In het kort
- De Autoriteit Persoonsgegevens heeft een modelmachtiging gepubliceerd waarmee verwerkingsverantwoordelijken een verwerker kunnen machtigen om namens hen datalekmeldingen te doen.
- Een dergelijke machtiging kan in bepaalde situaties praktische voordelen bieden, bijvoorbeeld wanneer een beveiligingsincident meerdere klanten van dezelfde verwerker raakt.
- De keuze voor een machtiging roept ook juridische en organisatorische vragen op, onder meer over de rolverdeling tussen verwerkingsverantwoordelijke en verwerker.
- Bij de beoordeling van een machtiging spelen verschillende factoren een rol, zoals de aard van de verwerking, de beschikbare informatie bij de verwerker en eventuele samenloop met andere meldverplichtingen.
- Het gebruik van een machtiging vraagt om duidelijke afspraken over de uitvoering van meldingen, informatievoorziening en samenwerking tussen partijen.
Datalekken dienen afhankelijk van de mate van ernst gemeld te worden bij de Autoriteit Persoonsgegevens en/of betrokkenen. De AVG laat de ruimte aan verwerkingsverantwoordelijken om verwerkers te machtigen tot het doen van deze meldingen. Sinds 19 juni 2026 biedt de Autoriteit Persoonsgegevens een officieel voorbeeldformulier voor een dergelijke expliciete machtiging. In het onderstaande bespreken we deze optie en concluderen we dat verwerkingsverantwoordelijken én verwerkers goed naar de specifieke situatie zouden moeten kijken alvorens eventueel voor een machtiging te kiezen. Niet altijd wegen praktische voordelen op tegen nadelen zoals gebrek aan controle voor de verwerkingsverantwoordelijke en complicaties door overlap met andere meldplichten bijvoorbeeld voortvloeiend uit de inmiddels in de Cyberbeveiligingswet geïmplementeerde NIS-2.
Het voorstel voor de Digitale Omnibus Verordening besteedt ook aandacht aan de meldplicht waarbij wordt beoogd regeldruk te verminderen: het voorstel verlengt de AVG-meldtermijn van 72 naar 96 uur en introduceert een single-entry point voor incidentmeldingen. Tenslotte blijkt uit de jaarlijkse datalekkenrapportage van de AP dat het aantal gemelde datalekken het afgelopen jaar wederom gestegen is naar 39.407 tegenover 37.839 meldingen in 2024. Alle reden om de datalekmelding eens onder de loep te nemen.
Praktische invulling
De machtiging van de verwerker tot het doen van datalekmeldingen is niet expliciet geregeld in de AVG. In de “Richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens krachtens Verordening 2016/679” (WP250, onderschreven door de EDPB) staat de mogelijkheid wel benoemd.
Het machtigingsformulier van de AP is een summier document met simpelweg de gegevens van de verwerkingsverantwoordelijke en de verwerker, waarbij aangekruist kan worden welke meldingen de verwerker mag doen. Daarbij zijn er twee smaken:
In het formulier wordt dus geen onderscheid gemaakt naar omvang of ernst van de inbreuk op de beveiliging die gemeld gaat worden.
In beginsel dient een gemachtigde verwerker voor iedere verwerkingsverantwoordelijke een aparte melding te doen. Bij meldingen voor meerdere verwerkingsverantwoordelijken naar aanleiding van dezelfde inbreuk kan met een volgnummer gewerkt worden. De AP geeft echter aan dat bij grote hoeveelheden klanten / verwerkingsverantwoordelijken contact kan worden gezocht met het team datalekken van de AP om tot een praktische oplossing te komen. Ook benadrukt de AP te verwachten dat wanneer de AP vragen heeft over de melding de gemachtigde in staat is die te beantwoorden.
Voordelen en nadelen van uitbesteden melding aan verwerker
Een machtiging aan de verwerker kan wezenlijke praktische voordelen bieden. Met name waar een verwerker voor een groot aantal verwerkingsverantwoordelijken werkt en een lek alle verwerkingsverantwoordelijken op dezelfde wijze treft. Bijvoorbeeld wanneer een beveiligingsincident - zoals een inbraak op een cloudplatform of een kwetsbaarheid in een gedeeld softwarepakket - tegelijk persoonsgegevens van tientallen of honderden klanten met ieder hun eigen betrokkenen raakt, is het efficiënt als een verwerker, die aan de bron staat van alle technische informatie, een voor alle verwerkingsverantwoordelijken consistente melding kan doen. Ook voor de AP als ontvanger van de meldingen biedt dat natuurlijk overzichtelijkheid.
