Jurisprudentiebank · AVG & Verwerkers
Datalek bij een subverwerker: de verwerker is niet aansprakelijk voor verplichtingen van de verwerkingsverantwoordelijke
Rechtbank Midden-Nederland · 19 augustus 2026
Rechtsvraag
Kan een betrokkene een verwerker (hier een factuurverwerker in de zorg) aanspreken op schending van de AVG en schadevergoeding, nadat bij een door die verwerker ingeschakelde subverwerker een datalek plaatsvond?
Antwoord
Nee. De kantonrechter wijst alle vorderingen af. De verwerker had toestemming van de verwerkingsverantwoordelijke om een subverwerker in te schakelen en had die subverwerker contractueel aan dezelfde beschermingsverplichtingen gebonden (artikel 28, leden 2 en 4, AVG). Verplichtingen als de beginselen van artikel 5, het informeren van betrokkenen en het melden van een datalek aan de AP en aan betrokkenen (artikelen 33 en 34 AVG) rusten op de verwerkingsverantwoordelijke, niet op de verwerker. Een verwerker is op grond van artikel 82, lid 2, AVG alleen aansprakelijk bij schending van specifiek tot verwerkers gerichte verplichtingen of bij handelen buiten of in strijd met de rechtmatige instructies.
Relevante overwegingen
De kantonrechter kwalificeert de zorgaanbieder als verwerkingsverantwoordelijke en de factuurverwerker als verwerker, omdat die op grond van de overeenkomst geen zeggenschap had over doel en middelen. Voor de verwerking van gezondheidsgegevens bij het innen van zorgfacturen geldt de uitzondering van artikel 9, lid 2, onder h, AVG in samenhang met artikel 30, lid 3, onder a, UAVG, mits geheimhouding geldt; toestemming van de patiënt is dan niet de enige grondslag. De rechtbank verwijst naar HvJ EU 14 december 2023, C-340/21 (ECLI:EU:C:2023:986): het enkele feit dat een derde ongeoorloofd toegang kreeg, betekent niet dat de beveiligingsmaatregelen niet passend waren. Dat gegevens daadwerkelijk zijn buitgemaakt, is niet komen vast te staan.
Praktische betekenis
Voor organisaties in een verwerkersketen maakt deze uitspraak scherp waar de verantwoordelijkheid ligt. De verwerkingsverantwoordelijke blijft aanspreekpunt voor transparantie, meldingen en de rechten van betrokkenen, ook als een verwerker helpt met de uitvoering. De verwerker kan zich verweren met een goede verwerkersovereenkomst en een aantoonbaar gecontracteerde subverwerker.
Wat u nu kunt doen
Controleer of uw verwerkersovereenkomsten voorafgaande toestemming voor subverwerkers en doorgeschakelde verplichtingen bevatten. Leg als verwerkingsverantwoordelijke vast wie bij een datalek bij een (sub)verwerker de melding aan de AP en aan betrokkenen doet, en binnen welke termijn; de kantonrechter merkt op dat de melding aan betrokkenen in deze zaak mogelijk niet zo snel als redelijkerwijs mogelijk was gedaan.
REZA-interpretatie
Direct relevant voor AI-leveranciers en SaaS-partijen, die vaak zelf verwerker zijn en op hun beurt modelaanbieders of hostingpartijen als subverwerker inschakelen. Het is een uitspraak van een kantonrechter in eerste aanleg; een betrokkene kan de verwerkingsverantwoordelijke en de subverwerker nog wel afzonderlijk aanspreken.
Laatst gecontroleerd op 23 september 2026. Dit is een samenvatting op basis van de officiële inhoudsindicatie en vormt geen juridisch advies voor uw specifieke situatie. Raadpleeg voor de volledige uitspraak de bron hierboven. REZA Legal is geen advocatenkantoor.