Het shared responsibility model in een verwerkersovereenkomst met een soevereine cloudleverancier is een juridisch en technisch kader dat vastlegt welke partij verantwoordelijkheid draagt voor welke laag van de gegevensverwerking, van fysieke infrastructuur tot jurisdictionele garanties. Bij Europese organisaties in overheidssectoren, de juridische praktijk en andere gereguleerde branches is de keuze van leverancier en de inrichting van die verantwoordelijkheidsverdeling geen administratieve formaliteit, maar een directe bepalende factor voor aansprakelijkheid onder de AVG en de NIS-2-richtlijn.
Hoe het shared responsibility model verschilt bij soevereine cloudleveranciers
Bij Amerikaanse hyperscalers als Microsoft Azure, Google Cloud en AWS omvat het shared responsibility model een duidelijke, maar beperkte verdeling: de leverancier beheert de fysieke infrastructuur en het platform, de klant beheert zijn data en configuratie. Wat ontbreekt, is een juridische verantwoordelijkheidslaag.
De CLOUD Act van 2018 verplicht in de Verenigde Staten gevestigde cloudleveranciers om op bevel van Amerikaanse autoriteiten data af te geven, ongeacht waar die data fysiek is opgeslagen. Een Europese organisatie die haar data opslaat bij een Amerikaanse aanbieder in een Nederlands datacenter is dus niet gevrijwaard van Amerikaanse juridische bevragingen. Contractuele clausules veranderen deze juridische werkelijkheid niet.
Het European Data Protection Board stelde dit expliciet vast: “Contractual clauses cannot override the legal obligations that a cloud provider incorporated in the US is subject to under the CLOUD Act. Organisations must therefore assess whether technical and organisational measures are sufficient to neutralise the legal exposure.”
Bij een soevereine Europese cloudleverancier is de aansprakelijkheidsverdeling fundamenteel anders. De juridische laag maakt deel uit van het model: de leverancier garandeert contractueel dat hij niet onder een extraterritoriale rechtsmacht valt, dat er geen subverwerkers buiten de EER worden ingeschakeld en dat eigendomsstructuur en zeggenschapsrelaties volledig transparant zijn. Het EUCS-certificeringsschema van ENISA, met zijn soevereiniteitsniveaus (SEAL), biedt hiervoor een objectieve meetlat.
| Dimensie | Amerikaanse hyperscaler | Gecertificeerde soevereine EU-cloudleverancier |
|---|---|---|
| Jurisdictie eigenaar | VS (CLOUD Act van toepassing) | EU (geen extraterritoriale verplichting) |
| Datalocatie | EU-regio mogelijk, maar geen absolute garantie | Contractueel vastgelegd, auditeerbaar |
| Subverwerkers | Vaak wereldwijd, lijst wijzigbaar | Beperkt tot EER, wijziging vereist toestemming |
| Aansprakelijkheid bij dataverlies | Sterk gelimiteerd in SLA | Breder uitonderhandeld, gekoppeld aan EUCS-niveau |
| Auditrecht klant | Beperkt tot certificeringsrapporten (SOC 2) | Directe audit of EUCS-certificaat met volledige scope |
Clausules die onmisbaar zijn in de verwerkersovereenkomst
AVG artikel 28 stelt de minimuminhoud van de verwerkersovereenkomst vast: instructiebinding, beveiligingsmaatregelen, geheimhouding, subverwerkersbeheer, bijstand bij inbreukmelding en auditrecht. Voor soevereine clouddienstverlening volstaan deze minimumvereisten echter niet.
De volgende clausules zijn specifiek voor soevereine cloudcontracten noodzakelijk:
Jurisdictieclausule: Stel expliciet vast dat de leverancier en al zijn subverwerkers uitsluitend onder EU-rechtsmacht vallen en dat geen enkele overheidsdienst buiten de EER een bindend verzoek tot data-inzage kan indienen zonder tussenkomst van een EU-rechter. Koppel hieraan een meldplicht: bij ontvangst van een buitenlands overheidsbevel moet de leverancier de verwerkingsverantwoordelijke onmiddellijk informeren, voor zover wettelijk toegestaan.
