Een Brusselse non-profitorganisatie tekent Belgische shared hosting. De AVG-vragenlijst vraagt om de volledige lijst van onderaannemers, inclusief die van de host. De dienstverlener antwoordt “wij zijn AVG-compliant” zonder bijlagen. De APD zal bij controle dezelfde vraag met minder geduld stellen.
In België verwacht de Gegevensbeschermingsautoriteit (DPA) een gedocumenteerde string, geen badge. De kwestie gaat verder dan de keuze van de gastheer: het betreft uw register, uw DPA en uw mogelijkheid om een nieuwe onderaannemer te weigeren.
Verantwoordelijkheden in de Belgische keten
Drie rollen om te onderscheiden:
| Rol | Belangrijkste verplichting voor onderaannemers |
|---|---|
| Gegevensbeheerder (u) | Kies een host die voldoende garanties biedt; subverwerkers toestaan of weigeren |
| Onderaannemer (gastheer) | Schakel alleen een andere onderaannemer in met toestemming; contractueel dezelfde AVG-verplichtingen |
| Subverwerker (CDN, back-up, etc.) | Behandel volgens instructies; vaak onzichtbaar zonder uitdrukkelijk verzoek |
De Belgische GDPR (omzettingswet van 30 juli 2018) omvat deze regels. De Belgische specificiteit: actieve ODA-controlecultuur en hoge verwachtingen inzake transparantie richting de betrokken personen.
Contractuele checklist vóór ondertekening
Vereisen in de DPA of de Algemene Verkoopvoorwaarden:
- Eerste lijst van onderaannemers met land en rol.
- Meldingsmechanisme (30 dagen) vóór toevoeging.
- Recht van verzet of procedure voor gegevensintrekking.
- Kopie van DPA tussen gastheer en zijn onderaannemers (of auditsamenvatting).
- Locatieclausule afgestemd op uw register.
- Hulp om te reageren op de rechten van mensen en ODA.
Vergelijk verschillende vermeldingen via de overzicht door hosts te filteren met Belgische aanwezigheid of gedocumenteerde EU-jurisdictie.
Kaart voorbij de host
Zelfs bij een serieuze Belgische of Europese presentator bevat je kanaal vaak:
- Betaling (Mollie, Stripe)
- E-mail (Mailchimp, Brevo)
- Analytics
- Ondersteuning (Zendesk)
- Externe back-up beheerd door u
Elke link = registerinvoer + DPA + overdrachtsanalyse indien buiten de EER. Zie onderaannemingsovereenkomst voor het model.
Fouten gezien bij Belgische functionarissen
Registreer zonder subverwerkers van de host.
Oppositie onmogelijk contractueel – oneerlijke clausule waarover moet worden onderhandeld.
Hosting verwarren met hosting van gezondheidsgegevens – een ander raamwerk.
Vergeet Nederlands/Frans in juridische kennisgevingen – lokale vereiste verschillend van AVG, maar symptoom van onvolledige due diligence.
De top: “AVG-compatibel” zonder genoemde lijst
Dit is de kloof met generieke algemene voorwaarden: compliance is een levende lijst, geen statische pagina.
Beslis en ga vooruit zonder blinde vlek
- Update het APD-compatibele register met de host en zijn derde partijen.
- Onderteken DPA met bijgevoegde lijst.
- Test de nieuwe waarschuwingsprocedure voor onderaannemers.
- Voeg uw eigen onderaannemers samen in dezelfde kaart.
- Vergelijk via de vergelijker en de gids clausule voor onderaannemers.
Veelgestelde vragen
Wie is verantwoordelijk voor de onderaannemers van de gastheer?
De Belgische verwerkingsverantwoordelijke blijft verantwoordelijk; de gastheer kan alleen derden inschakelen met contractuele toestemming.
Moet de host geregistreerd zijn bij de APD?
Het activiteitenregister vervangt de oude aangiften; Sommige risicovolle activiteiten vereisen AIPD of overleg.
Hoe kan ik het kanaal controleren?
Actuele lijsten, downstream DPA, landen, maatregelen, kennisgeving van wijzigingen – weiger vage antwoorden.
Garandeert een Belgische host een 100% Belgische zender?
Nee: ondersteuning, CDN of back-up kan elders zijn. Contractueel controleren.
Vraag naar de lijst voor ondertekening – na het incident accepteert APD niet "we wisten het niet."