GDPR Gezamenlijke Verwerkingsverantwoordelijken Kunnen Toestemming Niet Uitbesteden

Toestemming die je niet hebt verzameld, blijft jouw verantwoordelijkheid. Dat is de praktische boodschap van de boete van EUR 8,6 miljoen die de Noorse gegevensbeschermingsautoriteit zojuist heeft opgelegd aan Xandr, het advertentietechnologiebedrijf dat nu onderdeel is van Microsoft. Dit zou de manier moeten veranderen waarop elke functionaris voor gegevensbescherming de zin “onze partner regelt toestemming” leest.

De feiten zijn specifiek. De Noorse Datatilsynet ondertekende het definitieve besluit op 2 oktober 2026, kondigde de boete in Noorwegen aan op 12 oktober, en de European Data Protection Board herpubliceerde het besluit op haar nationale nieuwspagina op 16 oktober. De zaak begon met een klacht uit 2020 van de Noorse Consumentenraad over real-time bidding waarbij gebruikers van Grindr betrokken waren, een datingapp voor homo’s, bi’s, trans- en queerpersonen. Xandr vroeg deze gebruikers nooit om toestemming. Het vertrouwde op de toestemming die Grindr zei te hebben verzameld, en de autoriteit vond die toestemming ongeldig.

Advertentietechnologie is hier de context, maar het principe geldt breder. Elke organisatie die persoonsgegevens ontvangt van een partner, deze doorstuurt naar een partner, of deelt via e-mail, bestandsoverdracht, API’s of AI-agenten, bevindt zich in dezelfde positie als Xandr zodra een toezichthouder vraagt wie wat heeft geverifieerd. In deze post wordt uiteengezet wat de autoriteit heeft besloten, waarom de redenering relevant is voor een CISO of compliance officer, en waar een gereguleerde uitwisseling zoals Kiteworks secure data exchange je kan helpen om je eigen beslissingen af te dwingen en te onderbouwen, en waar niet.

Belangrijkste inzichten

1. Toestemming stroomopwaarts is geen verdediging.

De autoriteit stelde dat elke gezamenlijke verwerkingsverantwoordelijke moet verifiëren of de toestemming geldig is en de eigen verwerking dekt, dus de garantie van een partner draagt de verantwoordelijkheid niet over.

2. Een contractclausule heft gezamenlijke verantwoordelijkheid niet op.

Xandr verbood partners om bijzondere categorieën gegevens te delen, maar de autoriteit vond alsnog dat Xandr mede bepaalde welke categorieën gegevens werden gedeeld.

3. Het gebruik van een app kan bijzondere categorieën gegevens onthullen.

De autoriteit beschouwde het feit dat iemand Grindr gebruikte, samen met een advertentie-ID en IP-adres, als gegevens over seksuele geaardheid onder Artikel 9(1).

4. Nalaten vereist geen kwade opzet.

De autoriteit vond de overtredingen op zijn minst nalatig en van hoge ernst, omdat ze centrale GDPR-bepalingen en gevoelige gegevens betroffen.

5. Bewijs is de verdediging.

Compliance-leiders die kunnen aantonen welke gegevens zijn verstuurd, naar wie, onder welke regel, en wie het heeft goedgekeurd, staan veel sterker dan degenen die alleen contractuele garanties hebben.

Wat de Noorse DPA heeft besloten

De autoriteit legde Xandr Inc. een boete op van NOK 92.000.000, wat volgens de EDPB neerkomt op EUR 8.600.000, voor het verwerken van gegevens van Grindr-gebruikers zonder rechtsgrondslag onder Artikel 6(1) van de GDPR en in strijd met Artikel 9(1), omdat geen geldige uitzondering van toepassing was. De gegevens betroffen het feit dat iemand Grindr gebruikte, hun advertentie-ID en hun IP-adres. Volgens de geanonimiseerde openbare versie van het besluit die door de Noorse Consumentenraad is gepubliceerd, beschouwde de autoriteit ook app-identificatoren als onderdeel van deze dataset.

