{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/nl\/de-rol-van-de-onderaannemer-onder-de-avg-begrijpen-verantwoordelijkheden-en-implicaties\/","title":{"rendered":"Inzicht in de rol van de onderaannemer onder de AVG: Verantwoordelijkheden en implicaties"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

GDPR-onderaannemer: Waarom het evalueren van uw dienstverleners een cruciale kwestie is geworden voor uw bedrijf<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Het uitbesteden van de verwerking van gegevens aan een dienstverlener ontslaat een bedrijf nooit van zijn verantwoordelijkheden. Sinds 2021, CNIL<\/strong> heeft de sancties verscherpt tegen organisaties die hun systemen niet naar behoren hadden beoordeeld of gereguleerd. GDPR-onderaannemer<\/strong> \u20ac1 miljoen tegen Mobius Solutions in december 2025, \u20ac1,5 miljoen tegen Dedalus Biologie, \u20ac600.000 tegen Canal+ Group, \u20ac800.000 tegen Discord. De boodschap is duidelijk: besteed de verwerking van uw gegevens uit. persoonlijke gegevens<\/strong> is geen delegeren van naleving.<\/p>\n

Voor managers is de focus verschoven van juridische zaken naar risicomanagement. Het evalueren van dienstverleners en het formaliseren van processen zijn hierbij van belang. de GDPR-onderaannemingsovereenkomst<\/strong>Het bewaken van de keten over tijd: dit zijn wettelijke verplichtingen waarvan de niet-naleving kostbaar is.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Inzicht in de rol van de GDPR-onderaannemer en diens verplichtingen.<\/h2>

Wie wordt er verstaan onder een onderaannemer in de zin van de AVG?<\/h3>

De AVG definieert een gegevensverwerker als elke natuurlijke of rechtspersoon die gegevens verwerkt. persoonlijke gegevens<\/strong> namens gegevensbeheerder<\/strong>Zodra een serviceprovider toegang krijgt tot, gegevens host, analyseert of opslaat, treedt er een probleem op. persoonlijke gegevens<\/strong> De diensten die u aan hem toevertrouwt, zijn als onderaannemer: cloudhosting, SaaS-uitgevers, salarisadministratiebedrijven, marketingbureaus, callcenters, CRM-systemen, e-mailproviders en IT-onderhoudsbedrijven.<\/p>

De grens met de status van gegevensbeheerder<\/strong> is niet altijd even duidelijk. Een dienstverlener die het doel of de wijze van gegevensverwerking bepaalt, valt in een hogere categorie en draagt dan de volledige verantwoordelijkheid. Dit is precies de valkuil waar Mobius Solutions Ltd in trapte, met een boete van \u00e9\u00e9n miljoen euro tot gevolg. CNIL<\/strong> In december 2025 werd Deezer veroordeeld voor het hergebruiken van Deezer-gegevens om de eigen diensten te verbeteren, zonder enige instructie van de klant.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

De verplichtingen van de onderaannemer zoals omschreven in artikel 28.<\/h3>

Artikel 28 van de AVG somt specifiek de volgende zaken op: verplichtingen van de onderaannemer<\/strong> : handel uitsluitend volgens gedocumenteerde instructies, garandeer de vertrouwelijkheid van bevoegd personeel, implementeer passende technische en organisatorische beveiligingsmaatregelen, ondersteun de gegevensbeheerder<\/strong> bij het beheren van de rechten van individuen en het melden van schendingen, het verwijderen of teruggeven van gegevens aan het einde van de dienstverlening, en het onderhouden van een registratie van verwerkingsactiviteiten<\/strong> specifiek voor zijn activiteit.<\/p>

Deze laatste verplichting wordt vaak over het hoofd gezien. De CNIL (Franse Autoriteit voor Gegevensbescherming) heeft er echter in verschillende recente sancties op gewezen, waaronder in de zaak tegen Mobius Solutions. Het niet bijhouden van een register betekent dat men zichzelf het belangrijkste bewijs van naleving ontneemt in geval van een audit.<\/p>

Trapsgewijze onderaanneming: voorafgaande toestemming is verplicht<\/h3>

Een onderaannemer mag een volgende onderaannemer ("cascade") alleen inschakelen met voorafgaande schriftelijke toestemming, specifiek of algemeen, van de opdrachtgever. gegevensbeheerder<\/strong>In het geval van algemene autorisatie moet de aanbieder de klant op de hoogte stellen van eventuele wijzigingen, zodat de klant bezwaar kan maken. Een SaaS-aanbieder die afhankelijk is van een cloudhostingprovider, die op zijn beurt gebruikmaakt van een monitoringsubaanbieder, moet elke schakel in de keten kunnen documenteren.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

De verplichting om onderaannemers te evalueren: een plicht die te vaak wordt verwaarloosd.<\/h2>