Voor de verwerkingsverantwoordelijke zit het voordeel van een machtiging primair in de ontlasting van een complexe en tijd-kritische taak waarvoor hij feitelijk afhankelijk is van zijn verwerker: hij hoeft niet zelf een melding samen te stellen op basis van tweedehands informatie waarbij hij afhankelijk is van een IT-afdeling die hij niet kent (de verwerker zit ‘dichter op het vuur’) waardoor de kans dat de melding tijdig binnen de termijn van (in de huidige situatie) 72 uur kan worden ingediend groter wordt. Maar de verwerkingsverantwoordelijke zal natuurlijk uiteindelijk wel op de hoogte moeten raken van de ins- and outs ook om zelf maatregelen te kunnen nemen en betrokkenen te woord te staan.
Het voordeel voor de verwerker zelf is minder eenduidig. In theorie hoeft hij zijn klanten niet meer ieder afzonderlijk te voorzien van de informatie en eventuele ondersteuning bij het opstellen van hun melding. Maar in de praktijk zullen verwerkingsverantwoordelijken (op wie de wettelijke verantwoordelijkheid van een correcte melding blijft rusten) ook bij uitbesteding aan de verwerker goed geïnformeerd willen worden. Daarnaast zal de verwerker in beginsel toch nog namens iedere verwerkingsverantwoordelijke een afzonderlijke melding bij de AP moeten indienen en daarover in contact moeten treden met de verwerkingsverantwoordelijke: het aantal betrokken personen, de betrokken categorieën persoonsgegevens en de ernst van het risico kunnen per klant immers aanzienlijk verschillen. Bij een incident dat tientallen klanten raakt, vertaalt dat zich in tientallen afzonderlijke meldingen die de verwerker volledig en juist moet indienen. In beginsel moet dat binnen 72 uur, maar er kan natuurlijk wel voor gekozen worden om eerst een melding te doen met algemene gegevens over het incident en die op een later moment aan te vullen met details per verwerkingsverantwoordelijke.
Hoewel die tweetrapsraket lucht geeft is het niet evident dat een verwerker deze last op zich zou willen nemen. Zonder machtiging dient hij tijdig en volledig alle relevante informatie aan zijn klanten aan te leveren (waarbij de tweetrapsraket wellicht ook eerder begint te lopen) en laat hij de meldingsverantwoordelijkheid bij de verwerkingsverantwoordelijke. De machtiging lost voor de verwerker een operationeel coördinatieprobleem gedeeltelijk op, maar creëert tegelijkertijd nieuwe juridische en operationele risico’s ten opzichte van de verwerkingsverantwoordelijke wanneer de melding een fout bevat. De verwerkingsverantwoordelijke zal bij het machtigen van een verwerker in relatie tot de verwerker de verantwoordelijkheid voor de inhoud immers zoveel mogelijk bij de verwerker willen leggen.
Ook als dat lukt blijven er risico’s bestaan voor de verwerkingsverantwoordelijke. De wettelijke plicht om correct en volledig te melden blijft uiteindelijk namelijk altijd bij de verwerkingsverantwoordelijke liggen. Betrokkenen en de AP kunnen de verwerkingsverantwoordelijke aanspreken wanneer een melding niet correct is. Een machtiging aan de verwerker verandert dat niet, hooguit kan deze dan achteraf aangesproken worden. Er zijn verschillende situaties denkbaar waar het mis kan gaan. Een verwerker kan de beschrijving van de risico’s in de melding bijvoorbeeld willen bagatelliseren om eigen reputatieschade te beperken. Ook kan de melding onvolledig zijn, zonder dat de verwerker de mogelijkheid benut om de melding later aan te vullen terwijl dat wel had gekund. Deze risico’s kunnen in feite echter ook spelen als de verwerkingsverantwoordelijke zelf de melding blijft doen maar afhankelijk is van informatie van de verwerker. Als de verwerkingsverantwoordelijke op afstand blijft is echter ook denkbaar dat de verwerker met de machtiging in de hand tot melding overgaat (aan de AP en/of betrokkenen) als daar formeel geen noodzaak toe bestond. De beoordeling of een incident meldingsplichtig is en hoe het risico voor betrokkenen gekwalificeerd moet worden, vergt immers ook inzicht in de context van de verwerkingsverantwoordelijke – zijn sector, zijn klantenbestand, en mogelijk ook eerdere meldingen – waarover de verwerker doorgaans niet beschikt. Dat kan leiden tot onnodige reputatieschade voor de verwerkingsverantwoordelijke of verwarring bij betrokkenen.