Twee onderdelen van de redenering verdienen extra aandacht. Ten eerste beschouwde de autoriteit het enkele feit dat iemand Grindr gebruikte als het onthullen van seksuele geaardheid. Niemand hoefde zijn geaardheid in te vullen in een veld op een formulier. De context was voldoende om de gegevens onder het verbod op bijzondere categorieën te laten vallen. Ten tweede concludeerde de autoriteit dat de relevante uitzondering expliciete toestemming was, en dat er geen geldige expliciete toestemming bestond voor de verwerking door Xandr.

De autoriteit kwalificeerde de overtredingen als op zijn minst nalatig en van hoge ernst. Geen van beide kwalificaties vereist bewijs dat iemand bewust de wet wilde overtreden. Nalaten betekent in deze context dat een organisatie niet de zorgvuldigheid heeft betracht die van een verwerkingsverantwoordelijke in haar positie mag worden verwacht. Die norm is voor een toezichthouder veel eenvoudiger aan te tonen dan opzet, en het is de norm waartegen je eigen dossier zal worden getoetst.

Eén punt over de data voorkomt verwarring als collega’s het verhaal aanhalen. Het besluit is gedateerd op 2 oktober 2026. De berichtgeving in Noorwegen en Europa volgde vanaf 12 oktober. De EDPB-pagina die veel lezers als eerste zullen vinden, heeft een publicatiedatum van 16 oktober. Alle drie de data verwijzen naar hetzelfde besluit.

Waarom vertrouwen op Grindr’s toestemming faalde

Xandr heeft zelf geen toestemming verzameld van gebruikers. Het vertrouwde op de toestemming die Grindr via zijn eerdere consent management platform had verzameld, aldus de tekst van het besluit. De autoriteit oordeelde dat deze toestemmingen niet voldeden aan de GDPR-normen voor toestemming, die volgens Artikelen 4(11) en 7 vrij gegeven, specifiek, geïnformeerd, ondubbelzinnig en net zo makkelijk in te trekken als te geven moeten zijn. Als de stroomopwaartse toestemming niet aan die eisen voldoet, valt alles wat erop is gebouwd ook weg.

De structurele les ligt een niveau boven de technische kant van toestemming. Xandr had een plausibel commercieel argument. Grindr had de relatie met de gebruiker, Grindr regelde de toestemmingsflow, en Xandr ontving een signaal dat toestemming bestond. De autoriteit verwierp het argument toch, in een zin die elk compliance-team op een whiteboard zou moeten schrijven: Verantwoordelijkheid kan niet worden uitbesteed.

De tekst van Artikel 7 verklaart waarom dat zo is. Het legt de bewijslast bij de verwerkingsverantwoordelijke, die moet kunnen aantonen dat de betrokkene toestemming heeft gegeven. Een signaal van een partner dat toestemming bestaat, is geen bewijs. Bewijs is een dossier dat je kunt openen, waarin staat waarmee de persoon akkoord is gegaan, wanneer, voor welke doeleinden, en dat de toestemming jouw eigen verwerking dekt.

Vanuit het perspectief van een CISO is dit eerder een data lineage-vraagstuk dan een juridische kwestie. De vraag is of je een record kunt traceren vanaf het moment dat het jouw omgeving binnenkomt tot aan de ontvanger die het nu bezit, en of je de rechtsgrond kunt koppelen waarop je je bij elke stap hebt gebaseerd. Organisaties die die vraag snel kunnen beantwoorden, zijn zeldzaam. Organisaties die dat kunnen voor gegevens die via e-mail en bestandsoverdracht bewegen, buiten een enkele applicatie om, zijn nog zeldzamer.

Hoe een contractclausule gezamenlijke verantwoordelijkheid niet kon beperken

De autoriteit vond dat Xandr een gezamenlijke verwerkingsverantwoordelijke was met Grindr, als zowel supply-side platform als demand-side platform in de veiling. De redenering draaide om wat het besluit omschrijft als convergerende beslissingen over de doeleinden en middelen van verwerking. Het contractuele kader en platform van Xandr bepaalden mede welke gegevens en welke ontvangers betrokken waren.

