AVG bewerkersovereenkomst aansprakelijkheid: wie draagt het risico bij een datalek?

Bij een datalek draagt de verwerkingsverantwoordelijke in beginsel het risico. De verwerker is op grond van artikel 82 AVG alleen aansprakelijk als hij zijn eigen verwerkersverplichtingen schendt of buiten de instructies van de opdrachtgever handelt. Wie het onderwerp AVG bewerkersovereenkomst aansprakelijkheid wil begrijpen, kijkt daarom eerst naar de wet en pas daarna naar het contract.

De hoofdlijnen

• De verwerkingsverantwoordelijke is tegenover betrokkenen aansprakelijk voor alle schade door een verwerking die in strijd is met de AVG (artikel 82 lid 2).
• De verwerker is tegenover betrokkenen alleen aansprakelijk als hij specifiek tot verwerkers gerichte verplichtingen niet nakomt, of buiten of in strijd met rechtmatige instructies handelt.
• Zijn beide partijen betrokken bij de schade, dan kan de betrokkene ieder van hen voor het geheel aanspreken (artikel 82 lid 4). Onderling kunnen zij vervolgens verhaal nemen (artikel 82 lid 5).
• Over AVG bewerkersovereenkomst aansprakelijkheid onderhandelt u vrij: artikel 28 lid 3 schrijft die afspraken niet voor. Let daarom op plafonds, vrijwaringen en de verhouding met de hoofdovereenkomst.
• De bewerkersovereenkomst regelt alleen de onderlinge verdeling van het risico. Ze beperkt nooit de rechten van betrokkenen en ook geen boete van de Autoriteit Persoonsgegevens.

De vraag naar AVG bewerkersovereenkomst aansprakelijkheid komt in onze praktijk vrijwel altijd pas op tafel nadat er iets is misgegaan. Dan blijkt dat partijen jaren geleden een model hebben getekend zonder te weten wie uiteindelijk de rekening betaalt. In dit artikel leg ik uit hoe de wet het risico verdeelt, wat de overeenkomst daaraan kan veranderen en welke afspraken u beter vooraf maakt. Eerst nog een opmerking over het woordgebruik: ‘bewerkersovereenkomst’ stamt uit de oude Wet bescherming persoonsgegevens. De AVG spreekt van verwerkersovereenkomst. In de praktijk worden beide termen voor hetzelfde document gebruikt.

Hoe verdeelt artikel 82 AVG de aansprakelijkheid bij een datalek?

Artikel 82 AVG geeft iedere betrokkene die materiële of immateriële schade lijdt door een inbreuk op de verordening het recht op schadevergoeding. De verordening wijst daarbij twee partijen aan die kunnen worden aangesproken.

De verwerkingsverantwoordelijke is aansprakelijk voor de schade die wordt veroorzaakt door een verwerking die inbreuk maakt op de AVG. Dat is een brede norm. U bepaalt het doel en de middelen van de verwerking, dus u staat ook vooraan als het misgaat, ook wanneer de feitelijke fout bij uw leverancier ligt.

De verwerker is slechts aansprakelijk in twee situaties: wanneer hij niet heeft voldaan aan de verplichtingen die de AVG specifiek aan verwerkers oplegt (zoals de beveiligingsplicht van artikel 32 en de meldplicht richting de verantwoordelijke van artikel 33 lid 2), of wanneer hij buiten of in strijd met uw rechtmatige instructies heeft gehandeld.

Beide partijen kunnen zich alleen van aansprakelijkheid bevrijden als zij bewijzen dat zij op geen enkele wijze verantwoordelijk zijn voor het schadeveroorzakende feit (artikel 82 lid 3). Die bewijslast ligt dus bij de organisatie, en niet bij de betrokkene. Het Hof van Justitie van de EU heeft in 2023 verduidelijkt dat een betrokkene wel daadwerkelijk schade moet aantonen, maar dat voor immateriële schade geen ondergrens geldt.

Kan een betrokkene de verwerker of de verantwoordelijke voor het geheel aanspreken?

Ja. Als zowel de verantwoordelijke als de verwerker bij dezelfde verwerking betrokken zijn en beiden verantwoordelijk zijn voor de schade, wordt ieder van hen voor de gehele schade aansprakelijk gehouden. De verordening doet dit uitdrukkelijk om te garanderen dat de betrokkene daadwerkelijk wordt vergoed. In de praktijk komt dit neer op hoofdelijke aansprakelijkheid.