In algemene zin kan men zich afvragen of het wenselijk is dat een verwerker zich namens een verwerkingsverantwoordelijke tot betrokkenen richt. De betrokkenen hebben immers geen directe relatie met de verwerker waardoor – zoals de AP eerder ook adviseerde – een melding door de verwerker aan betrokkenen verwarrend kan zijn.
Dubbele meldplichten: AVG en Cyberbeveiligingswet
Een andere praktisch complicerende factor bij de keuze voor uitbesteding van de meldplicht aan de verwerker is de potentiële samenloop met de meldplichten die voortvloeien uit de Cyberbeveiligingswet, waarmee de NIS2 in Nederland is geïmplementeerd. Daarbij zijn verschillende situaties te onderscheiden: de verwerker kwalificeert als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet, de verwerkingsverantwoordelijke kwalificeert als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet, of beiden kwalificeren als zodanig. Juist de tweede situatie – waarbij de verwerkingsverantwoordelijke zelf NIS2-plichtig is – kan problemen opleveren in combinatie met een machtiging aan de verwerker voor de AVG-melding.
Wanneer de verwerkingsverantwoordelijke zelf kwalificeert als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet en hij een machtiging heeft gegeven voor AVG datalekken, komt de meldingsuitvoering bij twee partijen te liggen. De verwerkingsverantwoordelijke moet dan zelf tijdig melden onder de Cyberbeveiligingswet – binnen 24 uur na constatering – maar is voor de technische informatie die hij daarvoor nodig heeft juist afhankelijk van de verwerker. Zonder goede coördinatieafspraken bestaat het reële risico van inconsistente, tegenstrijdige of dubbele meldingen die de verwerkingsverantwoordelijke in een lastige positie kunnen brengen. Dit pleit ervoor dat bij de keuze voor een machtiging tevens uitdrukkelijk wordt geregeld hoe de coördinatie van parallelle meldverplichtingen – zowel inhoudelijk als qua timing – is georganiseerd, ongeacht aan welke kant van de relatie de NIS2-verplichting rust.
Een mogelijke verlichting van de beschreven coördinatieproblemen kan in de toekomst voortvloeien uit het voorstel voor de Digitale Omnibus Verordening. Dat voorstel introduceert, naast de verlenging van de AVG-meldtermijn van 72 naar 96 uur, een zogenoemd single-entry point voor incidentmeldingen: de gedachte is dat een melding bij één centraal loket volstaat, waarna de bevoegde autoriteiten onderling de verdeling verzorgen. Als dit voorstel in de huidige vorm wordt aangenomen, zou dat de parallel lopende meldtrajecten richting de AP en het NCSC of de sectorale toezichthouder kunnen vereenvoudigen.
Contractuele aandachtspunten
Indien partijen toch kiezen voor een machtiging van de verwerker, verdient een aantal contractuele aandachtspunten bijzondere aandacht.
- Perspectief verwerkingsverantwoordelijke
Vanuit het perspectief van de verwerkingsverantwoordelijke is het van belang om in de verwerkersovereenkomst uitdrukkelijk te regelen dat de verwerker slechts tot melding overgaat nadat de verwerkingsverantwoordelijke adequaat geïnformeerd is, dat de verwerker een conceptmelding ter beschikking stelt en dat de verwerkingsverantwoordelijke een kopie van de ingediende melding ontvangt. Daartoe kan een tweestapsproces worden afgesproken: eerst informeert de verwerker de verwerkingsverantwoordelijke onverwijld over het incident en legt hij een conceptmelding voor, waarna de verwerkingsverantwoordelijke een bevestiging geeft alvorens de melding wordt ingediend. Zonder dergelijke afspraken behoudt de verwerkingsverantwoordelijke weliswaar de juridische verantwoordelijkheid, maar verliest hij de feitelijke controle. Dat kan hooguit acceptabel zijn als de verwerker vergaande aansprakelijkheden en vrijwaringsverplichtingen accepteert ten aanzien van de inhoud.