Change of control-bepaling: Bepaal dat een overname, fusie of aandeelhouderswisseling waarbij de koper zijn hoofdzetel buiten de EER heeft, automatisch een recht op contractontbinding geeft aan de verwerkingsverantwoordelijke, zonder boeteclausule, en dat de leverancier de klant minimaal negentig dagen van tevoren schriftelijk informeert.
CADA-conformiteitsclausule: Verwijs in het contract naar de CADA-erkenningsprocedure (artikelen 18 tot en met 20 van de CADA-leveranciersverplichtingen) en verplicht de leverancier om zijn erkenningsstatus te handhaven gedurende de contractperiode. Een verlies van erkenning geldt als wezenlijke tekortkoming die ontbinding rechtvaardigt.
EUCS-niveau-garantie: Benoem het gewenste EUCS SEAL-niveau als contractuele minimumstandaard. Koppel handhaving van dit niveau aan de aansprakelijkheidsomvang: een leverancier die degradeert naar een lager niveau draagt een hogere schadevergoedingsplicht.
NIS-2 toeleveringsclausule: Verwijs naar NIS-2 artikel 21, dat organisaties verplicht de beveiliging van de toeleveranciersketen aantoonbaar te beheersen. Verplicht de leverancier tot het aanleveren van beveiligingsrapporten, penetratietestresultaten en incidentmeldingen binnen de wettelijke termijnen.
Documenteren van gedeelde verantwoordelijkheid voor DPIA en NIS-2-auditrapport
In een hybride soevereine architectuur, waarbij on-premise systemen worden gecombineerd met een Europese privécloud, zijn meerdere partijen gelijktijdig verantwoordelijk voor verschillende verwerkingslagen. Dit vereist een expliciete verantwoordelijkheidsmatrix als onderdeel van de DPIA en het NIS-2-auditdossier.
Werk met een RACI-model (Responsible, Accountable, Consulted, Informed) per databewerkingslaag: fysieke opslag, netwerktransport, applicatielaag, identiteitsbeheer en logging. Koppel elke rij aan een specifieke NIS-2 artikel 21-verplichting en aan de corresponderende clausule in de verwerkersovereenkomst. Sla dit document op als bijlage bij de DPIA en actualiseer het bij elke contractwijziging of architectuurupdate.
Voeg in het NIS-2-auditrapport ook de EUCS-certificeringsstatus van de leverancier op als bewijs van technische naleving. ENISA publiceert de criteria per SEAL-niveau, zodat auditors kunnen verifiëren of de leverancier aan de gestelde eisen voldoet. De EDPS beveelt voor EU-instellingen een vergelijkbare aanpak aan na zijn bindende uitspraak in 2024 over het gebruik van Microsoft 365 door EU-instellingen, waarbij het gebruik niet in overeenstemming bleek te zijn met de EU-gegevensbeschermingsregels.
Aansprakelijkheidsrisico’s bij overname of faillissement van de leverancier
Wanneer een soevereine cloudleverancier wordt overgenomen door een partij buiten de EU, verandert de juridische werkelijkheid van de verwerkersovereenkomst direct. De overeenkomst blijft formeel van kracht, maar de jurisdictionele garanties verliezen hun feitelijke inhoud: de nieuwe eigenaar kan onderworpen zijn aan de CLOUD Act of vergelijkbare wetgeving.
Zonder changeofcontrol-clausule blijft de verwerkingsverantwoordelijke aansprakelijk voor eventuele AVG-schendingen die uit de overname voortvloeien, ook als hij de wijziging niet heeft veroorzaakt. De AVG kent namelijk een resultaatsverplichting voor verwerkingsverantwoordelijken: zij moeten te allen tijde kunnen aantonen dat hun verwerkers aan de gestelde eisen voldoen.
Bij faillissement van de leverancier spelen aanvullende risico’s: continuïteit van toegang tot data, veiligheid van back-ups en de vraag wie de data beheert tijdens de faillissementsprocedure. Neem in de verwerkersovereenkomst een escrow-bepaling op die vastlegt dat data bij faillissement direct en kosteloos wordt teruggegeven in een overdraagbaar formaat, los van de boedelbeheerder.
De CADA-erkenningsprocedure als borging bij structuurwijzigingen
De CADA-erkenningsprocedure verplicht cloudleveranciers via artikelen 18 tot en met 20 tot naleving van specifieke soevereiniteits- en beveiligingseisen als voorwaarde voor erkenning. Cruciaal is dat deze erkenning niet automatisch overgaat bij een overname: de nieuwe eigenaar moet opnieuw een erkenningsprocedure doorlopen.
