Een verwerkersovereenkomst (Data Processing Agreement, DPA) op grond van GDPR artikel 28 is het juridische fundament waarop de relatie tussen een verwerkingsverantwoordelijke en een cloudleverancier rust. Voor organisaties die kiezen voor een soevereine cloudprovider, te denken valt aan een Europese of Zwitserse aanbieder zonder banden met Amerikaanse moederbedrijven, gaat het om meer dan een standaardcontract invullen. De keuze van jurisdictie, de encryptie-architectuur en de subverwerkersketen bepalen samen of de overeenkomst bij een toezichthouderonderzoek daadwerkelijk standhoudt.
Wat GDPR artikel 28 vereist: de minimale inhoud van de DPA
GDPR artikel 28 somt dwingend op welke elementen een verwerkersovereenkomst moet bevatten. Een DPA die deze elementen mist, is niet slechts onvolledig maar maakt de gehele verwerkingsrelatie onrechtmatig.
De verplichte elementen zijn: een nauwkeurige omschrijving van het onderwerp, de duur, de aard en het doel van de verwerking, de categorie persoonsgegevens en de categorieën betrokkenen. Daarnaast moet de overeenkomst de verwerker verplichten uitsluitend op schriftelijke instructie van de verwerkingsverantwoordelijke te handelen, geheimhouding te garanderen, passende technische en organisatorische maatregelen te treffen conform GDPR artikel 32, en bijstand te verlenen bij inbreuken, rechten van betrokkenen en gegevensbeschermingseffectbeoordelingen (DPIA).
Specifiek voor soevereine cloudproviders moet de DPA ook vastleggen hoe gegevens worden teruggegeven of verwijderd na contractbeëindiging, en welke bewijzen van compliance de verwerker op verzoek beschikbaar stelt, waaronder auditrechten.
Jurisdictieverschillen: Europese of Zwitserse provider versus Amerikaanse hyperscaler
Het kernverschil tussen een soevereine Europese of Zwitserse cloudprovider en een Amerikaanse hyperscaler is niet contractueel maar jurisdictioneel: welke wet is sterker dan de overeenkomst?
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) geeft Amerikaanse autoriteiten de bevoegdheid cloudbedrijven te gelasten data te overleggen, ongeacht waar die data fysiek is opgeslagen. De Foreign Intelligence Surveillance Act (FISA), sectie 702, biedt vergelijkbare toegangsmogelijkheden voor inlichtingendiensten. Beide wetten zijn van toepassing op elk bedrijf dat is geïncorporeerd of gevestigd in de Verenigde Staten, inclusief Europese dochterondernemingen van Amerikaanse concerns.
De Standard Contractual Clauses 2021 (SCC’s, vastgesteld bij Uitvoeringsbesluit 2021/914 van de Europese Commissie) zijn het meest gebruikte instrument voor het legaliseren van doorgifte naar derde landen. De EDPB maakte in Aanbeveling 01/2020 echter expliciet duidelijk dat SCC’s alleen niet volstaan wanneer de wetgeving van het derde land autoriteiten toegang geeft die verder gaat dan wat in een democratische samenleving noodzakelijk is.
“Standard Contractual Clauses alone cannot guarantee compliance where the legislation of the third country allows public authorities access to personal data in a way that goes beyond what is necessary in a democratic society.”
European Data Protection Board, Aanbeveling 01/2020
| Criterium | Amerikaanse hyperscaler | Europese/Zwitserse soevereine provider |
|---|---|---|
| Toepasselijk recht op datavordering | CLOUD Act, FISA Section 702 | EU-lidstaatrecht of Zwitserse wetgeving (geen CLOUD Act) |
| SCC’s voldoende als doorgiftemechanisme? | Nee, aanvullende maatregelen vereist (EDPB 01/2020) | Niet relevant bij verwerking binnen EER of adequaatheidsbesluit Zwitserland |
| Transfer Impact Assessment verplicht? | Ja, altijd | Nee, tenzij subverwerkers buiten EER opereren |
| Risico voor NIS-2- en GDPR-audit | Hoog, gezien EDPS-besluit 2024 | Laag tot gemiddeld, afhankelijk van subverwerkersketen |
Zwitserland is geen EU-lidstaat maar heeft een adequaatheidsbesluit van de Europese Commissie, wat betekent dat doorgifte naar Zwitserse providers zonder aanvullende doorgiftemechanismen mogelijk is, mits de provider zelf geen subverwerkers in derde landen zonder adequaatheidsbesluiten inschakelt.
