriteit Persoonsgegevens noch in rjochtbank.

De ferplichte ynhâld ûnder art. 28 AVG

It kontrakt moat skriftlik wêze, ynklusyf yn elektroanyske foarm, en bindend wêze foar de ferwurker. Art. 28 AVG stelt in fêste list fêst, en de EDPB is eksplisyt dat it net genôch is om de regeling sels werom te lêzen.

Subferwurkers en it autorisaasjeregime

In ferwurker mei gjin subferwurker ynsette sûnder de autorisaasje fan 'e ferantwurdlike. Spesifike foarôfgeande autorisaasje autorisearret elk yndividueel, wat wurket foar in lytse stabile keten, mar net foar in grutte wolktsjinst. Algemiene skriftlike autorisaasje lit de ferwurker subferwurkers tafoegje of ferfange, mits it de ferantwurdlike ynformearret oer bedoelde feroarings en him tastiet om beswier te meitsjen.

Hast elke standert leveransieroerienkomst biedt algemiene autorisaasje, in list en in opzegtermijn, dus de ûnderhanneling giet oer wat dy opzegtermijn wurdich is: in rûte dy't net ôfhinklik is fan it kontrolearjen fan in webside, in perioade dy't lang genôch is om op te hanneljen, en in oanjûn gefolch as jo beswier meitsje, realistysk sjoen beëiniging sûnder boete. Hoe dan ek, de ferwurker moat deselde ferplichtingen efterinoar oplizze en bliuwt oanspraaklik foar de subferwurker. Yn Advys 22/2024 fan 9 oktober 2024 befêstige de EDPB dat ferantwurding útwreidet ta de hiele keten: de ferwurker moat elke subferwurker identifisearje kinne en himsels derfan oertsjûgje dat de befeiligingsmaatregels oeral jilde.

De feiligensferplichting, konkreet makke

"De ferwurker sil passende technyske en organisatoaryske maatregels ymplementearje yn oerienstimming mei art. 32 AVG" is in platitude: it fertelt jo neat en bewiist neat. In brûkbere anneks stelt fersifering ûnderweis en yn rêst en hoe't kaaien wurde beheard; tagongskontrôle, ynklusyf joiner-mover-leaver-prosessen en multifaktor-autentikaasje; wat wurdt registrearre en hoe lang; reservekopyfrekwinsje en testte restauraasje; tiidframes foar patching en penetraasjetests; de sertifikaasjes wêrop fertroud wurdt, mei har omfang; en wêr't gegevens wurde opslein en tagonklik makke , ynklusyf stipepersoniel.

Dit is bewiismjittich wichtich. Yn syn útspraak fan 14 desimber 2023 yn saak C-340/21 (Natsionalna agentsia za prihodite) hat it Hof fan Justysje bepaald dat in feiligensynsidint op himsels net bewiist dat de maatregels net genôch wiene, mar dat de ferantwurdlike de lêst draacht om oan te toanen dat se passend wiene. In datearre taheaksel is dat bewiis; in krúsferwizing is dat net.

Bystân mei rjochten fan betrokkenen en mei melding fan ynbreuk

Beide ferplichtingen binne deadline-oandreaun, en de deadlines hearre ta de ferwurker. Oangeande de rjochten fan betrokkenen moat de ferwurker binnen ien moanne reagearje, dus "ridlike bystân" sûnder tiidsbestek lit jo de fertraging drage. Ferbetterje it: elk fersyk dat de leveransier ûntfangt wurdt binnen in bepaald oantal wurkdagen trochstjoerd en wurdt noait troch him beantwurde; in folslein úttreksel wurdt binnen fiif oant tsien wurkdagen yn in brûkber formaat produsearre; en dit falt binnen de fergoeding ynstee fan in faktuer te triggerjen.