Een expliciete en structurerende verplichting van de AVG.<\/h3>

Artikel 28, lid 1 van de AVG is ondubbelzinnig: de gegevensbeheerder<\/strong> "Maak alleen gebruik van onderaannemers die voldoende garanties bieden." Dit is geen aanbeveling, maar een positieve verplichting. Voordat een contract wordt afgesloten, moet de manager ervoor zorgen dat de dienstverlener over de vaardigheden, procedures en organisatie beschikt om gegevens te verwerken in overeenstemming met de regelgeving.<\/p>

Dit houdt een geformaliseerde evaluatieprocedure in: een criteria-raster, een nalevingsvragenlijst en een verzoek om ondersteunende documenten (beveiligingsbeleid, certificeringen, enz.). DPA<\/strong>, register, aanduiding van een DPO<\/strong>), analyse van latere onderaannemers, verificatie van de serverlocatie en eventuele potenti\u00eble gegevensoverdracht<\/strong> buiten de EU. Deze beoordeling moet worden bijgehouden en bewaard; zonder deze beoordeling kan de manager noch zijn zorgvuldigheid, noch zijn naleving van het verantwoordingsbeginsel aantonen.<\/p>

Sancties van de CNIL die managers zouden moeten alarmeren<\/h3>

In 2024, de CNIL<\/strong> Het heeft 87 sancties opgelegd met een totale waarde van meer dan 55 miljoen euro. Diverse recente gevallen tonen aan dat het evalueren en reguleren van de dienstverleners een belangrijk controlegebied is geworden.<\/p>

De zaak Dedalus Biologie (april 2022, \u20ac1,5 miljoen) blijft een iconisch voorbeeld. CNIL<\/strong> De Franse mededingingsautoriteit heeft deze softwareleverancier voor medische laboratoria gesanctioneerd na een grootschalig datalek met gezondheidsgegevens. Naast het beveiligingslek was de afwezigheid van verplichte bepalingen uit artikel 28 in de standaardcontracten de voornaamste reden. Deze beslissing markeerde een keerpunt: een onderaannemer kan nu rechtstreeks worden bestraft voor het niet correct formaliseren van de relatie, ongeacht de verantwoordelijkheid van de opdrachtgever.<\/p>

De zaak Mobius Solutions Ltd \/ Deezer (december 2025, 1 miljoen euro) illustreert de meest voorkomende tekortkomingen: het bewaren van gegevens na afloop van het contract, verwerking buiten de instructies van de klant, het ontbreken van een register en het ontbreken van beveiligingsmaatregelen, wat leidde tot de publicatie van de gegevens van miljoenen gebruikers op het darknet.<\/p>

De Discord-zaak (2022, \u20ac 800.000) leidt tot sancties aan de kant van de gegevensbeheerder<\/strong> Het ontbreken van een contract dat voldoet aan artikel 28. Canal+ Group, dat in 2022 een boete van \u20ac 600.000 kreeg, werd met name bestraft voor het ontbreken van voldoende contractuele afspraken. Per 27 januari 2021, CNIL<\/strong> hij introduceerde zijn doctrine door tegelijkertijd een goedkeuring te verlenen aan gegevensbeheerder<\/strong> (\u20ac150.000) en de onderaannemer (\u20ac75.000) voor het niet nemen van maatregelen tegen het frauduleus gebruik van inloggegevens.<\/p>

Wat de CNIL onderzoekt tijdens haar controles<\/h3>

Naarmate er beslissingen worden genomen, wordt het besturingsraster van de CNIL<\/strong> De details zijn duidelijker geworden. De autoriteit controleert het bestaan van een GDPR-onderaannemingsovereenkomst<\/strong> schriftelijk en in overeenstemming met artikel 28, de documentatie van instructies, de actuele lijst van latere onderaannemers, de daadwerkelijk uitgevoerde technische en organisatorische maatregelen, de kennisgevingsprocedures voor een datalek<\/strong>de regelingen voor het bijstaan van personen bij hun rechten, de voorwaarden voor het be\u00ebindigen van het contract en de traceerbaarheid van uitgevoerde audits.<\/p>

Om uw organisatie voor te bereiden op deze controlepunten, bieden wij u de volgende diensten aan: Een complete handleiding voor GDPR-nalevingsaudits<\/a><\/strong> beschrijft de toe te passen methodologie.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Wilt u uw onderaannemingsketen beveiligen en aantonen dat u aan de regelgeving voldoet?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tNeem contact op met een Viqtor\u00ae-expert.<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Een solide contractueel kader opbouwen: de GDPR-onderaannemingsovereenkomst<\/h2>