Xandr’s contracten verboden partners om bijzondere categorieën gegevens te delen. Die clausule veranderde de uitkomst niet. De autoriteit verwierp de clausule als voldoende waarborg en concludeerde dat Xandr een gezamenlijke verwerkingsverantwoordelijke was met Grindr. Een verbod op papier helpt niet als het systeem dat je hebt gebouwd de gegevens toch verwerkt.

De tekst van Artikel 26 wijst dezelfde kant op. Gezamenlijke verwerkingsverantwoordelijken moeten hun respectieve verantwoordelijkheden transparant toewijzen, en de betrokkene kan zijn rechten tegenover elk van hen uitoefenen. Het besluit citeert Artikel 26(1) en stelt dat een regeling tussen gezamenlijke verwerkingsverantwoordelijken geen enkele verplichting van een partij opheft.

Voor een compliance officer is dit het deel van de uitspraak dat aanleiding zou moeten zijn voor een inventarisatie. Elke gegevensdelingsafspraak die een gedeeld platform, een gedeelde console, een gedeelde standaard of een gedeelde pijplijn omvat, brengt het risico van gezamenlijke verantwoordelijkheid met zich mee, ongeacht wat er op papier staat. Een gezamenlijke verwerkingsverantwoordelijkheidsregeling beschrijft de werkelijkheid. Het kan geen andere werkelijkheid creëren.

Het patroon buiten adtech

Het zou comfortabel zijn om dit besluit als een advertentiezaak te beschouwen en verder te gaan. De handhavingscijfers spreken dat tegen. De GDPR Fines and Data Breach Survey van DLA Piper meldt dat de totale GDPR-boetes vanaf de inwerkingtreding van de verordening op 25 mei 2018 tot 10 januari 2026 EUR 7,1 miljard bedragen, waarbij Europese toezichthouders alleen al in 2025 ongeveer EUR 1,2 miljard aan boetes oplegden.

Handhaving op die schaal komt niet uit één sector. Het komt van autoriteiten die geleerd hebben om elke verwerkingsverantwoordelijke dezelfde set vragen te stellen, en het Xandr-besluit laat zien hoe zo’n vraag eruitziet als deze wordt toegepast op een gegevensketen. Wie heeft je deze gegevens gegeven, op welke grondslag, en hoe weet je dat?

De hoeveelheid incidenten die het proces voedt, neemt ook toe. DLA Piper’s analyse van februari 2026 vond dat Europese autoriteiten gemiddeld 443 meldingen van datalekken per dag ontvingen, een jaarlijkse stijging van 22 procent. Elke melding is een moment waarop een toezichthouder een verwerkingsverantwoordelijke kan vragen uit te leggen waar zijn gegevens naartoe zijn gegaan en wie ze nog meer heeft gehad.

Dit geldt niet alleen voor organisaties die in persoonsgegevens handelen. Een ziekenhuis dat verwijsgegevens deelt met een partnerkliniek, een bank die klantdossiers naar een dienstverlener stuurt, en een producent die personeelsgegevens doorgeeft aan een salarisverwerker, sturen allemaal persoonsgegevens naar een andere partij. Ze verschillen van Xandr in schaal en intentie, maar delen het risico dat een toezichthouder vraagt of de grondslag van de ontvanger de manier waarop de gegevens worden gebruikt dekt. Het kanaal verandert de vraag niet. E-mail, bestandsoverdracht, API’s en AI-agenten verplaatsen allemaal persoonsgegevens tussen mensen, machines en systemen, en elke overdracht is een moment waarop verantwoordelijkheid wel of niet standhoudt.

Wat toezichthouders nu van je verwachten te bewijzen

De blootstelling is niet triviaal. Artikel 83(5) van de GDPR plaatst overtredingen van de Artikelen 5, 6, 7 en 9 in de hoogste boetecategorie, met een maximum van EUR 20 miljoen of, voor een onderneming, tot 4 procent van de totale wereldwijde jaaromzet van het voorgaande boekjaar, afhankelijk van welk bedrag hoger is. Dat zijn de artikelen die centraal staan in het Xandr-besluit.

