Aandachtspunten bij privacy-contracten

30/6/2023 Er zijn veel verschillende soorten contracten waarbij privacyaspecten een rol kunnen spelen. In deze blog komen een aantal algemene aandachtspunten aan de orde die gelden voor dergelijke contracten. Deze blog kan niet worden gezien als een uitputtend overzicht, maar als introductie van het privacy-contracten speelveld.

Welke wet- en regelgeving is van belang?

Het juridisch kader ten aanzien van privacy-contracten bestaat allereerst uit het Burgerlijk Wetboek (‘BW’). Vooral boeken 3, 6 en 7 BW zijn relevant. Hier staan bepalingen die gelden voor contracteren in het  algemeen, oftewel over het ‘verbintenissenrecht’.

Het Nederlandse verbintenissenrecht wordt onder andere gedomineerd door het beginsel van partijautonomie. Dit betekent dat partijen in een overeenkomst alles mogen afspreken wat zij zelf willen. Die vrijheid is niet absoluut. Contractspartijen mogen bijvoorbeeld niet afspreken om iemand te vermoorden, dat druist in tegen de ‘goede zeden’.  Ook mogen partijen geen afspraken maken die afwijken van bepaalde wettelijke voorschriften voor specifieke overeenkomsten. Contractspartijen mogen in het geval van een arbeidsovereenkomst bijvoorbeeld geen proeftijd van drie jaar afspreken.  Zo zijn er meer grenzen aan de partijautonomie, die in deze blog verder niet aan de orde komen.

Voor privacy-contracten geldt het BW, het specifieke kader uit de AVG en de Uitvoeringswet AVG. Zo zijn er in de AVG bijvoorbeeld bepalingen opgenomen over de contractuele relatie tussen twee verwerkingsverantwoordelijken (artikel 26 AVG) en tussen verwerkingsverantwoordelijke en verwerker (artikel 28 AVG). Ook richtsnoeren, opinies en beleidsregels van privacy toezichthouders zijn van belang voor de uitleg van privacy-contracten en het kunnen toepassen van de wettelijke bepalingen in de praktijk.

Welke voorvragen zijn relevant?

Bij het opstellen, het uitonderhandelen en het beoordelen van privacy-contracten, spelen verschillende voorvragen. Deze moeten eerst worden beantwoord voordat naar de inhoud kan worden overgegaan. Zo is het goed om altijd eerst kritisch te kijken of de AVG wel van toepassing is, en, welke contractspartij precies welke privacyrechtelijke rol (verwerkingsverantwoordelijke, verwerker, etc.) vervult. Daarnaast moeten de gerelateerde overeenkomsten tussen dezelfde partijen in kaart worden gebracht. Dit is onder meer handig om de onderhandelingsruimte in kaart te brengen.  

Beoordeling privacy-contract: inhoud

Na de voorvragen, kan worden gekeken naar de inhoud. In grote lijnen zijn er vier hoofdthema’s te onderscheiden die belangrijk zijn bij de inhoud van een privacy-contract. Thema 1 is ‘aansprakelijkheid’. Of een aansprakelijkheidsbepaling wel of niet acceptabel is voor een partij, hangt samen met de specifieke privacy-rol van die partij. Zo zijn aan de verwerkingsverantwoordelijke op grond van de AVG meer plichten toegekend dan aan een sub-verwerker. Bij die rollen passen verschillende aansprakelijkheden. De contractwaarde is van belang om te kunnen bepalen wat een redelijke hoogte van de aansprakelijkheid kan zijn. Thema 2 betreft ‘vrijwaring’. Dit hangt nauw samen met thema 1. Bij vrijwaring regelen partijen dat een partij niet aansprakelijk is als hij daarvan gevrijwaard is door de andere partij. Thema 3 is het contractueel boetebeding.  Vragen die daarbij kunnen worden gesteld is wanneer een partij aan de andere partij een boete moet betalen en hoe hoog die boete is. Thema 4 richt zich op dat alle vereisten uit de (U)AVG moeten worden beoordeeld om ervoor te zorgen dat er een privacy-overeenkomst wordt gesloten die aan alle wettelijke vereisten voldoet, maar ook werkbaar is in de praktijk.

Conclusie

Zoals uit deze blog blijkt, zijn er veel aspecten waar op moet worden gelet bij het opstellen, uitonderhandelen en beoordelen van privacy-contracten. Daarbij is contracteren maatwerk en is er geen one-fits-all solution. Een gevleugelde uitspraak onder juristen is dat het een en ander nou eenmaal afhangt van de omstandigheden van het geval. Deze uitspraak gaat, ook bij privacy-contracteren, onverkort op.

Considerati kan verdiepende in house trainingen verzorgen over dit onderwerp waarbij ook in kan worden gegaan op de specifieke omstandigheden van uw geval. Meer informatie vindt u hier.