De dwingende bepalingen van artikel 28, lid 3<\/h3>

De DPA (Data Processing Agreement)<\/strong>, Of GDPR-onderaannemingsovereenkomst<\/strong>moet een kernset van bepalingen bevatten die door de regelgeving worden voorgeschreven: onderwerp en duur van de verwerking, aard en doel, type gegevens en categorie\u00ebn van personen, verplichtingen en rechten van de betrokkene. gegevensbeheerder<\/strong>Het contract moet ook acht specifieke verplichtingen van de onderaannemer bevatten: handelen volgens gedocumenteerde instructies, vertrouwelijkheid garanderen, de vereiste veiligheidsmaatregelen nemen, alleen met toestemming nieuwe onderaannemers inschakelen, helpen bij het beantwoorden van verzoeken van personen, assisteren bij zaken betreffende beveiliging en kennisgeving, gegevens teruggeven of verwijderen aan het einde van het contract, en alle informatie beschikbaar stellen die nodig is voor audits.<\/p>

De standaard algemene voorwaarden van een uitgever zijn doorgaans onvoldoende, zoals bijvoorbeeld de CNIL<\/strong> Dedalus en diverse andere dienstverleners, die sindsdien sancties hebben gekregen, werden hiervoor bekritiseerd. Een beoordeling per contract is essentieel.<\/p>

Valkuilen die je bij het schrijven moet vermijden<\/h3>

Verschillende fouten ondermijnen regelmatig de naleving. Een clausule die de onderaannemer volledig vrijstelt van aansprakelijkheid is niet afdwingbaar jegens de onderaannemer. CNIL<\/strong> wat betreft het slachtoffer van een lek. Een ontbrekende of verouderde lijst van daaropvolgende onderaannemers legt de risico's bloot. gegevensbeheerder<\/strong> tot een mislukking. Vaag omschreven veiligheidsmaatregelen zijn onvoldoende: de CNIL<\/strong> wacht op een concreet, verifieerbaar en gedateerd referentiedocument. Het ontbreken van een procedure voor het melden van overtredingen, of termijnen die niet verenigbaar zijn met de opgelegde 72 uur, is een reden voor deze actie. gegevensbeheerder<\/strong>wordt systematisch ingehouden tegen onderaannemers die in gebreke blijven.<\/p>

De centrale rol van de functionaris voor gegevensbescherming (DPO) en gegevensbeheer.<\/h3>

DE DPO<\/strong> De functionaris voor gegevensbescherming (FG) speelt een cruciale rol: hij of zij leidt de evaluatie van dienstverleners, valideert contractuele bepalingen, houdt toezicht op het register van onderaannemers en waarschuwt het management voor risico's. Bij afwezigheid van een FG DPO<\/strong>Deze taken moeten worden uitgevoerd door een duidelijk omschreven functie. gegevensbeheer<\/a> Het succes hangt grotendeels af van het vermogen om de relatie met onderaannemers op lange termijn te onderhouden.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Het beheren van de relatie op lange termijn: audits, monitoring en incidenten.<\/h2>

Een doorlopende verplichting, geen formaliteit bij ondertekening.<\/h3>

Het vastleggen in een contract is niet voldoende. gegevensbeheerder<\/strong> moet er op de lange termijn voor zorgen dat de dienstverlener zijn verplichtingen nakomt: periodieke audits, jaarlijkse evaluatie van de DPA<\/strong>Systematische update in geval van wijziging (nieuwe onderaannemer, nieuwe opdrachtomschrijving, nieuwe serverlocatie).<\/p>

Daar CNIL<\/strong> is expliciet: het inschakelen van een onderaannemer ontslaat je nooit van de verplichting om... gegevensbeheerder<\/strong> van haar zorgplicht. De sanctie van Canal+ was juist gebaseerd op de vaststelling dat er geen effectief toezicht op dienstverleners werd uitgeoefend. Omgekeerd toont een bedrijf dat in staat is auditrapporten, ingevulde vragenlijsten en actieplannen te produceren, zijn zorgvuldigheid aan, zelfs in geval van een incident.<\/p>

DE Viqtor-module voor onderaannemers<\/a> Centraliseert de evaluatie, het contract, de daaropvolgende onderaannemers, audits en de geschiedenis van de uitwisselingen in \u00e9\u00e9n enkele database.<\/p>

Reageren op een datalek waarbij een dienstverlener betrokken was.<\/h3>

Een aanzienlijk deel van de overtredingen die jaarlijks aan de CNIL<\/strong> Hierbij is een onderaannemer betrokken. gegevensbeheerder<\/strong> Daarom moet er vanaf het begin een snelwaarschuwingssysteem in het contract worden opgenomen. De onderaannemer is verplicht zijn opdrachtgever "zo snel mogelijk" te informeren, wat in de praktijk neerkomt op 24 tot 48 uur om de wettelijke termijn van 72 uur te halen. CNIL<\/strong>Onze pagina gewijd aan de verklaring betreffende datalekken<\/a> Hij beschrijft de stappen in detail.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Wat u moet noteren<\/h2>