Blog: Toezicht op verwerkers stopt niet bij de handtekening

Auteur: Gosse Bijlenga

Het begint bij uitbesteden

Als een externe partij gegevens namens jouw organisatie verwerkt, is die partij zeer waarschijnlijk een verwerker en vereist artikel 28 AVG een verwerkersovereenkomst[1]. In de praktijk wordt die overeenkomst opgesteld, ondertekend en gearchiveerd, waarna de verwerker vooral weer in beeld komt als er iets misgaat.

Wat daarbij vaak ontbreekt, is de beoordeling die aan het contract voorafgaat. Artikel 28 lid 1 AVG verplicht de verwerkingsverantwoordelijke om alleen verwerkers in te schakelen die voldoende garanties bieden voor passende technische en organisatorische maatregelen[2]. De EDPB werkt dit in Guidelines 07/2020 uit als een risicogestuurde beoordeling van de deskundigheid, betrouwbaarheid en middelen van de verwerker, te onderbouwen met documenten zoals privacybeleid, verwerkingsregisters, beveiligingsbeleid, auditrapportages en certificeringen[3].

Deze verplichting is bovendien doorlopend: de garanties moeten met enige regelmaat opnieuw worden geverifieerd, niet alleen bij aanvang. Wie alleen de contractfase invult, voldoet dus niet aan wat artikel 28 werkelijk vraagt en loopt achter op wat bredere beveiligingswetgeving, zoals de Cbw, van organisaties verwacht.

Wat de wet werkelijk vraagt

Artikel 28 lid 1 AVG bepaalt dat je uitsluitend verwerkers mag inschakelen die “afdoende garanties” bieden voor passende technische en organisatorische maatregelen.[4] Daarbij gaat het uitdrukkelijk om de betrouwbaarheid van de verwerker zelf: de deskundigheid, middelen die zij inzet en de reputatie.[5] En dat is geen detail. Door de verwerking uit te besteden, besteed je de verantwoordelijkheid niet uit. Artikel 24 AVG benadrukt namelijk dat een verwerkingsverantwoordelijke passende maatregelen moet treffen om naleving te waarborgen én te kunnen aantonen. Onder die passende maatregelen verstaat de AVG ook het afsluiten van een verwerkersovereenkomst. Je bent de dus als verwerkingsverantwoordelijke aansprakelijk voor het feit of je een betrouwbare verwerker hebt gekozen én blijft inzetten.[6]

Het sleutelwoord in artikel 28 lid 1 is dan ook niet “afdoende”, maar “garanties” en het uitgangspunt daar achter. Garanties moeten er niet alleen zijn op het moment van tekenen, maar gedurende de hele looptijd van de uitbesteding van de verwerking.

Hoe vertaal je die garanties naar de praktijk? Artikel 28 lid 3 schrijft voor dat de verwerking wordt geregeld in een verwerkersovereenkomst die een reeks concrete onderwerpen vastlegt: dat de verwerker uitsluitend op instructies van de verwerkingsverantwoordelijke handelt, geheimhouding waarborgt, passende beveiligingsmaatregelen (artikel 32) treft, voorwaarden rondom het inschakelen van subverwerkers naleeft, de verwerkingsverantwoordelijke bijstaat bij verzoeken van betrokkenen en bij beveiligingsincidenten, de gegevens na afloop wist of teruggeeft, en controle mogelijk maakt.[7] De European Data Protection Board (EDPB) benadrukt daarbij dat bij een dergelijke overeenkomst de partijen niet kunnen volstaan met het overschrijven van de verordening. De overeenkomst moet concreet maken hóé aan de eisen wordt voldaan en welk beveiligingsniveau geldt.[8]

Het loont de moeite twee dingen te scheiden die in de praktijk door elkaar lopen. Het sluiten van die overeenkomst is een formele verplichting. De inhoudelijke beoordeling of een verwerker daadwerkelijk afdoende garanties biedt en blijft bieden is een aparte, doorlopende verplichting. Een getekend contract bewijst het eerste, niet het tweede.