Vanuit het perspectief van de verwerker is anderzijds voorzichtigheid geboden bij het contractueel aanvaarden van vergaande inhoudelijke verantwoordelijkheid voor de juistheid van de melding. Zoals hiervoor beschreven beschikt de verwerker niet altijd over de context die nodig is om een volledige en correcte kwalificatie van de feiten te geven. Een verwerker die aansprakelijkheid accepteert voor een ondeugdelijke melding, neemt daarmee een risico op zich dat hij in de praktijk maar gedeeltelijk in de hand heeft. Zinvoller is het om de aansprakelijkheid te koppelen aan de informatie die de verwerker op het moment van de melding ter beschikking stond.
Het kan ook wenselijk zijn, vanuit het perspectief van beide partijen om het machtigingsformulier van de AP – dat zoals hiervoor beschreven een algemene machtiging voor alle meldingen (aan de AP of aan betrokkenen, dan wel beide) biedt – uitsluitend te gebruiken in het geval van specifieke, vooraf gedefinieerde situaties. Zo kunnen partijen in de verwerkersovereenkomst afspreken dat de machtiging slechts van kracht is bij incidenten die een specifieke categorie verwerking betreffen. In andere gevallen blijft de meldplicht bij de verwerkingsverantwoordelijke zelf. Een dergelijke begrenzing vermindert het risico dat de verwerker in situaties tot melding overgaat waarbij de verwerkingsverantwoordelijke beter in staat is om de context te beoordelen. Het machtigingsformulier als zodanig biedt die begrenzing niet – het formulier kent slechts twee categorieën (melding aan de AP, melding aan betrokkenen) en maakt geen onderscheid naar soort incident. De contractuele begrenzing zal dus naast het formulier moeten worden geregeld.
- Subverwerkers: een extra complicerende laag
Het voorgaande wordt nog complexer wanneer sprake is van een keten van subverwerkers. In de praktijk werkt een verwerker vaak met subverwerkers die (delen van) de verwerking uitvoeren. Een beveiligingsincident kan dan plaatsvinden bij een subverwerker, die het vervolgens meldt aan de verwerker, die op zijn beurt de verwerkingsverantwoordelijke informeert. Wanneer de verwerker van de verwerkingsverantwoordelijke een machtiging heeft gekregen om te melden, rijst de vraag of hij die bevoegdheid kan of mag doorleggen aan zijn subverwerker. Dat is technisch gezien niet uitgesloten. Subverwerkers staan echter nog verder van de verwerkingsverantwoordelijke af, waardoor de informatieasymmetrie – en daarmee het risico op inconsistente meldingen – verder toeneemt. Partijen doen er goed aan in de keten van verwerkersovereenkomsten uitdrukkelijk te regelen wie in geval van een incident welke stappen zet en hoe de informatiestromen omhoog in de keten zijn georganiseerd, zodat de verwerkingsverantwoordelijke tijdig en volledig geïnformeerd is.
Conclusie
De mogelijkheid om verwerkers te machtigen tot het doen van datalekmeldingen die wordt gefaciliteerd met het machtigingsformulier van de AP kan zinvol zijn, maar voorzichtigheid is geboden. Zij lijkt met name geschikt in een beperkt aantal standaardsituaties: gevallen waarbij een verwerker voor een groot aantal verwerkingsverantwoordelijken werkt, waarbij een incident alle betrokken verwerkingsverantwoordelijken op vergelijkbare wijze treft, de aard van de gegevens die voor de verwerkingsverantwoordelijken wordt verwerkt sterk vergelijkbaar is en waarbij de verwerker technisch aantoonbaar beter in staat is om tijdig een complete en juiste melding te verzorgen. Buiten dergelijke afgebakende situaties wegen de risico's – gebrek aan controle voor de verwerkingsverantwoordelijke, de complexiteit van parallelle meldplichten onder de Cyberbeveiligingswet, potentiële aansprakelijkheid voor de verwerker en verdere complicaties in subverwerker-relaties – niet evident op tegen de operationele voordelen. Dat geldt temeer voor meldingen aan betrokkenen.
Zowel verwerkingsverantwoordelijken als verwerkers doen er verstandig aan de keuze voor een machtiging niet als een standaard contractuele afspraak te behandelen, maar per situatie te beoordelen of de voordelen daadwerkelijk opwegen. Wanneer voor een machtiging wordt gekozen, is een zorgvuldig contractueel raamwerk – met coördinatieafspraken, een helder tweestapsproces, begrenzing van de reikwijdte van de machtiging en expliciete aandacht voor samenloop met andere meldverplichtingen – een absolute voorwaarde. Gezien het almaar stijgende aantal meldingen blijft dit onderwerp aandacht verdienen.
