Aproape fiecare companie care operează în Olanda externalizează ceva ce ține de date cu caracter personal: salarizare, găzduire, CRM, marketing, recrutare, asistență. În cazul în care un furnizor prelucrează date cu caracter personal conform instrucțiunilor dumneavoastră, art. 28 din GDPR impune un contract scris, în olandeză un verwerkersovereenkomst . Acest ghid prezintă situațiile în care este necesar, ce trebuie să conțină, modul în care autoritatea de supraveghere olandeză îl abordează și modul în care sunt negociate clauzele relevante.
Când este necesar un acord de prelucrare și când nu este
Este necesară într-o singură situație: atunci când o parte prelucrează date cu caracter personal în numele altei părți. Partea care decide de ce și, în esență, cum sunt prelucrate datele este operatorul; partea care acționează conform instrucțiunilor acestuia este persoana împuternicită de operator. Obligația se extinde pe parcursul lanțului, astfel încât o persoană împuternicită de operator care angajează un subcontractant trebuie să încheie un contract echivalent cu acesta. Nu este necesară nicio obligație atunci când părțile sunt operatori independenți, fiecare urmărind propriile scopuri, atunci când sunt operatori asociați, ceea ce necesită un acord în temeiul articolului 26 din RGPD, sau atunci când nu sunt implicate date cu caracter personal.
Semnarea unui contract cu o parte care este, de fapt, un operator independent nu este inofensivă: aceasta declară greșit cine este responsabil și creează iluzia unor instrucțiuni pe care niciuna dintre părți nu le poate onora. Eroarea oglinzii este la fel de frecventă în cazul în care un furnizor care acționează pe cont propriu acceptă termeni care prevăd doar instrucțiuni și pe care nu îi poate respecta.
Operator sau persoană împuternicită de operator: modul în care se evaluează efectiv distincția
Evaluarea este funcțională, nu formală: ceea ce contractul numește părțile reprezintă dovezi, nu răspunsul, iar diferența dintre un operator și o persoană împuternicită de operator este primul lucru pe care îl testează o autoritate de supraveghere. Punctul de referință îl reprezintă Orientările CEPD 07/2020 privind operatorul și persoana împuternicită de operator, a căror versiune finală a fost adoptată la 7 iulie 2021.
Scopuri și mijloace esențiale
Operatorul stabilește scopurile și mijloacele esențiale : ce categorii de date sunt prelucrate, despre cine, pentru cât timp și cui sunt divulgate. Aceste decizii sunt legate de legalitate și necesitate și nu pot fi delegate. Mijloacele neesențiale , detaliile implementării, pot fi lăsate la latitudinea furnizorului: ce software rulează și cum își proiectează controalele.
Prin urmare, o organizație poate fi operator, deși nu atinge niciodată datele. În hotărârea sa din 5 decembrie 2023 în cauza C-683/21 (Nacionalinis visuomenės sveikatos centras), Curtea de Justiție a statuat că o entitate care stabilește scopurile și mijloacele de prelucrare efectuate prin intermediul unei aplicații pe care a comandat-o este un operator și că operarea comună poate rezulta din decizii convergente fără niciun acord formal. În schimb, o persoană împuternicită de operator care depășește instrucțiunile de a prelucra în propriile scopuri este tratată de articolul 28 din RGPD ca operator pentru prelucrarea respectivă.
Situațiile care pun companiile în dificultate
- Birourile de salarizare. În cazul în care biroul introduce datele pe care le furnizați și produce fluturași de salariu, acesta este un procesator de date. În cazul în care misiunea se extinde la consultanță independentă și verificări ale conformității, în opinia proprie a firmei, ghidul organismelor profesionale olandeze din 1 octombrie 2019 pentru contabili, consultanți fiscali și specialiști în salarizare îl tratează ca un operator.
- Contabili și consultanți fiscali. Auditul statutar, compilarea și declararea impozitelor sunt efectuate în cadrul propriilor atribuții profesionale și legale ale firmei, cu judecată independentă. Aceasta indică statutul de operator, iar un acord de prelucrare a datelor este atunci documentul greșit.