By ynbreuken moat de ferwurker de Autoriteit Persoonsgegevens sûnder ûnredelike fertraging en, wêr mooglik, binnen 72 oeren nei't er derfan op 'e hichte is, ynformearje ûnder art. 33 AVG. Meitsje de plicht fan 'e ferwurker konkreet: melding binnen 24 oeren, oan in neamde kontaktpersoan mei in rûte bûten kantoaroeren, mei in definieare minimale ynhâld, sels as feiten ûnfolslein binne; gearwurking mei forensysk personiel; en in ferbod op it melden fan 'e autoriteit of betrokkenen sûnder jo goedkarring. Organisaasjes dy't binnen it berik falle, melde ek ynsidinten oan har CSIRT ûnder de Nederlânske Cyberbeveiligingswet, dy't de NIS2-rjochtline ymplementearret en sûnt 15 augustus 2026 fan tapassing is.

Kontrôlerjochten en hoe't se ûnderhannele wurde

Art. 28 AVG fereasket dat de ferwurker sawol de ynformaasje beskikber stelt dy't nedich is om neilibjen oan te toanen as audits, ynklusyf ynspeksjes, troch de ferwurker of in auditor dy't hy mandaat jout, mooglik makket en deroan bydrage moat. In klausule dy't allinich "ús lêste sertifikaasje" biedt, slacht tekoart. It kompromis dêr't de measte Nederlânske ûnderhannelings ta liede: in jierliks ​​​​fersekeringsrapport as rjocht, mei it omfangsdokumint; in dokumintearre audit ien kear yn 't jier, plus in fierdere audit nei in ynbreuk dy't jo gegevens beynfloedet of op fersyk fan in tafersjochhâldende autoriteit; tritich dagen fan tefoaren; omfang beheind ta jo tsjinsten; in auditor dy't gjin konkurrint is; en kosten dy't jo drage, útsein as der wichtige net-neilibjen fûn wurdt.

Weromjaan of wiskjen oan 'e ein

De kar is oan de ferwurker, en it kontrakt moat dat sizze ynstee fan it te reservearjen oan de leveransier. Spesifisearje it eksportformaat, de deadline, meastal tritich dagen nei beëiniging, skriftlike befêstiging fan wiskjen, en hoe't reservekopyen behannele wurde, wat realistysk betsjut dat de gegevens yn in dokumintearre syklus bliuwe, beskerme en net brûkt, oant se oerskreaun wurde. Sprek foarôf ôf oer útgongsassistinsje en tariven, en slút elk rjocht út om gegevens yn te hâlden fanwegen betwiste fergoedingen.

Oanspraaklikens, skeafergoedingen en it eigen oanspraaklikensregime fan 'e GDPR

Art. 82 AVG jout in betrokkene in rjocht op kompensaasje foar materiële en immateriële skea. In ferwurker is oanspraaklik foar skea feroarsake troch ferwurking dy't yn striid is mei de regeling; in ferwurker is oanspraaklik as er net foldien hat oan ferplichtingen dy't spesifyk rjochte binne op ferwurkers, of bûten of yn striid mei wetlike ynstruksjes hannele hat. As beide belutsen binne by deselde ferwurking, kin elk oanspraaklik steld wurde foar de folsleine skea, mei letter regres. Dy bleatstelling kin net fuortkontraktearre wurde; it kontrakt wijst it ynterne oandiel ta. Boetes binne apart: oertredings fan art. 28 AVG falle yn 'e legere klasse yn art. 83 AVG.

• Standertbetingsten beheine oanspraaklikens ta in mearfâld fan fergoedingen en slute "yndirekte en gefolchlike skea" út. As regeljouwingsboetes, notifikaasje- en forensyske kosten en kompensaasje oan betrokkenen ûnder dy útsluting falle, is de skeafergoeding dekoratyf: list se as werom te heljen direkt ferlies.
• Sykje in útsûndering, of in ferhege limyt, foar skeining fan 'e ferwurkingsoerienkomst, skeining fan fertroulikens, en opsetlike of roekeloze skeining.
• In boete dy't jo oplein wurdt, kin net trochberekend wurde as in boete, mar kin wol weromhelle wurde as ferlies ûnder in goed opstelde skeafergoeding. Nederlânske kollektive aksjes ûnder it WAMCA-rezjym meitsje gearfoege oanspraken in realistyske bleatstelling, wat pleitet tsjin in bespotlik plafond.