In het kort
- De Autoriteit Persoonsgegevens heeft een modelmachtiging gepubliceerd waarmee verwerkingsverantwoordelijken een verwerker kunnen machtigen om namens hen datalekmeldingen te doen.
- Een dergelijke machtiging kan in bepaalde situaties praktische voordelen bieden, bijvoorbeeld wanneer een beveiligingsincident meerdere klanten van dezelfde verwerker raakt.
- De keuze voor een machtiging roept ook juridische en organisatorische vragen op, onder meer over de rolverdeling tussen verwerkingsverantwoordelijke en verwerker.
- Bij de beoordeling van een machtiging spelen verschillende factoren een rol, zoals de aard van de verwerking, de beschikbare informatie bij de verwerker en eventuele samenloop met andere meldverplichtingen.
- Het gebruik van een machtiging vraagt om duidelijke afspraken over de uitvoering van meldingen, informatievoorziening en samenwerking tussen partijen.
Datalekken dienen afhankelijk van de mate van ernst gemeld te worden bij de Autoriteit Persoonsgegevens en/of betrokkenen. De AVG laat de ruimte aan verwerkingsverantwoordelijken om verwerkers te machtigen tot het doen van deze meldingen. Sinds 19 juni 2026 biedt de Autoriteit Persoonsgegevens een officieel voorbeeldformulier voor een dergelijke expliciete machtiging. In het onderstaande bespreken we deze optie en concluderen we dat verwerkingsverantwoordelijken én verwerkers goed naar de specifieke situatie zouden moeten kijken alvorens eventueel voor een machtiging te kiezen. Niet altijd wegen praktische voordelen op tegen nadelen zoals gebrek aan controle voor de verwerkingsverantwoordelijke en complicaties door overlap met andere meldplichten bijvoorbeeld voortvloeiend uit de inmiddels in de Cyberbeveiligingswet geïmplementeerde NIS-2.
Het voorstel voor de Digitale Omnibus Verordening besteedt ook aandacht aan de meldplicht waarbij wordt beoogd regeldruk te verminderen: het voorstel verlengt de AVG-meldtermijn van 72 naar 96 uur en introduceert een single-entry point voor incidentmeldingen. Tenslotte blijkt uit de jaarlijkse datalekkenrapportage van de AP dat het aantal gemelde datalekken het afgelopen jaar wederom gestegen is naar 39.407 tegenover 37.839 meldingen in 2024. Alle reden om de datalekmelding eens onder de loep te nemen.
Praktische invulling
De machtiging van de verwerker tot het doen van datalekmeldingen is niet expliciet geregeld in de AVG. In de “Richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens krachtens Verordening 2016/679” (WP250, onderschreven door de EDPB) staat de mogelijkheid wel benoemd.
Het machtigingsformulier van de AP is een summier document met simpelweg de gegevens van de verwerkingsverantwoordelijke en de verwerker, waarbij aangekruist kan worden welke meldingen de verwerker mag doen. Daarbij zijn er twee smaken:
In het formulier wordt dus geen onderscheid gemaakt naar omvang of ernst van de inbreuk op de beveiliging die gemeld gaat worden.
In beginsel dient een gemachtigde verwerker voor iedere verwerkingsverantwoordelijke een aparte melding te doen. Bij meldingen voor meerdere verwerkingsverantwoordelijken naar aanleiding van dezelfde inbreuk kan met een volgnummer gewerkt worden. De AP geeft echter aan dat bij grote hoeveelheden klanten / verwerkingsverantwoordelijken contact kan worden gezocht met het team datalekken van de AP om tot een praktische oplossing te komen. Ook benadrukt de AP te verwachten dat wanneer de AP vragen heeft over de melding de gemachtigde in staat is die te beantwoorden.
Voordelen en nadelen van uitbesteden melding aan verwerker
Een machtiging aan de verwerker kan wezenlijke praktische voordelen bieden. Met name waar een verwerker voor een groot aantal verwerkingsverantwoordelijken werkt en een lek alle verwerkingsverantwoordelijken op dezelfde wijze treft. Bijvoorbeeld wanneer een beveiligingsincident - zoals een inbraak op een cloudplatform of een kwetsbaarheid in een gedeeld softwarepakket - tegelijk persoonsgegevens van tientallen of honderden klanten met ieder hun eigen betrokkenen raakt, is het efficiënt als een verwerker, die aan de bron staat van alle technische informatie, een voor alle verwerkingsverantwoordelijken consistente melding kan doen. Ook voor de AP als ontvanger van de meldingen biedt dat natuurlijk overzichtelijkheid.