Boeteplafonds trekken de aandacht, maar het belangrijkere signaal voor een compliance-leider is wat de autoriteit verwachtte dat de verwerkingsverantwoordelijke had moeten doen. Toestemming verifiëren voor de eigen verwerking. Bevestigen dat de toestemming het specifieke gebruik dekt. Het dossier bewaren. Dat zijn drie activiteiten, en geen ervan is een technologieaankoop. Het zijn bewijspraktijken.

De bewijsachterstand is zichtbaar in de onderzoeksresultaten. In het Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report meldde 63 procent van de 459 ondervraagde security-, compliance- en technologieprofessionals een compliance-gevolg in de afgelopen 12 maanden, gedefinieerd als een auditbevinding, een verplicht herstelplan, een escalatie naar het bestuur, een contractuele boete of een formeel onderzoek door de toezichthouder. De cijfers zijn zelf gerapporteerd, en de helft van de steekproef was gevestigd in de EU en het VK, dus lees het cijfer als richtinggevend, niet als volledig beeld.

De druk op datasoevereiniteit neemt tegelijk toe. Een BARC Data Sovereignty 2026-enquête onder 320 bedrijven, gehouden in februari en maart 2026, vond dat 51 procent datasoevereiniteit nu als zeer belangrijk beoordeelt, tegen 42 procent in 2025, terwijl slechts 10 procent er een apart budget voor heeft. Een kloof tussen het belang van een controle en de financiering ervan is precies waar een handhavingsactie zijn feiten vindt.

Neem deze onderdelen samen en het probleem voor de compliance officer wordt duidelijk. De toezichthouder zal niet vragen of je een beleid hebt. De toezichthouder zal vragen om het bewijs dat het beleid is uitgevoerd bij een specifieke overdracht, op een specifieke dag, voor een specifieke ontvanger.

Waar gereguleerde data exchange past

Begin met wat een gereguleerde uitwisseling niet doet. Het bepaalt niet of een toestemming geldig is, en het vervangt niet het juridisch oordeel van je functionaris voor gegevensbescherming of juridisch adviseur. Een consent management platform regelt de verzameling. Een juridisch team bepaalt of er een grondslag is. Wat daartussen en de ontvanger zit, is de uitwisseling zelf: het moment waarop persoonsgegevens je controle verlaten via e-mail, bestandsoverdracht, API of een AI-agent. Daar opereert Kiteworks secure data exchange.

Op dat moment kun je met het platform je eigen beslissingen afdwingen als regels. Gegevensbeleid, die Kiteworks implementeert als op attributen gebaseerde toegangscontrole, beoordelen drie zaken samen: kenmerken van de gegevens, zoals het map-pad of een tag, kenmerken van de verzender en ontvanger, zoals domein of profiel, en de beoogde actie. De data policy engine kan vervolgens de actie toestaan, blokkeren of vasthouden voor goedkeuring door een aangewezen goedkeurder voordat een verzending of deling wordt voltooid.

Classificatie ondersteunt die handhaving. Beleid kan een tag toepassen wanneer gegevens worden geüpload of toegevoegd, bijvoorbeeld een tag voor gezondheidsgegevens of een andere bijzondere categorie, en later kan beleid de tag als voorwaarde gebruiken. Gegevensclassificatie bij binnenkomst betekent dat een besluit over Artikel 9-gegevens één keer wordt genomen en daarna bij elke verplaatsing van de gegevens wordt toegepast.

Het platform kan ook de redenering vastleggen. Beleid kan vereisen dat bij upload of download een formulier wordt ingevuld, zodat de persoon een classificatie of rechtvaardiging vastlegt, en dat record wordt opgeslagen in de audit log naast het event. Voor een team dat moet aantonen waarom een overdracht heeft plaatsgevonden, is een vastgelegde rechtvaardiging bij de transactie sterker dan een herinnering die maanden later wordt samengesteld. GDPR-webformulieren passen hetzelfde idee toe op gegevens die direct van individuen worden verzameld.