Vóór het contract: de garantietoets

Voordat je in zee gaat met een leverancier of andere derde partij, beoordeel je of die partij de bescherming daadwerkelijk aankan. Niet met een vinkje, maar met een onderbouwd oordeel. Heeft deze partij de kennis en de middelen om persoonsgegevens te beveiligen, en geeft haar staat van dienst vertrouwen dat zij dat ook doet? De EDPB wijst op precies deze elementen, en beschouwt certificering of aansluiting bij een goedgekeurde gedragscode daarbij als belangrijke aanwijzing.[9] In de praktijk ontbreekt het vaak aan formele AVG certificering of gedragscodes. Als verwerkingsverantwoordelijke zal je dan zelf onderzoek moeten doen.

Tijdens de looptijd: het instrument dat vaak ongebruikt blijft

Hier wringt het in de praktijk. Artikel 28 lid 3 sub h, verplicht de verwerker om alle informatie te verstrekken die nodig is om naleving aan te tonen, én om audits en inspecties mogelijk te maken.[10] Veel organisaties lezen dit als een afvinkbare contractbepaling. Het is echter een instrument dat is bedoeld om gebruikt te worden. Niet eenmalig, maar gedurende de samenwerking. Juist omdat je verantwoordelijk blijft voor de vraag of de verwerker betrouwbaar is, is dit recht er om benut te worden. Let wel op: deze bepaling geeft je het recht om te controleren. Zij verplicht je niet om altijd zelf een audit uit te voeren.

Moet ik dan auditen?

Het korte antwoord: nee, er bestaat geen zelfstandige plicht om elke verwerker te auditen. Maar zoals gezegd bestaat wél een doorlopende plicht om te waarborgen dat de garanties op orde blijven, en om dat te kunnen aantonen.[11] Hoe je dat doet en hoe diepgaand, hangt af van het risico. Een verwerker die enkel een e-mailadres voor een nieuwsbrief verwerkt, vraagt om een andere benadering een partij die medische gegevens van duizenden patiënten host. Voor de eerste volstaat de kopie van een actueel certificaat; voor de tweede ligt een inhoudelijke beoordeling of audit voor de hand.

De wet schrijft dus geen vast controleritme of verplichte auditfrequentie voor. Wat zij vraagt, is een doorlopende, risico gebaseerde afweging, én dat je kunt laten zien dat je dat proces constant uitvoert.

Geen privacy gril, maar bredere governance

Wie dit afdoet als juridische haarkloverij, mist een groter punt. Dezelfde verplichting keert terug in de bredere beveiligingswetgeving. De aanstaande Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn, door de Tweede Kamer aangenomen en met een beoogde inwerkingtreding van augustus 2026., egt organisaties een expliciete zorgplicht. Deze zorgplicht omvat ketenverantwoordelijkheid, aantoonbaar passende eisen stellen aan toeleveranciers én toezicht houden op de uitvoering daarvan, op basis van risico.[12] De internationale norm ISO/IEC 27002:2022 kent zelfs een aparte beheersmaatregel voor het doorlopend monitoren en beoordelen van de dienstverlening van leveranciers.[13] En de BIO2, het normenkader voor de Nederlandse overheid, schrijft een risico-gedreven toepassing voor en verankert informatiebeveiliging als een continue cyclus binnen een managementsysteem.[14]

Eén nuance is hier cruciaal, en organisaties verwarren die regelmatig: een leverancier is niet automatisch een verwerker, en een verwerker valt niet automatisch onder de Cyberbeveiligingswet. Elk kader heeft zijn eigen reikwijdte. Maar waar ze elkaar raken, wijzen ze dezelfde kant op. Toezicht op de verwerker die namens jouw organisatie gegevens verwerkt of jouw informatie beheert, is een doorlopende verantwoordelijkheid van de organisatie zelf.

Wat dit betekent voor de praktijk

Een doorlopend, risico-gebaseerd proces vraagt om één praktische keuze: namelijk dat je jouw verwerkers naar risico onderscheidt. Niet elke verwerker verdient dezelfde aandacht, en zonder onderscheid wordt elk toezicht óf onhaalbaar óf oppervlakkig. Dit staat niet met zoveel woorden in de AVG, maar een indeling naar risico is de manier waarop je de wettelijke eisen werkbaar en aantoonbaar kan maken.

Tot slot

De vraag voor jouw organisatie is niet of je de verwerkersovereenkomsten op orde heeft. De vraag is of je, bijvoorbeeld twee jaar na ondertekening, nog kan aantonen dat jouw verwerkers de afgesproken bescherming nog steeds bieden. Kan je dat niet, dan is de handtekening van toen vandaag weinig waard.

L2P