- Agenții de marketing. O agenție care derulează o campanie pe baza listei tale de clienți este un procesator de date. O agenție care construiește sau îmbogățește publicul sau derulează tehnologii publicitare în care platforma stabilește parametrii, are scopuri proprii, iar controlul comun cu platforma este o posibilitate reală.
- Furnizori IT, găzduire și SaaS. În mod normal, sunt persoane împuternicite de operatori, dar verificați clauza care își rezervă dreptul de a utiliza date „agregate” sau „de utilizare” pentru îmbunătățirea serviciilor, evaluarea comparativă sau instruirea modelelor. În măsura în care implică date cu caracter personal, acestea reprezintă scopul propriu al furnizorului și este operator pentru acestea.
- Recrutori. O agenție care își menține propria bază de date cu candidați este operatorul acesteia. Prelucrarea candidaților nominalizați pentru postul vacant este de obicei o combinație între doi operatori, cu procesare limitată la instrucțiuni între aceștia.
Controlul comun și aranjamentul necesar în schimb
În cazul în care două părți stabilesc în comun scopurile și mijloacele, fie printr-o decizie comună, fie prin decizii care converg și sunt inextricabil legate, art. 26 din RGPD impune un acord, mai degrabă decât un acord de prelucrare. Acesta trebuie să stabilească în mod transparent cine răspunde persoanelor vizate și cine gestionează informațiile de transparență, securitatea, notificarea încălcărilor, evaluările de impact și transferurile. Esența sa trebuie pusă la dispoziția persoanelor vizate, care își pot exercita drepturi împotriva oricăreia dintre părți, indiferent de cum și-au împărțit părțile drepturile, și nu obligă nici Autoritatea de Reglementare a Persoanelor (Autoriteit Persoonsgegevens), nici o instanță judecătorească.
Conținutul obligatoriu conform art. 28 GDPR
Contractul trebuie să fie în formă scrisă, inclusiv în format electronic, și obligatoriu pentru operator. Art. 28 din RGPD stabilește o listă fixă, iar CEPD precizează în mod explicit că recitarea regulamentului nu este suficientă.
| Element obligatoriu | Ce trebuie să prevadă contractul |
|---|---|
| Descrierea prelucrării | Obiectul, durata, natura și scopul, tipul de date, categoriile de persoane vizate și drepturile și obligațiile operatorului. De obicei, anexate și, de obicei, prea generice. |
| Instrucțiuni documentate | Prelucrarea se face numai pe baza instrucțiunilor documentate ale operatorului, inclusiv în ceea ce privește transferurile. Atenție la mențiunea „în condițiile permise de acord”, care anulează regula. |
| Confidențialitatea | Persoane autorizate obligate prin confidențialitate, contractual sau prin lege; ar trebui să ajungă și la personalul subcontractantului. |
| Securitate | Măsurile impuse în temeiul art. 32 GDPR. O trimitere încrucișată este lipsită de valoare: anexați măsurile. |
| Subcontractanți | Condițiile pentru angajarea unui alt procesator și regimul de autorizare |
| Drepturile persoanelor vizate | Măsuri adecvate pentru a ajuta operatorul să răspundă la solicitări; să stabilească termene limită și să confirme că se încadrează în tarif |
| Securitate, încălcări, evaluări ale impactului | Asistență în materie de securitate, notificare către autoritate și către persoanele vizate, evaluări de impact și consultare prealabilă |
| Ștergere sau returnare | La alegerea operatorului, ștergerea sau returnarea la sfârșitul serviciilor și ștergerea copiilor, cu excepția cazului în care stocarea este impusă de lege. |
| Informații și audituri de conformitate | Informațiile necesare pentru a demonstra conformitatea și pentru a permite audituri și a contribui la acestea |
| Instrucțiuni ilegale | Persoana împuternicită de operator informează operatorul dacă o instrucțiune încalcă legislația privind protecția datelor |
Subcontractanții și regimul de autorizare
O persoană împuternicită de operator nu poate angaja un subcontractant fără autorizația operatorului. O autorizație prealabilă specifică aprobă fiecare subcontractant în mod individual, ceea ce funcționează pentru un lanț stabil mic, dar nu și pentru un serviciu cloud mare. Autorizația scrisă generală permite persoanei împuternicite de operator să adauge sau să înlocuiască subcontractanți, cu condiția să informeze operatorul cu privire la modificările intenționate și să îi permită acestuia să se opună.