Het EDPS-besluit over Microsoft 365: een jurisprudentieel ijkpunt
Het EDPS-besluit van maart 2024 over het gebruik van Microsoft 365 door de Europese Commissie is het meest gezaghebbende recente toezichthoudersoordeel over cloudverwerkersovereenkomsten. Het EDPS stelde vast dat de Commissie de AVG had geschonden door onvoldoende garanties te bedingen voor doorgiften naar de Verenigde Staten.
“The use of Microsoft 365 by the European Commission involved transfers of personal data to the United States without sufficient guarantees, in breach of the applicable data protection rules.”
Wojciech Wiewiórowski, European Data Protection Supervisor, EDPS Decision 2024
De boete van 1,2 miljard euro die de Ierse Data Protection Commission (DPC) in 2023 aan Meta oplegde wegens onrechtmatige doorgifte naar de VS, bevestigt dezelfde redenering op commercieel niveau (bron: DPC, 2023). Beide zaken laten zien dat een formeel correct DPA-document niet beschermt als de onderliggende technische en jurisdictionele werkelijkheid afwijkt van wat de overeenkomst belooft.
Voor compliance officers in Nederland, bij overheden, juridische organisaties en andere gereguleerde sectoren, betekent dit dat een Transfer Impact Assessment geen formaliteit is maar een inhoudelijke analyse die in het dossier aantoonbaar aanwezig moet zijn voordat een cloudcontract wordt getekend.
Subverwerkersclausules: het zwakste schakel in de soevereiniteitsketen
Een soevereine hoofdleverancier biedt geen garantie als die leverancier op zijn beurt gebruikmaakt van niet-soevereine subverwerkers. GDPR artikel 28 lid 2 vereist dat de verwerker voor het inschakelen van een subverwerker voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke verkrijgt, hetzij specifiek hetzij via een goedgekeurde lijst.
De DPA moet daarom bevatten:
- Een bijlage met de volledige lijst van goedgekeurde subverwerkers, inclusief vestigingsland, de categorie verwerking die zij uitvoeren, en de rechtsbasis voor eventuele doorgifte buiten de EER.
- Een kennisgevingsplicht van minimaal 30 dagen bij elke wijziging in de subverwerkerslijst, met het recht voor de verwerkingsverantwoordelijke om gemotiveerd bezwaar te maken.
- Een doorlegverplichting: de hoofdverwerker legt aan iedere subverwerker dezelfde verplichtingen op als die in de DPA zijn opgenomen (artikel 28 lid 4 GDPR), en blijft volledig aansprakelijk richting de verwerkingsverantwoordelijke voor fouten van subverwerkers.
- Een verbod op doorgifte aan subverwerkers in landen zonder adequaatheidsbesluit, tenzij aanvullende maatregelen conform EDPB 01/2020 zijn gedocumenteerd.
In de praktijk is dit het meest onderschatte risico bij “soevereine” oplossingen. Een provider met servers in Amsterdam kan bijvoorbeeld CDN-diensten of e-maildiensten afnemen van een Amerikaans bedrijf. Zonder contractuele blokkering en technische isolatie van persoonsgegevens ten aanzien van die subverwerker, vervalt de soevereiniteitsclaim volledig.
Zero-knowledge architectuur als aantoonbaar bewijs van GDPR-conformiteit
Technische maatregelen kunnen de juridische kwetsbaarheid van een DPA structureel verminderen, maar alleen als ze correct zijn gedocumenteerd. Een zero-knowledge encryptie-architectuur houdt in dat gegevens client-side worden versleuteld voordat ze de server bereiken, en dat de leverancier de decryptiesleutel nooit bezit of kan reconstrueren.
Dit heeft twee directe rechtsgevolgen. Ten eerste is het voor de leverancier technisch onmogelijk om gegevens in te zien of over te dragen, ook niet bij een rechterlijk bevel of een CLOUD Act-vordering. Ten tweede maakt het de leverancier feitelijk geen “verwerker” meer voor de versleutelde inhoud, omdat hij die inhoud niet kan interpreteren of gebruiken.
Om dit als bewijs van GDPR-conformiteit te documenteren, dient de DPA te worden aangevuld met:
- Een technisch architectuurdocument dat de zero-knowledge werking beschrijft en verklaart dat de leverancier geen sleutels opslaat, escrowt of kan herstellen.
- Een verklaring van de leverancier dat de beschreven architectuur onderdeel is van de contractuele verplichtingen, zodat afwijking contractbreuk oplevert.
- Auditresultaten of penetratietestrapportages van een onafhankelijke derde partij die de technische claims bevestigen.
- Verwijzing naar deze technische maatregelen als “aanvullende maatregel” in de zin van EDPB Aanbeveling 01/2020, zodat de Transfer Impact Assessment compleet is.
