De digitale zorgplicht raakt iedereen en gaat over meer dan “alleen” AVG compliance

Digitale zorgplicht: die gaat iedereen raken

De digitale zorgplicht is geen nicheverplichting meer voor “kritieke sectoren” of alleen voor organisaties die per definitie onder NIS2 of de Cyberbeveiligingswet (Cbw) vallen. Alle organisaties krijgen langzamerhand een zelfstandige digitale zorgplicht. De AVG eist al jaren passende technische en organisatorische maatregelen voor de verwerking van persoonsgegevens. NIS2/Cbw trekken ketenbeveiliging en leveranciers- afhankelijkheden nadrukkelijk naar het bestuur en maken duidelijk dat gereguleerde entiteiten aantoonbaar hun digitale risico’s moeten beheersen. De Data Act, de AI Verordening en de Wet bescherming bedrijfsgeheimen vullen dit aan met concrete zorgplichten rond datagebruik, dataportabiliteit, AI-training en bescherming van bedrijfsinformatie.

Sommige van deze regimes schrijven expliciet voor wat je met een leverancier moet regelen, zoals verwerkersafspraken onder de AVG of exit-rechten onder de Data Act. Die voorschriften gelden echter niet altijd en niet voor elke dienst. Juist daarom is het belangrijk om deze wettelijke kaders te gebruiken als kompas voor de algemene outsourcingpraktijk, ook waar geen direct dwingend voorschrift geldt. De beoogde overname van Solvinity, de hosting- en managed services-leverancier achter DigiD, maakte zichtbaar dat digitale zorgplicht direct raakt aan zeggenschap en continuïteit bij kritieke IT-leveranciers. De politieke interventie was een uitzonderlijk vangnet. Voor de meeste organisaties ontbreekt zo’n instrument en ligt de verantwoordelijkheid voor het beheersen van leveranciersrisico’s volledig bij henzelf, terwijl dit in de praktijk vaak onvoldoende is geborgd. De boodschap is helder: wie data, systemen en ketens uitbesteedt, moet daar contractueel zorgvuldige afspraken over maken. De digitale zorgplicht raakt iedereen en gaat over meer dan “alleen” AVG-compliance. Het gaat om inhoudelijke en financiële afdekking van digitale risico’s én om praktische slagvaardigheid bij incidenten, overstap en exit. Hieronder volgen daarom een aantal aanbevelingen voor de IT-contractpraktijk die in ieder contract thuishoren.

Exit: voorkom dat je vastzit bij de verkeerde partij

Vendor lock-in is vaak geen onvermijdelijk lot, maar het gevolg van slecht geregelde migratie, dataportabiliteit en beëindigingsmogelijkheden bij zeggenschapswijzigingen. De Data Act verplicht aanbieders van dataverwerkingsdiensten tot overstapfacilitering, maximale opzegtermijnen en een verbod op overstapkosten, maar die bescherming geldt niet voor alle IT-diensten. De Cbw introduceert een aanwijzingsbevoegdheid waarmee de Minister gereguleerde entiteiten kan verplichten bepaalde leveranciers te weren. Ook als zo’n aanwijzing niet algemeen geldt, is dit een signaal dat bepaalde leverancierscategorieën in bredere zin “not done” kunnen zijn.

In contracten horen daarom in ieder geval:

• een exitplan bij contractsluiting met transitieperiode, ondersteuning bij datamigratie en overdracht;
• afspraken dat de leverancier na overdracht geen gebruik meer maakt van data en kopieën vernietigt, ook waar het geen persoonsgegevens maar bedrijfsgevoelige informatie betreft;
• een change of control-clausule met meldplicht bij eigendoms- of zeggenschapswijziging en een opzeggingsrecht als het nieuwe risicoprofiel niet aanvaardbaar is of nationale veiligheids- en ketenrisico’s daartoe nopen.