Aproape fiecare acord standard cu furnizorii oferă o autorizație generală, o listă și o perioadă de preaviz, astfel încât negocierea se referă la valoarea acestei notificări: o cale care nu depinde de monitorizarea de către dvs. a unei pagini web, o perioadă suficient de lungă pentru a acționa și o consecință declarată dacă obiectați, în mod realist rezilierea fără penalități. În orice caz, persoana împuternicită de operator trebuie să impună aceleași obligații una după alta și rămâne răspunzătoare pentru subcontractant. În Avizul 22/2024 din 9 octombrie 2024, CEPD a confirmat că responsabilitatea se extinde la întregul lanț: operatorul ar trebui să fie capabil să identifice fiecare subcontractant și să se asigure că garanțiile sunt valabile pe tot parcursul acestuia.
Obligația de securitate, concretizată
„Persoana împuternicită de operator va implementa măsuri tehnice și organizatorice adecvate în conformitate cu art. 32 din GDPR” este o platitudine: nu spune nimic și nu dovedește nimic. O anexă utilizabilă prevede criptarea în tranzit și în repaus și modul în care sunt gestionate cheile; controlul accesului, inclusiv procesele joiner-mover-leaver și autentificarea multi-factor; ce este înregistrat și pentru cât timp; frecvența backup-urilor și restaurarea testată; intervalele de timp pentru aplicarea patch-urilor și testele de penetrare; certificările pe care se bazează, cu domeniul lor de aplicare; și unde sunt stocate și accesate datele , inclusiv personalul de asistență.
Acest lucru este evident. În hotărârea sa din 14 decembrie 2023 în cauza C-340/21 (Natsionalna agentsia za prihodite), Curtea de Justiție a statuat că un incident de securitate nu stabilește în sine că măsurile au fost inadecvate, ci că operatorul are sarcina de a demonstra că acestea au fost adecvate. O anexă datată constituie această dovadă; o trimitere încrucișată nu.
Asistență privind drepturile persoanelor vizate și notificarea încălcărilor datelor
Ambele obligații sunt determinate de termene limită, iar termenele limită aparțin operatorului. În ceea ce privește drepturile persoanelor vizate, operatorul trebuie să răspundă în termen de o lună, așadar „asistența rezonabilă” fără un termen limită vă lasă pe dumneavoastră să absorbiți întârzierea. Remediați problema: orice solicitare pe care o primește furnizorul este transmisă în termen de un număr specificat de zile lucrătoare și nu primește niciodată răspuns până la acesta; un extras complet este produs într-un format utilizabil în termen de cinci până la zece zile lucrătoare; iar acest lucru se încadrează în taxa aferentă, mai degrabă decât să declanșeze o factură.
În cazul încălcărilor, operatorul trebuie să notifice Autoriteit Persoonsgegevens fără întârzieri nejustificate și, acolo unde este posibil, în termen de 72 de ore de la data la care a luat cunoștință de acestea, în temeiul articolului 33 din GDPR. Concretați obligația persoanei împuternicite de operator: notificare în termen de 24 de ore, către o persoană de contact numită, cu o rută de comunicare în afara orelor de program, cu un set minim de conținut definit, chiar și în cazul în care faptele sunt incomplete; cooperare cu specialiștii criminalistici; și interdicția de a notifica autoritatea sau persoanele vizate fără aprobarea dumneavoastră. Organizațiile incluse în domeniul de aplicare raportează, de asemenea, incidentele către CSIRT-ul lor în temeiul Cyberbeveiligingswet olandez, care implementează Directiva NIS2 și se aplică din 15 august 2026.
Drepturile de audit și modul în care sunt negociate
Art. 28 din RGPD impune persoanei împuternicite de operator atât să pună la dispoziție informațiile necesare pentru a demonstra conformitatea, cât și să permită și să contribuie la audituri, inclusiv inspecții, efectuate de operator sau de un auditor mandatat de acesta. O clauză care oferă doar „cea mai recentă certificare a noastră” este insuficientă. Compromisul la care ajung majoritatea negocierilor olandeze: un raport anual de asigurare de drept, cu documentul său privind domeniul de aplicare; un audit documentat o dată pe an, plus un audit suplimentar după o încălcare care afectează datele dumneavoastră sau la cererea unei autorități de supraveghere; o notificare prealabilă de treizeci de zile; domeniul de aplicare limitat la serviciile dumneavoastră; un auditor care nu este un concurent; și costuri suportate de dumneavoastră, cu excepția cazului în care se constată o neconformitate semnificativă.