Bij een on-premise implementatie, waarbij de infrastructuur volledig binnen de organisatie of in een co-locatiefaciliteit onder eigen beheer staat, is er feitelijk geen verwerker in de zin van artikel 28 meer als de leverancier geen toegang heeft. In dat geval verschuift de juridische verantwoordelijkheid volledig naar de verwerkingsverantwoordelijke zelf, wat hogere interne kwaliteitseisen stelt aan het beveiligingsbeleid conform artikel 32.
Praktische actiepunten voor compliance officers
Het beoordelen van een DPA met een soevereine cloudleverancier vraagt om een gelaagde aanpak. De juridische tekst is slechts het startpunt. De feitelijke bescherming hangt af van de combinatie van jurisdictie, subverwerkersketen en technische architectuur.
Een beoordelingskader voor compliance officers omvat de volgende stappen. Controleer eerst de jurisdictie van de moedermaatschappij van de leverancier, niet alleen de vestiging van de rechtspersoon waarmee het contract wordt gesloten. Verifieer vervolgens de subverwerkerslijst op aanwezigheid van partijen die vallen onder de CLOUD Act of vergelijkbare wetgeving. Vraag een technisch architectuurdocument op over encryptie en sleutelbeheer, en leg dit als bijlage bij de DPA. Documenteer de Transfer Impact Assessment als zelfstandig dossieronderdeel, niet als voetnoot in de DPA. Beleg ten slotte een jaarlijkse herziening van de DPA en de subverwerkerslijst, omdat providers hun infrastructuur en partnerships regelmatig wijzigen.
Veelgestelde vragen
Wat moet er minimaal in een verwerkersovereenkomst staan op grond van GDPR artikel 28?
GDPR artikel 28 vereist dat de overeenkomst het onderwerp, de duur, de aard en het doel van de verwerking omschrijft, de categorie persoonsgegevens en de betrokkenen benoemt, en verplichtingen vastlegt over geheimhouding, beveiligingsmaatregelen (artikel 32), subverwerkers, bijstand bij inbreukmelding, en verwijdering of teruggave van gegevens na afloop. Auditrechten en de instructieplicht voor de verwerker zijn eveneens verplichte onderdelen.
Waarom zijn Standard Contractual Clauses onvoldoende bij Amerikaanse cloudproviders?
De SCC’s 2021 zijn een contractueel instrument, maar bieden geen bescherming tegen wetgeving zoals de CLOUD Act of FISA Section 702, die Amerikaanse autoriteiten toegang kunnen geven tot data ongeacht contractuele afspraken. EDPB Aanbeveling 01/2020 stelt dat aanvullende technische maatregelen, zoals end-to-end encryptie waarbij de leverancier geen sleutels bezit, noodzakelijk zijn om het beschermingsniveau feitelijk gelijk te stellen aan dat binnen de EER.
Wat is een zero-knowledge encryptie-architectuur en hoe helpt dit bij GDPR-compliance?
Bij een zero-knowledge architectuur versleutelt de client de gegevens lokaal voordat ze de server bereiken, en bezit de leverancier nooit de decryptiesleutel. Dit maakt het voor de leverancier technisch onmogelijk om gegevens in te zien of te overhandigen aan derden, ook niet op rechterlijk bevel. In de verwerkersovereenkomst en een bijbehorend technisch memo documenteert de verwerkingsverantwoordelijke dit als aanvullende maatregel conform EDPB Aanbeveling 01/2020.
Hoe beperk je het risico van subverwerkers in een soevereine cloud-DPA?
De DPA moet een uitputtende lijst van goedgekeurde subverwerkers bevatten met vermelding van hun vestigingsland en de rechtsbasis voor eventuele doorgifte. Elke wijziging vereist voorafgaande schriftelijke kennisgeving met een bezwaartermijn. Contractueel moet de hoofdverwerker dezelfde verplichtingen doorleggen aan subverwerkers (artikel 28 lid 4 GDPR) en aansprakelijk blijven voor fouten van die subverwerkers.
Wat betekent het EDPS-besluit over Microsoft 365 concreet voor Nederlandse organisaties?
Het EDPS-besluit van maart 2024 richt zich op de Europese Commissie, maar de redenering is breed toepasbaar: ook nationale overheden en gereguleerde organisaties die Microsoft 365 gebruiken, lopen het risico dat hun DPA onvoldoende bescherming biedt omdat Microsoft als Amerikaans bedrijf valt onder de CLOUD Act. De Autoriteit Persoonsgegevens kan bij een klacht of audit dezelfde toetsingscriteria hanteren. Compliance officers dienen een Transfer Impact Assessment uit te voeren en te documenteren welke aanvullende maatregelen zijn getroffen.
