Wat betekent het kort geding in de Blauw/Nebu-zaak?

Inleiding

Het kort geding in de zaak Blauw/Nebu is binnen en buiten de privacy- en IT- rechtelijke praktijk nauwlettend gevolgd. De publieke belangstelling was zeer groot, mede vanwege de implicaties die deze zaak zou hebben als toetsing voor de juridische status van verwerkersovereenkomsten uit hoofde van de AVG binnen ons rechtssysteem. In dit artikel zal worden teruggeblikt op de bekende feiten in deze spraakmakende casus.

De voorzieningenrechter wees de vorderingen Blauw uiteindelijk grotendeels toe, met een aantal kleine afzwakkingen om Blauw te begrenzen. Het artikel zal uiteenzetten hoe de voorzieningenrechter te Rotterdam een oordeel vormde op basis van een verplichting uit een verwerkersovereenkomst.

De kern van het juridische geschil draaide om de reikwijdte en interpretatie van een verplichting tot het verlenen van bijstand bij datalekken. Een bepaling welke uit hoofde van de AVG verplicht is om op te nemen in verwerkersovereenkomsten, maar waarvan de formulering in vrijwel iedere verwerkersovereenkomst uniek is.

Wat was er gebeurd in de Blauw/Nebu-zaak?

Op 10 en 11 maart 2023 vond er een cyberaanval plaats op de servers van Nebu. Bij die aanval wisten de daders gegevens, waaronder persoonsgegevens in de zin van de EU algemene verordening gegevensbescherming (“AVG”), te ontvreemden. De persoonsgegevens afkomstig van klanten van meerdere grote bedrijven in Nederland kwamen (mogelijk) op straat te liggen. De grote bedrijven maakten melding van het datalek.

Nebu

Nebu is een Nederlands softwareontwikkelingsbedrijf dat een op componenten gebaseerd softwaresysteem voor marktonderzoek en gegevensverzameling bood. Nebu bood ook technische ondersteuning, hosting en training bij deze software voor marketing, marktonderzoek en opiniepeilingen.

Blauw

Blauw is een marktonderzoeksbureau dat gebruik maakte van Nebu’s IT-dienstverlening ten behoeve van meerdere grote bedrijven. Blauw en Nebu hadden onderling een verwerkersovereenkomst gesloten.

Nebu moet ofwel een verwerker in de zin van de AVG, ofwel een sub-verwerker in de zin van de AVG van Blauw zijn geweest per verwerking van persoonsgegevens. Het is dan ook niet vreemd dat deze partijen een verwerkersovereenkomst hadden gesloten.

Artikel ‘verantwoordelijke’ of ‘verwerker’?

Wat vorderde Blauw bij de voorzieningenrechter?

In het kort geding vorderde Blauw mede op basis van de onderlinge verwerkersovereenkomst nadere informatie van Nebu over de cyberaanval, de gevolgen en de door Nebu getroffen maatregelen. Ook vroeg Blauw de voorzieningenrechter om een onafhankelijk forensisch onderzoek te gelasten.

Het is van belang op te merken dat Nebu niet betwistte verplicht te zijn om informatie te verstrekken aan Blauw, maar alleen de interpretatie van de reikwijdte van die verplichting betwistte. In zoverre dat Blauw niet de verwerkingsverantwoordelijke zou zijn geweest in de zin van de AVG bestonden voor een gedeeltelijke betwisting mogelijk wel aanknopingspunten. Mogelijk had deze zaak een andere uitkomst gehad, indien dit wel zou zijn gebeurd.

Hoe oordeelde de voorzieningenrechter?

ECLI:NL:RBROT:2023:2931

Spoedeisend belang

Het ging in deze zaak om een kort geding, er moest derhalve sprake zijn van een spoedeisend belang. De voorzieningenrechter nam een spoedeisend belang aan gegeven de aard van de vorderingen. Dat is niet vreemd, nu Blauw ook gevorderd had om Nebu te gebieden om belangrijke informatie te bewaren. Ook moet een forensisch onderzoek voor de beste resultaten doorgaans zo kort mogelijk na een incident plaatsvinden. Het risico bestaat immers dat belangrijke informatie over de cyberaanval, de toedracht daarvan en de gevolgen daarvan verloren zou kunnen gaan als teveel tijd zou komen te verstrijken.