Returnare sau ștergere la sfârșit
Alegerea aparține operatorului, iar contractul ar trebui să precizeze acest lucru, în loc să îl rezerve furnizorului. Specificați formatul de export, termenul limită, de obicei treizeci de zile de la reziliere, confirmarea scrisă a ștergerii și modul în care sunt gestionate copiile de rezervă, ceea ce înseamnă, în mod realist, că datele rămân într-un ciclu documentat, protejate și neutilizate, până la suprascriere. Stabiliți în avans asistența de ieșire și tarifele și excludeți orice drept de a reține datele din cauza taxelor contestate.
Răspundere, despăgubiri și regimul propriu de răspundere al GDPR
Art. 82 din RGPD conferă unei persoane vizate dreptul la despăgubiri pentru daune materiale și nemateriale. Un operator este răspunzător pentru daunele cauzate de o prelucrare care încalcă regulamentul; o persoană împuternicită de operator este răspunzătoare atunci când nu a respectat obligațiile care îi revin în mod specific împuterniciților de operator sau a acționat în afara sau contrar instrucțiunilor legale. În cazul în care ambii sunt implicați în aceeași prelucrare, fiecare poate fi tras la răspundere pentru întreaga daună, cu posibilitatea de regres ulterior. Această expunere nu poate fi anulată prin contract; contractul alocă partea internă. Amenzile sunt separate: încălcările art. 28 din RGPD se încadrează în categoria inferioară din art. 83 din RGPD.
- Termenii standard plafonează răspunderea la un multiplu al taxelor și exclud „pierderile indirecte și consecutive”. Dacă amenzile de reglementare, costurile de notificare și criminalistică, precum și compensațiile acordate persoanelor vizate se încadrează în această excludere, despăgubirea este decorativă: enumerați-le drept pierderi directe recuperabile.
- Solicitați o excepție sau un plafon majorat pentru încălcarea acordului de prelucrare, încălcarea confidențialității și încălcarea deliberată sau imprudentă.
- O amendă impusă dumneavoastră nu poate fi transferată ca amendă, dar poate fi recuperată ca pierdere în baza unei despăgubiri redactate corespunzător. Acțiunile colective olandeze în temeiul regimului WAMCA fac din cererile agregate o expunere realistă, ceea ce argumentează împotriva unui plafon derizoriu.
Transferuri internaționale și clauze standard
Dacă persoana împuternicită de operator, subcontractanții acesteia sau personalul său de asistență pot accesa datele din afara SEE, se aplică capitolul V din RGPD și regimul transferurilor internaționale de date , pe lângă articolul 28. Accesul la distanță este important, la fel și un birou de asistență din străinătate.
În absența unei decizii privind caracterul adecvat în temeiul articolului 45 din RGPD, instrumentul obișnuit îl reprezintă clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei din 4 iunie 2021, în temeiul articolului 46 din RGPD. Două aspecte sunt în mod regulat omise. Modulele care acoperă transferurile de la operator la persoană împuternicită de operator și de la persoană împuternicită de operator la subcontractant îndeplinesc, de asemenea, cerințele articolului 28 din RGPD, astfel încât nu este necesar un acord de prelucrare separat pentru această etapă, deși multe contracte le combină pe ambele. Și după hotărârea Curții de Justiție din 16 iulie 2020 în cauza C-311/18 (Schrems II), semnarea nu este sfârșitul: părțile trebuie să evalueze dacă legislația și practica țării de destinație împiedică importatorul să se conformeze și să adauge măsuri suplimentare acolo unde se întâmplă acest lucru. Documentați această evaluare; Recomandările CEPD 01/2020, adoptate la 18 iunie 2021, stabilesc în continuare abordarea.