Ynternasjonale oerdrachten en standertklausules

As de ferwurker, syn subferwurkers of syn stipepersoniel tagong hawwe ta de gegevens fan bûten de EER, binne haadstik V fan 'e AVG en it rezjym foar ynternasjonale gegevensoerdrachten fan tapassing boppe op art. 28. Tagong op ôfstân telt, en dat jildt ek foar in stipeburo yn it bûtenlân.

By it ûntbrekken fan in adekwaatheidsbeslút ûnder art. 45 AVG, binne de gewoane ark de standert kontraktuele klausules oannommen troch Útfieringsbeslut (EU) 2021/914 fan 'e Kommisje fan 4 juny 2021, ûnder art. 46 AVG. Twa punten wurde geregeldwei mist. De modules dy't oerdrachten fan ferwurker nei ferwurker en fan ferwurker nei subferwurker behannelje, foldogge ek oan 'e easken fan art. 28 AVG, dus in aparte ferwurkingsoerienkomst is net nedich foar dat ûnderdiel, hoewol in protte kontrakten beide kombinearje. En nei it útspraak fan it Hof fan Justysje fan 16 july 2020 yn saak C-311/18 (Schrems II), is ûndertekening net it ein: de partijen moatte beoardielje oft de wet en praktyk fan it bestimmingslân de ymporteur foarkomme om te foldwaan, en oanfoljende maatregels tafoegje wêr't se dat dogge. Dokumintearje dy beoardieling; de oanbefellings 01/2020 fan 'e EDPB, oannommen op 18 juny 2021, stelle noch altyd de oanpak fêst.

Foar de Feriene Steaten bliuwt it adekwaatheidsbeslút fan 'e Kommisje fan 10 july 2023 foar it EU-US Data Privacy Framework fan krêft, mar it helpt allinich as de spesifike ûntfanger aktyf sels-sertifisearre is foar de relevante gegevenskategoryen, dus ferifiearje de sertifikaasje. It oerlibbe syn earste útdaging: it Gerjochtshôf ferwiisde de aksje by útspraak fan 3 septimber 2025 yn saak T-553/23 (Latombe tsjin Kommisje). In berop waard yntsjinne op 31 oktober 2025 as saak C-703/25 P en it Hof fan Justysje hie de saak op 'e datum fan dizze pagina yn 2026 noch net sletten; it adekwaatheidsbeslút is ûnderwilens noch opskort noch wizige. Lit it gjin ienich punt fan mislearring wurde: hâld de klausules en in dokumintearre beoardieling as in fallback, en behannelje it oanhingjende berop as in reden om ien te hawwen ynstee fan in reden om te wachtsjen. De Autoriteit Persoonsgegevens hat Uber by beslút fan 22 july 2024 in boete fan € 290 miljoen oplein foar it oerdragen fan sjauffeursgegevens nei de Feriene Steaten sûnder in gaadlik oerdrachtynstrumint nei't it opholden wie mei it brûken fan 'e klausules; Uber stelde dat it fan doel wie beswier te meitsjen, de AP hat gjin beslút oer dat beswier publisearre, en de boete moat dêrom lêzen wurde as in ferklearring fan it stânpunt fan 'e tafersjochhâlder ynstee fan in fêststeld presedint.

Ien gat yn 'e toolkit is noch iepen. De Kommisje hat sein dat se in fierdere set standert kontraktklausules taret foar ymporteurs bûten de EU waans ferwurking sels direkt ûnderwurpen is oan 'e AVG ûnder art. 3 - de situaasje wêryn't de klausules fan 2021 net noflik passe. Dy klausules wiene op 'e datum fan dizze pagina yn 2026 noch net oannaam, dus foar dy konfiguraasje moatte de beoardieling en de befeiligingsmaatregels mei de hân yn it kontrakt ynboud wurde.

Binne de klausules fan 'e Kommisje foar ferwurkers en ferwurkers ferplicht?