Juridische kern

De juridische kern van het geschil draaide om twee uiteenlopende interpretaties van de reikwijdte van artikel 5.1 in de onderlinge verwerkersovereenkomst, waarin de partijen de verplichting uit artikel 28 lid 3 aanhef en onder f AVG hadden geïmplementeerd. Blauw stond een ruime uitleg van deze bepaling voor; Nebu bepleitte mede met het oog op haar bedrijfsbelangen begrijpelijkerwijs een meer beperkte uitleg.

Een ‘verwerkersovereenkomst’, ook wel bij een meer letterlijke vertaling van de Engelstalige term ‘data processing agreement’ een ‘verwerkingsovereenkomst’ genoemd, is juridisch gezien een relatief recent en enigszins opmerkelijk fenomeen. Ingevolge artikel 28 lid 3 aanhef en sub f AVG dient in een verwerkersovereenkomst een bepaling te staan omtrent het verlenen van bijstand bij onder andere de melding van datalekken.

“3. De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker: […]”

“f) rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie de verwerkingsverantwoordelijke bijstand verleent bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36;”

De AVG omschrijft wat er in een bepaling in de verwerkersovereenkomst moet zijn geregeld, maar gaat niet zo ver dat de wet de inhoudelijke tekst van die bepaling ook voorschrijft. Nebu is zoals zal blijken in het vervolg voor de bescherming van haar meest gevoelige bedrijfsbelangen volledig afhankelijk van de interpretatie die de voorzieningenrechter geeft aan artikel 5.1 van de tussen partijen gesloten verwerkersovereenkomst.

In r.o. 5.3 van de uitspraak oordeelt de voorzieningenrechter dat de bepaling uit de verwerkersovereenkomst ruim moet worden uitgelegd, waarbij de voorzieningenrechter de poëtische kwalificatie geeft dat op Nebu uit hoofde van deze bepaling uit de verwerkersovereenkomst de verplichting rustte om medewerking te verlenen op “loyale en royale wijze”.

“5.3.
Naar het voorlopig oordeel van de voorzieningenrechter moet het instructierecht van Blauw en de verplichting van Nebu om daaraan gevolg te geven, ruim worden uitgelegd. Het instructierecht van Blauw is bedoeld, zo blijkt uit de tekst van artikel 5.1, om Blauw in staat te stellen een incident met persoonsgegevens op behoorlijke wijze te onderzoeken, haar reactie daarop te bepalen en om zo nodig gepaste stappen te kunnen nemen. Daaraan moet Nebu dus meewerken en dat moet zij op loyale en royale wijze doen. Nebu beschikt als gevolg van de samenwerking met Blauw over persoonsgegevens van een groot aantal mensen (‘een substantieel deel van de Nederlandse bevolking’, zoals Blauw onbetwist stelt). De gevolgen van een (mogelijk) datalek van die gegevens kunnen groot zijn. Daarmee verhoudt zich niet dat het instructierecht beperkt wordt uitgelegd.”

De voorzieningenrechter woog bij de keuze om te oordelen dat een ruime interpretatie moest worden gevolgd dus nadrukkelijk mee dat de gevolgen van een (mogelijk) datalek van persoonsgegevens over een substantieel deel van de gehele Nederlandse bevolking groot waren en een beperkte interpretatie zich daarmee niet verhield.

Eenzelfde of vergelijkbare afweging zou ook bij andere bepalingen in andere verwerkersovereenkomsten kunnen worden gemaakt. Alle verwerkersovereenkomsten dienen immers ook om de rechten en vrijheden van betrokkenen te waarborgen.

Stapsgewijze beoordeling specifieke vorderingen

Blauw krijgt gelijk, maar de voorzieningenrechter stelt wel grenzen aan de omvang van wat Blauw allemaal van Nebu mag vragen. Nebu moet instructies van Blauw onder artikel 5.1 van de tussen hen gesloten verwerkersovereenkomst opvolgen, tenzij: redelijkerwijs niet valt in te zien dat dit nodig is voor de doelstelling van artikel 5.1 van de verwerkersovereenkomst, of Blauw “apert onredelijke eisen” stelt, bijvoorbeeld onredelijk korte termijnen.