Meewerk- en informatieplichten: ketenbeheersing begint bij afspraken

Een algemene digitale zorgplicht betekent dat organisaties moeten kunnen aantonen dat zij hun keten beheersen. Dat lukt alleen als leveranciers tijdig en volledig informatie delen. De AVG verplicht verwerkers al tot bijstand bij verzoeken van betrokkenen, datalekken en het aantonen van naleving, wat vraagt om concrete contractuele uitwerking. De Cbw voegt daar voor gereguleerde entiteiten en hun keten een extra meldstructuur voor significante incidenten aan toe, met korte termijnen en informatieplichten richting afnemers.

In algemene zin geldt dat een organisatie niet aan haar digitale zorgplicht kan voldoen als problemen bij de leverancier een blinde vlek zijn. Neem daarom minimaal op:

• interne meldtermijnen voor (alle) incidenten vóór eventuele wettelijke deadlines, bijvoorbeeld een eerste melding binnen enkele uren en een eerste inhoudelijke update binnen 24 uur;
• een uitgewerkte informatieplicht over aard en impact van het incident, getroffen systemen en data, genomen maatregelen en de beschikbaarheid van logs;
• een algemene (kosteloze) bijstandsplicht bij verzoeken, klachten, meldingen en overige communicatie die de dienstverlening raakt, inclusief verstrekking van relevante documentatie;
• een afspraak dat de leverancier niet zelfstandig extern communiceert over incidenten zonder afstemming, zodat je regie houdt op beeldvorming.

Verder gebruik van data: grens trekken, niet alleen onder AVG

De digitale zorgplicht gaat ook over hoe leveranciers met jouw data omgaan. Het risico zit niet alleen in AVG-schendingen, maar ook in ongecontroleerde inzet van data voor AI-training, productontwikkeling of benchmarking die raakt aan de Data Act, AI-Verordening en Wet bescherming bedrijfsgeheimen. Contracten zouden daarom:

• elk eigen gebruik van persoonsgegevens, klantdata en bedrijfsgevoelige informatie door de leverancier uitsluiten, behalve voor het leveren van de dienst, met expliciete verboden doeleinden (AI-modeltraining, fine-tuning, profilering, productontwikkeling, benchmarking en gebruik voor of door derden);
• een rangorde van documenten vastleggen waarin data-afspraken en beveiligingsbijlagen voorgaan op algemene voorwaarden, zodat brede “productontwikkeling”-clausules geen voorrang krijgen;
• voor gecontroleerde innovatie werken met synthetische of volledig geanonimiseerde datasets of met aparte datalicenties met duidelijke kaders en voorwaarden.

Aansprakelijkheid: de zorgplicht eindigt niet bij één regime

Standaardcaps van leveranciers (meestal één jaarcontractwaarde, plus uitsluiting van gevolgschade) schuiven een groot deel van het digitale risico naar de opdrachtgever, terwijl meerdere regimes tegelijk kunnen spelen, ieder met eigen risico’s op boetes en claims. Onder NIS2/Cbw kan onvoldoende cyberbeheer zelfs leiden tot bestuurdersaansprakelijkheid.

Onder een algemene digitale zorgplicht past daarom een verfijnder aansprakelijkheidsregime:

• een algemene cap voor normale performance-issues, maar hogere caps voor schendingen van beveiligingsplicht, meldplicht, geheimhouding en toerekenbare datalekken, ongeacht onder welk regime de daaruit voortvloeiende boete of claim valt;
• een vrijwaringsclausule voor boetes en claims van betrokkenen en andere derden die aantoonbaar het gevolg zijn van handelen of nalaten van de leverancier, los van het toepasselijke wettelijke regime.

Wie deze lijn consequent doortrekt, geeft invulling aan een digitale zorgplicht die alle organisaties raakt én voorkomt dat zij vleugellam raken door vendor lock-in, ontoereikende migratie- of exitbepalingen of onbeheersbare incidenten vanwege gebrekkige medewerkings- en informatieverplichtingen aan de zijde van de leverancier.

Vragen? Neem gerust contact met Nina Orlic op via n.orlic@windtlegal.com