Voor de verwerkingsverantwoordelijke zit het voordeel van een machtiging primair in de ontlasting van een complexe en tijd-kritische taak waarvoor hij feitelijk afhankelijk is van zijn verwerker: hij hoeft niet zelf een melding samen te stellen op basis van tweedehands informatie waarbij hij afhankelijk is van een IT-afdeling die hij niet kent (de verwerker zit ‘dichter op het vuur’) waardoor de kans dat de melding tijdig binnen de termijn van (in de huidige situatie) 72 uur kan worden ingediend groter wordt. Maar de verwerkingsverantwoordelijke zal natuurlijk uiteindelijk wel op de hoogte moeten raken van de ins- and outs ook om zelf maatregelen te kunnen nemen en betrokkenen te woord te staan.
Het voordeel voor de verwerker zelf is minder eenduidig. In theorie hoeft hij zijn klanten niet meer ieder afzonderlijk te voorzien van de informatie en eventuele ondersteuning bij het opstellen van hun melding. Maar in de praktijk zullen verwerkingsverantwoordelijken (op wie de wettelijke verantwoordelijkheid van een correcte melding blijft rusten) ook bij uitbesteding aan de verwerker goed geïnformeerd willen worden. Daarnaast zal de verwerker in beginsel toch nog namens iedere verwerkingsverantwoordelijke een afzonderlijke melding bij de AP moeten indienen en daarover in contact moeten treden met de verwerkingsverantwoordelijke: het aantal betrokken personen, de betrokken categorieën persoonsgegevens en de ernst van het risico kunnen per klant immers aanzienlijk verschillen. Bij een incident dat tientallen klanten raakt, vertaalt dat zich in tientallen afzonderlijke meldingen die de verwerker volledig en juist moet indienen. In beginsel moet dat binnen 72 uur, maar er kan natuurlijk wel voor gekozen worden om eerst een melding te doen met algemene gegevens over het incident en die op een later moment aan te vullen met details per verwerkingsverantwoordelijke.
Hoewel die tweetrapsraket lucht geeft is het niet evident dat een verwerker deze last op zich zou willen nemen. Zonder machtiging dient hij tijdig en volledig alle relevante informatie aan zijn klanten aan te leveren (waarbij de tweetrapsraket wellicht ook eerder begint te lopen) en laat hij de meldingsverantwoordelijkheid bij de verwerkingsverantwoordelijke. De machtiging lost voor de verwerker een operationeel coördinatieprobleem gedeeltelijk op, maar creëert tegelijkertijd nieuwe juridische en operationele risico’s ten opzichte van de verwerkingsverantwoordelijke wanneer de melding een fout bevat. De verwerkingsverantwoordelijke zal bij het machtigen van een verwerker in relatie tot de verwerker de verantwoordelijkheid voor de inhoud immers zoveel mogelijk bij de verwerker willen leggen.
Ook als dat lukt blijven er risico’s bestaan voor de verwerkingsverantwoordelijke. De wettelijke plicht om correct en volledig te melden blijft uiteindelijk namelijk altijd bij de verwerkingsverantwoordelijke liggen. Betrokkenen en de AP kunnen de verwerkingsverantwoordelijke aanspreken wanneer een melding niet correct is. Een machtiging aan de verwerker verandert dat niet, hooguit kan deze dan achteraf aangesproken worden. Er zijn verschillende situaties denkbaar waar het mis kan gaan. Een verwerker kan de beschrijving van de risico’s in de melding bijvoorbeeld willen bagatelliseren om eigen reputatieschade te beperken. Ook kan de melding onvolledig zijn, zonder dat de verwerker de mogelijkheid benut om de melding later aan te vullen terwijl dat wel had gekund. Deze risico’s kunnen in feite echter ook spelen als de verwerkingsverantwoordelijke zelf de melding blijft doen maar afhankelijk is van informatie van de verwerker. Als de verwerkingsverantwoordelijke op afstand blijft is echter ook denkbaar dat de verwerker met de machtiging in de hand tot melding overgaat (aan de AP en/of betrokkenen) als daar formeel geen noodzaak toe bestond. De beoordeling of een incident meldingsplichtig is en hoe het risico voor betrokkenen gekwalificeerd moet worden, vergt immers ook inzicht in de context van de verwerkingsverantwoordelijke – zijn sector, zijn klantenbestand, en mogelijk ook eerdere meldingen – waarover de verwerker doorgaans niet beschikt. Dat kan leiden tot onnodige reputatieschade voor de verwerkingsverantwoordelijke of verwarring bij betrokkenen.