Bewijs is de andere helft. Kiteworks houdt gebruikers-, gegevens- en systeemactiviteit bij in één enkele audittrail in plaats van deze te versnipperen over subsystemen, en beperkt het logvolume niet tijdens piekverkeer. Inzendingen worden in realtime doorgestuurd naar externe SIEM-tools via syslog of de Splunk Universal Forwarder. Een compliance officer die moet aantonen wie wat naar wie, wanneer en waar heeft gestuurd, kan dat uit één record halen.

Voor organisaties die gegevens binnen een rechtsbevoegdheid moeten houden, laten datasoevereiniteit-nalevingscontroles een beheerder gebruikers toewijzen aan een land in een gedistribueerde inzet, zodat hun gegevens alleen via die locatie worden opgeslagen en gerouteerd, en ingebouwde rapportages tonen auditors waar de gegevens zich bevinden. Wanneer een organisatie Kiteworks Advanced Governance licentieert, voegt het GDPR Compliance Report een samenvatting toe van beleidsinstellingen, configuratie en gemonitorde operaties. Geen van beide functies certificeert naleving. Ze geven je materiaal om je eigen naleving aan te tonen.

Een review-checklist voor DPO’s en CISO’s

Het besluit nodigt uit tot een praktische review, en die review vereist geen nieuw hulpmiddel om te beginnen. Het vraagt om een plek in de agenda en eerlijke antwoorden.

1. Maak een lijst van elke uitgaande stroom van persoonsgegevens. Neem e-mail, bestandsoverdracht, API-koppelingen en elke AI-agent die gegevens kan verzenden of ontvangen op. Noem de ontvanger en de opgegeven grondslag voor elke stroom, want een stroom zonder genoemde ontvanger heeft geen verdedigbare grondslag.
2. Vergelijk stroomopwaartse toestemming met je daadwerkelijke gebruik. Schrijf voor elk geval waarin een partner namens jou toestemming heeft verzameld op wat de persoon te horen kreeg, waarmee hij akkoord ging, en of jouw verwerking daarbinnen valt. Kun je dat niet opschrijven, dan heb je een gat gevonden.
3. Classificeer bijzondere categorieën gegevens bij binnenkomst. Gezondheid, seksuele geaardheid en andere Artikel 9-gegevens moeten vanaf het moment van binnenkomst een label krijgen, zodat beleid er direct op kan ingrijpen zonder dat een mens eraan hoeft te denken.
4. Beperk overdrachten op ontvanger en gegevenstype. Stel beleid op dat toestaat, blokkeert of vasthoudt voor goedkeuring, en test ze op lastige gevallen zoals een ontvanger met een gratis e-maildomein of een ontvanger in een land waar je niet actief bent.
5. Leg de rechtvaardiging vast op het moment van overdracht. Een kort formulier dat wordt ingevuld als de gegevens worden verstuurd, is makkelijker te verdedigen dan een reconstructie nadat een brief van de toezichthouder is binnengekomen.
6. Oefen het verzoek om bewijs. Kies één echte overdracht en vraag je team om het volledige dossier binnen twee werkdagen te leveren. De tijd die dat kost, is je werkelijke paraatheid.

Deze post is algemene informatie, geen juridisch advies. Bindende richtlijnen over hoe het besluit op jouw verwerking van toepassing is, moeten komen van je juridische team of je functionaris voor gegevensbescherming.

Wil je meer weten over het afdwingen en onderbouwen van je eigen toestemming- en gegevensdelingsbeslissingen via e-mail, bestandsoverdracht, API’s en AI-agenten? Plan vandaag nog een persoonlijke demo.

Aanvullende bronnen

• Blog Post Het touwtrekken om jouw data: hoe de CLOUD- en SHIELD-wetten beveiliging tegenover privacy zetten
• Blog Post Beveilig gevoelige data door DSPM te koppelen aan je compliance-doelen
• Brief Top 3 FERPA-overtredingen en hoe je ze voorkomt
• Blog Post Executive Order 14117: Bescherming van de gevoelige persoonsgegevens van Amerikanen
• Blog Post NIS2-naleving nodig? Begin met ISO 27001