Vervolgens buigt de voorzieningenrechter zich stapsgewijs over alle specifieke vorderingen van Blauw op Nebu die grotendeels worden toegewezen, waarbij de voorzieningenrechter aangeeft dat meewoog dat tot dusver geen onafhankelijk forensisch onderzoek had plaatsgevonden of zelfs maar was gestart.

Blauw heeft onder meer recht op informatie over de vraag of informatie met betrekking op klanten van Blauw is gelekt, ongetwijfeld zeer belangrijk voor Blauw nu die klanten op hun beurt Blauw zullen aankijken om deze informatie te verkrijgen, bijvoorbeeld op grond van tussen Blauw en die klanten gesloten verwerkersovereenkomsten.

De vordering tot benoeming van een onafhankelijk forensisch onderzoeker wordt ook toegewezen.

“5.11.
Blauw vordert dat een externe partij onafhankelijk onderzoek doet naar de oorzaak van het incident, de mate waarin data-exfiltratie heeft plaatsgevonden en de maatregelen die Nebu heeft getroffen naar aanleiding van de cyberaanval. Nebu heeft ter zitting verklaard dat zij nog niet kan aangeven of data van (de klanten van) Blauw is geëxfiltreerd. Dit betekent dat het Nebu in een termijn van enkele weken niet is gelukt om dit zelf te achterhalen. Onder deze omstandigheid, gelet ook op het grote aantal persoonsgegevens waar het in deze kwestie om gaat en in het licht van de aanvankelijk beperkte informatie die Nebu aan Blauw heeft verstrekt, schaart de voorzieningenrechter de vordering tot benoeming van een forensisch onderzoeker onder het instructierecht van Blauw op grond van artikel 5.1 van de DPA. Dat Blauw onder de DPA ervoor kan kiezen zelf een audit te laten doen bij Nebu, doet hieraan niet af. Vordering 5 zal dus worden toegewezen zoals hierna vermeld.”

Waarbij de voorzieningenrechter kennelijk niet onder de indruk is “dat het Nebu in een termijn van enkele weken niet is gelukt om dit zelf te achterhalen.”, maar wel als grens aangeeft dat Nebu in de rapportage van de forensisch onderzoeker gegevens over andere partijen dan Blauw en klanten van Blauw mag afschermen.

Hoe zit het dan met het belang van de bescherming van bedrijfsgevoelige informatie?

De voorzieningenrechter geeft nadrukkelijk aan te hebben meegewogen dat vanuit Nebu geen onafhankelijk forensisch onderzoek had plaatsgevonden, of zelfs maar was gestart. Volgens de voorzieningenrechte maakt dit het eerder redelijk dat Blauw informatie opeist dan in de situatie dat Nebu direct een onafhankelijk onderzoek had gelast. Had Nebu gereageerd op de cyberaanval en het gevreesde datalek door gelijk een onafhankelijk onderzoek in te lasten, dan had zij mogelijk niet op deze voor het bedrijf zo ingrijpende manier met de billen bloot gehoeven jegens een klant.

“5.7.
Bij het voorgaande heeft de voorzieningenrechter meegewogen dat er tot dus ver geen onafhankelijk forensisch onderzoek heeft plaatsgevonden of zelfs maar is gestart. Dit maakt het eerder redelijk dat Blauw informatie wil hebben dan in de situatie dat Nebu direct een onafhankelijk onderzoek had gelast.

Dat hierdoor mogelijk bedrijfsvertrouwelijke informatie van Nebu in het bezit van Blauw komt, is het onvermijdelijke gevolg. De voorzieningenrechter gaat er overigens vanuit dat Blauw op prudente manier zal omgaan met de informatie die zij als gevolg van dit vonnis zal verkrijgen.”

De voorzieningenrechter lijkt de zorgen van Nebu op dit punt weg te wuiven met de opmerking dat dit nu eenmaal onvermijdelijk is. Kennelijk volstaat bij het belangrijkste zorgpunt voor Nebu de opmerking dat de voorzieningenrechter er vanuit gaat dat Blauw op prudente manier zal omgaan met de informatie die zij zal verkrijgen. Hoewel het vertrouwen van de voorzieningenrechter ongetwijfeld vleiend is geweest voor Blauw is het zeer de vraag of Nebu zich als bedrijf evenzeer gesterkt voelt.