Pentru Statele Unite, decizia Comisiei din 10 iulie 2023 privind nivelul de protecție adecvat pentru Cadrul UE-SUA privind confidențialitatea datelor rămâne în vigoare, dar este utilă doar în cazul în care destinatarul specific este autocertificat în mod activ pentru categoriile de date relevante, deci trebuie verificată certificarea. Aceasta a supraviețuit primei contestații: Tribunalul a respins acțiunea prin hotărârea din 3 septembrie 2025 în cauza T-553/23 (Latombe/Comisia). Un recurs a fost introdus la 31 octombrie 2025 ca fiind cauza C-703/25 P, iar Curtea de Justiție nu a închis cazul la data acestei pagini în 2026; între timp, decizia privind nivelul de protecție adecvat nu a fost nici suspendată, nici modificată. Nu lăsați ca aceasta să devină un singur punct de deficiență: păstrați clauzele și o evaluare documentată ca o soluție de rezervă și tratați recursul pendinte ca un motiv pentru a avea unul, mai degrabă decât ca un motiv pentru a aștepta. Autoritatea de Reglementare a Persoanelor (Autoriteit Persoonsgegevens) a amendat Uber cu 290 de milioane de euro prin decizia din 22 iulie 2024 pentru transferul datelor șoferilor către Statele Unite fără un instrument de transfer adecvat, după ce a încetat să mai utilizeze clauzele; Uber a declarat că intenționează să obiecteze, AP nu a publicat nicio decizie cu privire la această obiecție și, prin urmare, amenda ar trebui interpretată ca o declarație a poziției autorității de reglementare, mai degrabă decât ca un precedent constant.
O lacună în setul de instrumente este încă deschisă. Comisia a declarat că pregătește un nou set de clauze contractuale standard pentru importatorii din afara UE a căror prelucrare este ea însăși direct supusă RGPD în temeiul articolului 3 - situația în care clauzele din 2021 nu se încadrează confortabil. Aceste clauze nu fuseseră adoptate la data acestei pagini în 2026, așadar, pentru această configurație, evaluarea și garanțiile trebuie integrate manual în contract.
Sunt clauzele Comisiei privind relația operator-persoană împuternicită de operator obligatorii?
Nu. Decizia de punere în aplicare (UE) 2021/915 a Comisiei din 4 iunie 2021 prevede clauze contractuale standard între operatori și persoane împuternicite de operatori, pentru utilizare în cadrul SEE, dar utilizarea acestora este opțională: părțile își pot negocia propriul contract, cu condiția ca acesta să conțină toate prevederile prevăzute la articolul 28 din RGPD. Clauzele pot fi incluse într-un contract mai amplu, cu termeni suplimentari, necontradictorii, dar nu pot fi modificate ele însele, astfel încât personalizarea are loc în anexe. Acordurile personalizate și modelele sectoriale rămân norma olandeză, ceea ce este acceptabil cu condiția ca conținutul să fie prezent.
Executarea de către Autoriteit Persoonsgegevens
AP a examinat acest aspect în mod direct. A analizat acordurile de prelucrare utilizate de 31 de organizații din sectorul privat din comerț, asistență medicală, mass-media, agrement și energie, publicându-și concluziile în 2020 sub titlul că „acordul” de prelucrare nu există. A constatat acorduri care nu făceau decât să citeze regulamentul, un limbaj de securitate care menționa că exista o politică fără a specifica ce impunea aceasta și acorduri încă redactate în temeiul vechiului statut olandez privind protecția datelor.
Într-o investigație, așteptați-vă ca AP să lucreze pe baza evidenței activităților dumneavoastră de prelucrare la contractele cu furnizorii numiți în aceasta, apoi la anexa de securitate, lista subcontractanților și documentația de transfer, și în final la dovezile că ați făcut ceva cu aceștia: un raport de asigurare necitit nu constituie o supraveghere. Și vina contează, deoarece în cazul C-683/21 Curtea de Justiție a confirmat că o amendă necesită o încălcare intenționată sau neglijentă. Obiectivul strategic al AP pentru perioada 2026-2028 acoperă supravegherea în masă, inteligența artificială și reziliența digitală, ultima incluzând în mod expres securitatea lanțului de aprovizionare.