In algemene zin kan men zich afvragen of het wenselijk is dat een verwerker zich namens een verwerkingsverantwoordelijke tot betrokkenen richt. De betrokkenen hebben immers geen directe relatie met de verwerker waardoor – zoals de AP eerder ook adviseerde – een melding door de verwerker aan betrokkenen verwarrend kan zijn.
Dubbele meldplichten: AVG en Cyberbeveiligingswet
Een andere praktisch complicerende factor bij de keuze voor uitbesteding van de meldplicht aan de verwerker is de potentiële samenloop met de meldplichten die voortvloeien uit de Cyberbeveiligingswet, waarmee de NIS2 in Nederland is geïmplementeerd. Daarbij zijn verschillende situaties te onderscheiden: de verwerker kwalificeert als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet, de verwerkingsverantwoordelijke kwalificeert als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet, of beiden kwalificeren als zodanig. Juist de tweede situatie – waarbij de verwerkingsverantwoordelijke zelf NIS2-plichtig is – kan problemen opleveren in combinatie met een machtiging aan de verwerker voor de AVG-melding.
Wanneer de verwerkingsverantwoordelijke zelf kwalificeert als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet en hij een machtiging heeft gegeven voor AVG datalekken, komt de meldingsuitvoering bij twee partijen te liggen. De verwerkingsverantwoordelijke moet dan zelf tijdig melden onder de Cyberbeveiligingswet – binnen 24 uur na constatering – maar is voor de technische informatie die hij daarvoor nodig heeft juist afhankelijk van de verwerker. Zonder goede coördinatieafspraken bestaat het reële risico van inconsistente, tegenstrijdige of dubbele meldingen die de verwerkingsverantwoordelijke in een lastige positie kunnen brengen. Dit pleit ervoor dat bij de keuze voor een machtiging tevens uitdrukkelijk wordt geregeld hoe de coördinatie van parallelle meldverplichtingen – zowel inhoudelijk als qua timing – is georganiseerd, ongeacht aan welke kant van de relatie de NIS2-verplichting rust.
Een mogelijke verlichting van de beschreven coördinatieproblemen kan in de toekomst voortvloeien uit het voorstel voor de Digitale Omnibus Verordening. Dat voorstel introduceert, naast de verlenging van de AVG-meldtermijn van 72 naar 96 uur, een zogenoemd single-entry point voor incidentmeldingen: de gedachte is dat een melding bij één centraal loket volstaat, waarna de bevoegde autoriteiten onderling de verdeling verzorgen. Als dit voorstel in de huidige vorm wordt aangenomen, zou dat de parallel lopende meldtrajecten richting de AP en het NCSC of de sectorale toezichthouder kunnen vereenvoudigen.
Contractuele aandachtspunten
Indien partijen toch kiezen voor een machtiging van de verwerker, verdient een aantal contractuele aandachtspunten bijzondere aandacht.
- Perspectief verwerkingsverantwoordelijke
Vanuit het perspectief van de verwerkingsverantwoordelijke is het van belang om in de verwerkersovereenkomst uitdrukkelijk te regelen dat de verwerker slechts tot melding overgaat nadat de verwerkingsverantwoordelijke adequaat geïnformeerd is, dat de verwerker een conceptmelding ter beschikking stelt en dat de verwerkingsverantwoordelijke een kopie van de ingediende melding ontvangt. Daartoe kan een tweestapsproces worden afgesproken: eerst informeert de verwerker de verwerkingsverantwoordelijke onverwijld over het incident en legt hij een conceptmelding voor, waarna de verwerkingsverantwoordelijke een bevestiging geeft alvorens de melding wordt ingediend. Zonder dergelijke afspraken behoudt de verwerkingsverantwoordelijke weliswaar de juridische verantwoordelijkheid, maar verliest hij de feitelijke controle. Dat kan hooguit acceptabel zijn als de verwerker vergaande aansprakelijkheden en vrijwaringsverplichtingen accepteert ten aanzien van de inhoud.