Grenzen

De voorzieningenrechter laat in deze zaak het belang van Nebu om haar bedrijfsgevoelige informatie te beschermen dus niet zo zwaar meewegen. Anderssoortige belangen dan het bewaren van bedrijfsgeheimen wegen voor de voorzieningenrechter kennelijk wél zwaarder.

Waar het gaat om informatie die mogelijk raakt aan de wettelijk beschermde vertrouwelijkheid tussen client en advocaat voor Nebu en haar advocaten. Alsook, de informatie over derden, zoals andere klanten van Nebu dan Blauw. Stelt de voorzieningenrechter een duidelijke grens dat deze informatie Blauw niet aangaat en zij die niet mag inzien.

Ook gaat de voorzieningenrechter niet mee in de vorderingen omtrent toekomstig nog door Nebu te verkrijgen informatie. Een vordering om Nebu te verplichten steeds onverwijld en in ieder geval binnen vier uur na bekendwording nieuwe informatie over het incident aan Blauw te verstrekken en daarnaast twee keer per dag een update moet sturen ging toch net te ver, al wijt de voorzieningenrechter die vordering ook aan de kennelijk gebrekkige of te trage informatievoorziening vanuit Nebu na het incident. De voorzieningenrechter acht een dagelijkse update vóór 18:00 redelijk.

Ook hier had Nebu zichzelf mogelijk een hoop ongemak kunnen besparen door vanaf het eerste moment de regie op zich te nemen en een betere informatievoorziening op gang te brengen. Mede hierom is het voor iedere organisatie die veel (persoons)gegevens onder zich heeft raadzaam een datalekprotocol te implementeren en te oefenen met de reactie op een (vermoed) datalek.

Conclusie

Het kort geding in de zaak Blauw/Nebu biedt een waardevol praktijkvoorbeeld over de interpretatie en de afdwingbaarheid van de inhoud van verwerkersovereenkomsten. De verwerkersovereenkomst is een relatief recent en enigszins vreemd verschijnsel binnen het recht. Echter, ook de verwerkersovereenkomst blijkt onomstotelijk een volwaardige overeenkomst te zijn. Nakoming van de verplichtingen in die verwerkersovereenkomst kan worden afgedwongen bij een rechter.  

Ook blijkt uit de feiten in deze zaak dat een partij die in staat wil zijn om zelf zijn bedrijfsgevoelige informatie te beschermen nadat een datalek heeft plaatsgevonden er goed aan doet vanaf dag één zelf zichtbaar de regie in handen te nemen, bijvoorbeeld door een goed uitgewerkt en geoefend datelekprotocol te implementeren. Alsook de informatievoorziening goed te regelen en bij in het licht van de AVG voorspelbare vragen die men niet zelf kan beantwoorden gelijk een onafhankelijke  onderzoeker aan te stellen. Men kan er niet op rekenen dat een rechter het belang om bedrijfsgevoelige informatie te beschermen zou laten prevaleren boven andere belangen, zoals maar niet beperkt tot privacybelangen.

Advies

Het is altijd raadzaam overeenkomsten, waaronder dus ook verwerkersovereenkomsten te laten controleren voordat uw organisatie zich aan een verplichting committeert die mogelijk onbedoelde negatieve gevolgen zou kunnen hebben voor de organisatie. De wijze waarop de verplichting om bijstand te verlenen bij het vervullen van de (wettelijke) verplichtingen van een wederpartij in een verwerkersovereenkomst is geformuleerd heeft reële gevolgen voor de rechtsposities van beide partijen bij incidenten met persoonsgegevens.

Het is raadzaam met het oog op de belangen van uw bedrijf of organisatie bewust geformuleerde bepalingen op te nemen in een verwerkersovereenkomst. Heeft u vragen over de aard van de juridische risico’s die door uw organisatie gesloten verwerkersovereenkomsten mee kunnen brengen voor uw organisatie?

Neem contact op met WiseMen voor juridisch advies over verwerkersovereenkomsten en alle andere privacygerelateerde juridische documentatie, zoals datalekprotocollen en datalekregisters.

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!