Dit biedt een contractuele ingang: leg in de verwerkersovereenkomst vast dat verlies of intrekking van de CADA-erkenning, ook als gevolg van een eigendomswijziging, geldt als materiële tekortkoming. De verwerkingsverantwoordelijke krijgt dan het recht de overeenkomst te ontbinden zonder opzegtermijn. Combineer dit met de meldplicht: de leverancier moet elke aanvraag tot erkenningsoverdracht of heraanvraag onmiddellijk melden.
De EUCS SEAL-niveaus bieden een complementaire borging: een gecertificeerde leverancier die na overname niet meer aan de eigendomseisen voor het betreffende SEAL-niveau voldoet, verliest zijn certificaat. Verwijs in het contract naar beide mechanismen als cumulatieve garanties, zodat soevereiniteitsborging niet afhankelijk is van één enkel instrument.
Statistisch onderstreept het belang hiervan: het Verizon Data Breach Investigations Report 2023 stelde vast dat 74 procent van alle datalekken te herleiden is tot menselijke fouten, misbruik van privileges of social engineering. Een aanzienlijk deel hiervan vindt zijn oorsprong in onvoldoende gereguleerde toegangsrechten bij leverancierswissel of overname, precies het scenario dat een sluitende verwerkersovereenkomst moet voorkomen.
FAQ: Gedeelde verantwoordelijkheid en aansprakelijkheid in soevereine cloudcontracten
Wat is het verschil tussen het shared responsibility model van een soevereine cloudleverancier en dat van een hyperscaler?
Bij hyperscalers beperkt het shared responsibility model zich tot technische lagen: de leverancier beheert infrastructuur, de klant beheert data en configuratie. De juridische laag, jurisdictie, extraterritoriale verplichtingen en eigendomsstructuur, valt buiten het model. Bij een soevereine Europese cloudleverancier is de juridische laag expliciet onderdeel van de verdeling, vastgelegd in de verwerkersovereenkomst en geborgd door certificering zoals het EUCS SEAL-niveau.
Welke clausules zijn absoluut noodzakelijk naast AVG artikel 28?
Naast de wettelijke minimumvereisten van AVG artikel 28 zijn een jurisdictieclausule die CLOUD Act-blootstelling contractueel uitsluit, een changeofcontrol-bepaling bij overname door een niet-EU-partij, een CADA-conformiteitsverplichting en een EUCS-niveaugarantie onmisbaar. Voeg ook een escrow-bepaling toe voor het geval van faillissement van de leverancier.
Hoe documenteer ik gedeelde verantwoordelijkheid in een hybride architectuur voor een NIS-2-audit?
Gebruik een RACI-matrix per databewerkingslaag, koppel elke rij aan NIS-2 artikel 21-verplichtingen en aan clausules in de verwerkersovereenkomst. Voeg de EUCS-certificeringsstatus van de leverancier toe als bijlage en actualiseer het document bij elke architectuur- of contractwijziging. Verwerk de juridische risicoanalyse, inclusief CLOUD Act-beoordeling, als apart hoofdstuk in de DPIA.
Wat zijn de risico’s als mijn soevereine cloudleverancier wordt overgenomen door een partij buiten de EU?
Zonder contractuele changeofcontrol-clausule blijft de verwerkersovereenkomst van kracht maar verliezen de jurisdictionele garanties hun werking. De verwerkingsverantwoordelijke blijft aansprakelijk voor AVG-schendingen die uit de gewijzigde eigendomsstructuur voortvloeien. Een expliciete ontbindingsgrond bij overname, gecombineerd met een meldplicht van minimaal negentig dagen, is de meest effectieve mitigatie.
Hoe borgt de CADA-erkenning soevereiniteitsgaranties na een overname?
De CADA-erkenning vervalt niet automatisch over aan een nieuwe eigenaar: een heraanvraag is vereist. Door in de verwerkersovereenkomst het verlies van CADA-erkenning als ontbindingsgrond op te nemen, behoudt de verwerkingsverantwoordelijke een directe juridische positie. Combineer dit met de EUCS SEAL-garantie voor een dubbele contractuele borging die onafhankelijk van bestuurlijke beslissingen van de leverancier werkt.
