15 september 2026 · gemeenten en woningcorporaties · leestijd 6 minuten

Wat de AP sinds november 2025 van uw verwerkersovereenkomst verwacht

Een datalek bij één dienstverlener raakt honderden organisaties tegelijk. De Autoriteit Persoonsgegevens onderzocht vijf grote cyberaanvallen op dienstverleners, die samen ruim 1250 Nederlandse organisaties en waarschijnlijk 10,5 miljoen mensen troffen, en keek wat de verwerkersovereenkomst daarbij waard was. Het antwoord: vaak weinig. In november 2025 volgden drie aanbevelingen. Ze zijn kort, en ze veranderen wat "een goede verwerkersovereenkomst" betekent.

Waarom de AP dit onderzocht

Het vermoeden van de AP was dat het ontbreken van goede verwerkersovereenkomsten organisaties weinig grip gaf op het voorkomen en afhandelen van een cyberaanval. De AP bezocht vier dienstverleners en zeven organisaties, bestudeerde datalekmeldingen en overeenkomsten, en trok de lijn door van een eerder verkennend onderzoek uit 2019 en 2020. De conclusie: een overeenkomst die de wettekst van artikel 28 herhaalt, helpt niet op de dag dat het misgaat. Dan wil je weten wie je belt, binnen hoeveel uur je wat hoort, welke gegevens waar stonden en welke subverwerker ze had.

Aanbeveling 1: maak afspraken zo concreet mogelijk

Het herhalen van de AVG-vereisten is niet genoeg. De overeenkomst moet beschrijven hoe er wordt verwerkt, voor welke doelen, welke soorten persoonsgegevens en welke categorieën betrokkenen, hoe lang gegevens worden bewaard en hoe dataminimalisatie is geregeld. En, apart uitgewerkt, de datalekafspraken: een actueel en bereikbaar contactpunt (liever een gezamenlijke mailbox dan een persoon), een termijn in uren waarbinnen de dienstverlener meldt, en de minimale inhoud van die melding, zodat de organisatie kan beslissen of zij zelf de AP en de betrokkenen moet informeren.

Voor gemeenten en corporaties: "Verwerker verwerkt de persoonsgegevens ten behoeve van de dienstverlening" is precies de zin die de AP bedoelt. Concreet is: "het zaaksysteem voor meldingen woonoverlast: NAW en contactgegevens van melders, adres en aard van de overlast, vrije tekst; bewaartermijn vijf jaar na afsluiting; geen BSN."

Aanbeveling 2: houd grip op de hele leveranciersketen

Achter een dienstverlener zitten subverwerkers: hosting, back-up, support, soms buiten de EER. De AP wil dat organisaties weten welke subverwerkers er zijn, waar zij gevestigd zijn en welke verwerkingen zij doen, en dat de overeenkomst regelt hoe de organisatie instemt met nieuwe of gewijzigde subverwerkers. Bij vestiging buiten de EER hoort daar het doorgifte-instrument bij.

Voor gemeenten en corporaties: een bijlage met "subverwerkers: op verzoek beschikbaar" is geen grip. Een tabel met naam, land, dienst en instemmingsprocedure wel. De IBD-standaard voor gemeenten heeft daar een vaste tabel voor; het Aedes-sjabloon vraagt hetzelfde per subverwerker.

Aanbeveling 3: geef meer prioriteit aan opstellen en bijhouden

Veel overeenkomsten worden één keer getekend en nooit meer bekeken, terwijl de verwerking verandert: nieuwe koppelingen, nieuwe leverancier, andere gegevens. De AP wil dat organisaties overeenkomsten bijhouden en periodiek herzien, en dat bijlagen aansluiten op de praktijk. Twee praktische punten uit het rapport: zorg dat de mensen die onderhandelen voldoende kennis van privacy en beveiliging hebben, en gebruik modellen van brancheorganisaties als uitgangspunt, maar maak ze op maat. Afspraken moeten afgestemd zijn op de inhoud en context van de verwerking.

Voor gemeenten en corporaties: dat laatste is de kern. De IBD-standaard en het Aedes-sjabloon zijn een goed vertrekpunt en de AP zegt dat ook. Maar een standaard met lege of "nader in te vullen" bijlagen is een papieren overeenkomst.

Hoe herkent u een papieren overeenkomst

Wat Datavoogd hiermee doet

De drie aanbevelingen zijn in Datavoogd vertaald naar zestien toetsregels, elk met de pagina van het AP-rapport erbij, naast dertien regels uit artikel 28 en, voor gemeenten, achttien uit de IBD-standaard. Datavoogd leest een verwerkersovereenkomst en signaleert per regel of de afspraak aanwezig, concreet en actueel is, met citaten uit het document en de passage uit het AP-rapport. Wie nog geen overeenkomst heeft, laat Datavoogd de IBD-standaard of het Aedes-sjabloon invullen en direct toetsen. De beoordeling blijft bij de functionaris gegevensbescherming.

Bronnen

Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.