Vanuit het perspectief van de verwerker is anderzijds voorzichtigheid geboden bij het contractueel aanvaarden van vergaande inhoudelijke verantwoordelijkheid voor de juistheid van de melding. Zoals hiervoor beschreven beschikt de verwerker niet altijd over de context die nodig is om een volledige en correcte kwalificatie van de feiten te geven. Een verwerker die aansprakelijkheid accepteert voor een ondeugdelijke melding, neemt daarmee een risico op zich dat hij in de praktijk maar gedeeltelijk in de hand heeft. Zinvoller is het om de aansprakelijkheid te koppelen aan de informatie die de verwerker op het moment van de melding ter beschikking stond.
Het kan ook wenselijk zijn, vanuit het perspectief van beide partijen om het machtigingsformulier van de AP – dat zoals hiervoor beschreven een algemene machtiging voor alle meldingen (aan de AP of aan betrokkenen, dan wel beide) biedt – uitsluitend te gebruiken in het geval van specifieke, vooraf gedefinieerde situaties. Zo kunnen partijen in de verwerkersovereenkomst afspreken dat de machtiging slechts van kracht is bij incidenten die een specifieke categorie verwerking betreffen. In andere gevallen blijft de meldplicht bij de verwerkingsverantwoordelijke zelf. Een dergelijke begrenzing vermindert het risico dat de verwerker in situaties tot melding overgaat waarbij de verwerkingsverantwoordelijke beter in staat is om de context te beoordelen. Het machtigingsformulier als zodanig biedt die begrenzing niet – het formulier kent slechts twee categorieën (melding aan de AP, melding aan betrokkenen) en maakt geen onderscheid naar soort incident. De contractuele begrenzing zal dus naast het formulier moeten worden geregeld.
- Subverwerkers: een extra complicerende laag
Het voorgaande wordt nog complexer wanneer sprake is van een keten van subverwerkers. In de praktijk werkt een verwerker vaak met subverwerkers die (delen van) de verwerking uitvoeren. Een beveiligingsincident kan dan plaatsvinden bij een subverwerker, die het vervolgens meldt aan de verwerker, die op zijn beurt de verwerkingsverantwoordelijke informeert. Wanneer de verwerker van de verwerkingsverantwoordelijke een machtiging heeft gekregen om te melden, rijst de vraag of hij die bevoegdheid kan of mag doorleggen aan zijn subverwerker. Dat is technisch gezien niet uitgesloten. Subverwerkers staan echter nog verder van de verwerkingsverantwoordelijke af, waardoor de informatieasymmetrie – en daarmee het risico op inconsistente meldingen – verder toeneemt. Partijen doen er goed aan in de keten van verwerkersovereenkomsten uitdrukkelijk te regelen wie in geval van een incident welke stappen zet en hoe de informatiestromen omhoog in de keten zijn georganiseerd, zodat de verwerkingsverantwoordelijke tijdig en volledig geïnformeerd is.
Conclusie
De mogelijkheid om verwerkers te machtigen tot het doen van datalekmeldingen die wordt gefaciliteerd met het machtigingsformulier van de AP kan zinvol zijn, maar voorzichtigheid is geboden. Zij lijkt met name geschikt in een beperkt aantal standaardsituaties: gevallen waarbij een verwerker voor een groot aantal verwerkingsverantwoordelijken werkt, waarbij een incident alle betrokken verwerkingsverantwoordelijken op vergelijkbare wijze treft, de aard van de gegevens die voor de verwerkingsverantwoordelijken wordt verwerkt sterk vergelijkbaar is en waarbij de verwerker technisch aantoonbaar beter in staat is om tijdig een complete en juiste melding te verzorgen. Buiten dergelijke afgebakende situaties wegen de risico's – gebrek aan controle voor de verwerkingsverantwoordelijke, de complexiteit van parallelle meldplichten onder de Cyberbeveiligingswet, potentiële aansprakelijkheid voor de verwerker en verdere complicaties in subverwerker-relaties – niet evident op tegen de operationele voordelen. Dat geldt temeer voor meldingen aan betrokkenen.
Zowel verwerkingsverantwoordelijken als verwerkers doen er verstandig aan de keuze voor een machtiging niet als een standaard contractuele afspraak te behandelen, maar per situatie te beoordelen of de voordelen daadwerkelijk opwegen. Wanneer voor een machtiging wordt gekozen, is een zorgvuldig contractueel raamwerk – met coördinatieafspraken, een helder tweestapsproces, begrenzing van de reikwijdte van de machtiging en expliciete aandacht voor samenloop met andere meldverplichtingen – een absolute voorwaarde. Gezien het almaar stijgende aantal meldingen blijft dit onderwerp aandacht verdienen.