Nee. Útfieringsbeslissing (EU) 2021/915 fan 'e Kommisje fan 4 juny 2021 jout standert kontraktklausules tusken ferwurkers en ferwurkers foar gebrûk binnen de EER, mar it brûken dêrfan is opsjoneel: partijen kinne har eigen kontrakt ûnderhannelje, mits it alles befettet wat art. 28 AVG fereasket. De klausules kinne binnen in breder kontrakt sitte mei ekstra, net-tsjinstridige betingsten, mar meie sels net oanpast wurde, dus maatwurk bart yn 'e bylagen. Maatwurkoerienkomsten en sektormodellen bliuwe de Nederlânske noarm, wat akseptabel is, mits de ynhâld der is.

Hanthavening troch de Autoriteit Persoonsgegevens

De AP hat dit direkt ûndersocht. It hat de ferwurkingsoerienkomsten beoardiele dy't brûkt wurde troch 31 partikuliere sektororganisaasjes yn hannel, sûnenssoarch, media, frije tiid en enerzjy, en publisearre syn befiningen yn 2020 ûnder de kop dat "de" ferwurkingsoerienkomst net bestiet. It fûn oerienkomsten dy't net folle mear diene as de regeling sitearje, feiligenstaal dy't oanjûn dat in belied bestie sûnder te sizzen wat it fereasket, en oerienkomsten dy't noch altyd opsteld binne ûnder de âlde Nederlânske wet op gegevensbeskerming.

Ferwachtsje yn in ûndersyk dat de AP wurket fan jo rekord fan ferwurkingsaktiviteiten nei de kontrakten mei de leveransiers dy't dêryn neamd wurde, dan nei de feiligensanneks, list mei subferwurkers en oerdrachtdokumintaasje, en dan nei bewiis dat jo wat mei har dien hawwe: in net-lêzen assurancerapport is gjin tafersjoch. Skuld is ek wichtich, om't yn saak C-683/21 it Hof fan Justysje befêstige hat dat in boete opsetlike of sleauwichheid ynbreuk fereasket. De strategyske fokus fan 'e AP foar 2026 oant 2028 omfettet massa-tafersjoch, keunstmjittige yntelliginsje en digitale fearkrêft, wêrby't de lêste útdruklik feiligens fan 'e supply chain omfettet.

In checklist foar it besjen fan 'e standert ferwurkingsoerienkomst fan in leveransier

• Binne de rollen goed? As de leveransier in ûnôfhinklike ferwurker is, tekenje dan hielendal gjin ferwurkingsoerienkomst.
• Is de ferwurkingsbeskriuwing foltôge, of in lege anneks, en lit eat ferwurking ta foar de eigen ferbettering, analyse of modeltraining fan 'e leveransier?
• Binne de feiligensmaatregels anneksearre en spesifyk, mei neamde sertifikaten en harren omfang?
• Is de list mei subferwurkers beskikber, wurdt jo in melding stjoerd, hat beswieren gefolgen, en binne subferwurkers oan elkoar bûn?
• Is de melding fan in ynbreuk binnen in fêste koarte perioade, en is de leveransier ferbean om de autoriteit sels te melden?
• Binne deadlines foar oanfragen fan betrokkene persoanen fêststeld en binnen de fergoeding, en is der in echt kontrôlerjocht ynstee fan allinich in sertifikaat?
• Is wiskjen of weromjaan oan jo kar, mei opmaak, deadline en reservekopybehanneling?
• Wêr wurde de gegevens opslein en tagonklik makke, en is it juste oerdrachtark oanwêzich foar elke etappe?
• Litte de limyt en de útsluting fan yndirekte ferlies de skeafergoeding mei echte ynhâld, en is der in ynterne eigener en in resinsjedatum?

Law & More ûntwerpt, beoardielet en ûnderhannelet ferwurkingsoerienkomsten foar Nederlânske en ynternasjonale bedriuwen fan Eindhoven en Amsterdam, en advisearret oer rollen fan ferantwurdlike en ferwurker, oerdrachten bûten de EER en ûndersiken troch de Autoriteit Persoonsgegevens.