Wie de volledige schade heeft vergoed, kan daarna op grond van artikel 82 lid 5 het deel verhalen dat overeenkomt met het aandeel van de andere partij in de schade. Precies op dat punt wordt het thema AVG bewerkersovereenkomst aansprakelijkheid concreet. De wet zegt namelijk niets over hoe u dat aandeel vaststelt. Zonder afspraken belandt u in een discussie achteraf, op een moment dat de verhoudingen al onder druk staan.

AVG bewerkersovereenkomst aansprakelijkheid: wat regelt het contract zelf?

Artikel 28 lid 3 AVG schrijft voor wat er minimaal in een verwerkersovereenkomst moet staan: onderwerp en duur van de verwerking, aard en doel, het soort persoonsgegevens, de categorieën betrokkenen en een reeks verplichtingen van de verwerker. Aansprakelijkheid staat niet in dat verplichte lijstje. Het onderwerp AVG bewerkersovereenkomst aansprakelijkheid is daarmee vrij onderhandelbaar, en leveranciers maken daar gebruik van.

Drie afspraken bepalen in de praktijk wie het risico draagt:

1. De aansprakelijkheidsbeperking. Veel leveranciers maximeren hun aansprakelijkheid op de jaarlijkse contractwaarde of een vast bedrag. Bij een datalek met duizenden betrokkenen staat dat plafond vaak in geen verhouding tot de werkelijke schade.
2. De vrijwaring. Wie vrijwaart wie voor claims van betrokkenen en voor kosten van onderzoek, herstel en communicatie? Een eenzijdige vrijwaring ten gunste van de leverancier verschuift het risico volledig naar u.
3. De verhouding met de hoofdovereenkomst. Als de algemene voorwaarden van de leverancier een uitsluiting van gevolgschade bevatten, kan die ook de schade door een datalek raken. Leg vast welke regeling voorgaat.

Krijgt u een model van de leverancier voorgelegd, loop dan deze drie punten als eerste na. Hoe u zo’n document systematisch beoordeelt, leest u in ons artikel over het beoordelen van de verwerkersovereenkomst van uw leverancier.

Wat kan de bewerkersovereenkomst niet regelen?

De overeenkomst werkt uitsluitend tussen u en de verwerker. Zij kan de rechten van betrokkenen uit artikel 82 niet beperken en zij bindt de Autoriteit Persoonsgegevens niet. Een boete wegens een gebrekkige of ontbrekende verwerkersovereenkomst valt onder artikel 83 lid 4 AVG en kan oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Die boete kunt u contractueel niet afwentelen op een partij die zelf geen overtreding heeft begaan.

Wanneer verschuift het risico naar de verwerker?

Het risico komt bij de leverancier te liggen zodra die zijn eigen verplichtingen schendt. De meest voorkomende situaties:

• De verwerker heeft geen passende technische en organisatorische beveiligingsmaatregelen getroffen, terwijl artikel 32 AVG hem daartoe rechtstreeks verplicht.
• De verwerker meldt een datalek niet zonder onredelijke vertraging aan u, waardoor u de termijn van 72 uur richting de Autoriteit Persoonsgegevens niet haalt. Hoe die melding verloopt, beschrijf ik in dit artikel over het melden van een datalek.
• De verwerker schakelt een subverwerker in zonder uw toestemming, of legt die subverwerker niet dezelfde verplichtingen op. Zie ook ons artikel over de bewerkersovereenkomst met een subverwerker.
• De verwerker gebruikt de gegevens voor eigen doeleinden. Op grond van artikel 28 lid 10 AVG wordt hij dan zelf aangemerkt als verwerkingsverantwoordelijke, met alle verplichtingen en risico’s die daarbij horen.

Let op de spiegelzijde. Geeft u zelf onduidelijke of onvolledige instructies, of accepteert u een beveiligingsniveau waarvan u had kunnen weten dat het ontoereikend was, dan blijft een groot deel van het risico bij uw organisatie. Artikel 28 lid 1 verplicht u om uitsluitend verwerkers in te schakelen die afdoende garanties bieden. Een leverancier controleren is dus geen formaliteit. Bij een geschil over AVG bewerkersovereenkomst aansprakelijkheid weegt uw eigen zorgvuldigheid bij de selectie zwaar mee.

Welke afspraken over een datalek horen in de bewerkersovereenkomst?