O listă de verificare pentru revizuirea acordului standard de procesare al unui furnizor
- Sunt rolurile corecte? Dacă furnizorul este un operator independent, nu semnați deloc un acord de prelucrare.
- Descrierea procesării este completă sau este o anexă goală și există ceva care permite procesarea pentru îmbunătățirea, analiza sau instruirea modelului propriu al furnizorului?
- Măsurile de securitate sunt anexate și specifice, cu certificări nominalizate și domeniul de aplicare al acestora?
- Este disponibilă lista subcontractanților, vă este trimisă o notificare, are obiecția vreo consecință și sunt subcontractanții obligați în mod consecutiv?
- Notificarea încălcării se face într-o perioadă scurtă de timp fixă și furnizorul are interdicție de a notifica autoritatea însuși?
- Termenele limită pentru solicitările persoanelor vizate sunt fixe și se încadrează în tarif și există un drept real de audit, mai degrabă decât un simplu certificat?
- Ștergerea sau returnarea se face la alegerea dumneavoastră, cu format, termen limită și tratament de backup?
- Unde sunt stocate și accesate datele și există instrumentul de transfer potrivit pentru fiecare etapă?
- Plafonul și excluderea pierderilor indirecte lasă despăgubirea cu conținut real și există un proprietar intern și o dată de revizuire?
Law & More redactează, revizuiește și negociază acorduri de prelucrare pentru companii olandeze și internaționale de la Eindhoven și Amsterdamși oferă consultanță cu privire la rolurile operatorilor și ale împuterniciților de către operator, transferurile în afara SEE și investigațiile efectuate de Autoritatea de Control al Persoanelor (Autoriteit Persoonsgegevens).
Este necesar un acord de prelucrare a datelor între două companii din grup?
Da, dacă sunt entități juridice separate și una prelucrează date cu caracter personal în numele celeilalte. Apartenența la același grup nu face nicio diferență. Grupurile utilizează în mod obișnuit un cadru intra-grup care acoperă toate entitățile, cu programe pentru fiecare serviciu. În cazul în care entitățile prelucrează în scopuri proprii, acestea sunt operatori separați și este adecvat un instrument diferit.
Acordul trebuie să fie în olandeză?
Nu. Nu există nicio cerință lingvistică, iar acordurile în limba engleză sunt complet normale în practica olandeză. Dacă echipele operaționale sau un comitet de întreprindere îl citesc, o versiune olandeză este utilă, iar acolo unde există ambele, trebuie să specificați care prevalează. Autoriteit Persoonsgegevens acceptă limba engleză în majoritatea corespondenței, deși nu în mod invariabil.
Furnizorul nostru refuză să negocieze termenii și condițiile sale standard. Care sunt opțiunile noastre?
Indiferent de situație, rămâneți responsabil. Evaluați dacă termenii respectă într-adevăr art. 28 GDPR; mulți termeni ai furnizorilor mari respectă acest lucru, iar lacunele reale sunt cele comerciale, cum ar fi plafoanele și domeniul de aplicare al auditului. Documentați evaluarea și riscul rezidual, solicitați concesii asupra anexei, mai degrabă decât asupra corpului de date, și înregistrați decizia.
Avem nevoie de un acord separat de prelucrare dacă am semnat clauzele contractuale standard?
De obicei, nu pentru această relație. Clauzele de transfer adoptate în 2021 pentru transferurile de la operator la persoană împuternicită de operator și de la persoană împuternicită de operator la subcontractanți au fost concepute pentru a acoperi și cerințele articolului 28 din GDPR, iar suprapunerea unui acord separat creează termeni contradictorii. Dacă le păstrați pe ambele, includeți o ordine de prioritate și verificați dacă anexele sunt consecvente.
Ce se întâmplă dacă nu avem niciun acord de prelucrare?
Absența în sine reprezintă o încălcare a art. 28 din GDPR de către ambele părți, pedepsibilă conform categoriei inferioare de amendă din art. 83 din GDPR și printre primele lucruri pe care le verifică o autoritate de supraveghere. De asemenea, vă lasă fără bază contractuală privind securitatea, notificarea încălcărilor, auditurile și ștergerea datelor și fără drept de atac dacă furnizorul provoacă daune pe care trebuie să le compensați.