Een goede regeling voor datalekken voorkomt dat u in de eerste 72 uur na een incident over het contract moet discussiëren. Wij adviseren onze opdrachtgevers de volgende punten rond AVG bewerkersovereenkomst aansprakelijkheid concreet vast te leggen:

1. Een meldtermijn in uren richting de verantwoordelijke, bijvoorbeeld binnen 24 uur na ontdekking, en de contactgegevens van beide kanten.
2. Welke informatie de verwerker bij de eerste melding aanlevert: aard van de inbreuk, categorieën en aantallen betrokkenen, waarschijnlijke gevolgen en getroffen maatregelen.
3. De verplichting om mee te werken aan onderzoek, bewijsmateriaal veilig te stellen en de kosten daarvan te dragen als het lek aan de verwerker te wijten is.
4. Wie betrokkenen informeert en wie de communicatie met de toezichthouder voert. Dat blijft de verantwoordelijke, maar de verwerker levert de inhoud.
5. Een regresregeling: hoe het aandeel van ieder in de schade wordt bepaald en hoe snel verhaal plaatsvindt.
6. Een verwijzing naar herkenbare beveiligingsnormen, zoals ISO 27001 of NEN 7510, met een jaarlijks recht op inzage in auditrapporten. De praktische beveiligingsadviezen van het Nationaal Cyber Security Centrum zijn een bruikbare toetssteen.

Wil een leverancier deze afspraken niet maken, dan is dat op zichzelf al informatie over het risico dat u loopt. Wat u in die situatie kunt doen, leest u in ons artikel over de leverancier die niet wil tekenen.

Hoe gaat u hier organisatorisch verstandig mee om?

Juridische zuiverheid is één kant van de zaak. De andere kant is haalbaarheid. Een gemeente, zorginstelling of onderwijsorganisatie heeft vaak tientallen tot honderden verwerkers en kan onmogelijk met elk van hen uitonderhandelen. Mijn advies is daarom om AVG bewerkersovereenkomst aansprakelijkheid risicogestuurd aan te pakken: breng in kaart welke verwerkers bijzondere persoonsgegevens of grote aantallen betrokkenen verwerken, en besteed uw onderhandelingscapaciteit aan die contracten. Voor de overige leveranciers volstaat vaak een eigen standaardmodel met een redelijke aansprakelijkheidsregeling.

Zorg daarnaast dat iemand binnen uw organisatie het overzicht houdt: welke overeenkomsten zijn gesloten, wanneer zijn ze voor het laatst beoordeeld en welke afwijkingen zijn geaccepteerd. Een privacy officer of functionaris gegevensbescherming vervult die rol doorgaans. Een datalek is op zichzelf al vervelend genoeg. Het hoeft geen contractueel conflict met uw belangrijkste leverancier te worden.

Veelgestelde vragen

Is de verwerker aansprakelijk voor een datalek dat bij hem ontstaat?

Alleen als het datalek het gevolg is van een schending van zijn eigen verwerkersverplichtingen, zoals onvoldoende beveiliging, of van handelen buiten uw instructies. Ontstaat het lek ondanks passende maatregelen en binnen de instructies, dan blijft het risico in beginsel bij de verwerkingsverantwoordelijke.

Mag een leverancier zijn aansprakelijkheid in de bewerkersovereenkomst beperken?

Ja, de AVG verbiedt dat niet. Afspraken over AVG bewerkersovereenkomst aansprakelijkheid werken echter alleen tussen u en de leverancier. Tegenover betrokkenen blijft ieder voor de gehele schade aansprakelijk en een boete van de toezichthouder kan contractueel niet worden weggeschreven.

Wie meldt een datalek bij de Autoriteit Persoonsgegevens: de verwerker of de verantwoordelijke?

De verwerkingsverantwoordelijke meldt het datalek, uiterlijk 72 uur nadat hij er kennis van heeft genomen. De verwerker moet het incident zonder onredelijke vertraging aan de verantwoordelijke melden, zodat die termijn haalbaar blijft.

Verandert de aansprakelijkheid als de verwerker gegevens voor eigen doelen gebruikt?

Ja. Een verwerker die zelf doel en middelen van de verwerking bepaalt, wordt op grond van artikel 28 lid 10 AVG als verwerkingsverantwoordelijke aangemerkt. Hij draagt dan de volledige verantwoordelijkheid voor die verwerking.

Is een oude bewerkersovereenkomst uit de Wbp-tijd nog bruikbaar?

Soms, maar alleen als de inhoud voldoet aan de eisen van artikel 28 lid 3 AVG. Oude overeenkomsten missen vaak afspraken over subverwerkers, bijstand bij datalekken en audits, waardoor het risico bij een incident onnodig bij u blijft liggen.