Elektronische handtekening en de AVG: zo blijft u compliant

Wie documenten digitaal laat ondertekenen, verwerkt onvermijdelijk persoonsgegevens. De naam van de ondertekenaar, diens e-mailadres, het IP-adres en de tijdstempel zijn allemaal gegevens die onder de Algemene Verordening Gegevensbescherming (AVG) vallen. Dat betekent dat u als verwerkingsverantwoordelijke moet kunnen aantonen dat de volledige ondertekeningsprocedure voldoet aan de beginselen van de AVG: rechtmatigheid, transparantie, dataminimalisatie en beveiliging. Dit artikel legt stap voor stap uit wat dat in de praktijk betekent, welke verplichtingen op uw schouders rusten en waar u op moet letten bij de keuze van een AVG-compliant aanbieder voor elektronische handtekeningen.

Waarom de AVG van toepassing is op elektronische handtekeningen

Welke persoonsgegevens komen kijken bij een elektronische handtekening?

Bij iedere ondertekeningshandeling worden minimaal een naam en een contactgegeven verwerkt. Afhankelijk van het type handtekening kunnen daar nog andere gegevens bij komen: het IP-adres van de ondertekenaar, metadata van het apparaat, een verificatiecode via sms (en dus een telefoonnummer) of zelfs een kopie van een identiteitsdocument bij gekwalificeerde handtekeningen. Al deze elementen vallen onder de definitie van persoonsgegevens in de AVG, want ze kunnen herleid worden tot een identificeerbare natuurlijke persoon.

De rolverdeling: verwerkingsverantwoordelijke en verwerker

Wanneer u als organisatie een platform voor elektronische handtekeningen inzet, ontstaat er een tweepartijenrelatie in de zin van de AVG. U bent doorgaans de verwerkingsverantwoordelijke: u bepaalt het doel en de middelen van de verwerking. De aanbieder van het ondertekeningsplatform treedt op als verwerker en handelt uitsluitend op uw instructie. Die verhouding moet juridisch zijn vastgelegd in een verwerkersovereenkomst (ook wel DPA, Data Processing Agreement, genoemd). Ontbreekt zo'n overeenkomst, dan loopt u als organisatie een aanzienlijk nalevingsrisico.

Wat moet er in een verwerkersovereenkomst staan?

De AVG stelt duidelijke eisen aan de inhoud van een verwerkersovereenkomst. De overeenkomst moet onder meer bevatten:

• het onderwerp en de duur van de verwerking;
• de aard en het doel van de verwerking;
• het soort persoonsgegevens en de categorieën betrokkenen;
• de verplichtingen en rechten van de verwerkingsverantwoordelijke;
• garanties van de verwerker over beveiliging en vertrouwelijkheid;
• afspraken over sub-verwerkers en eventuele doorgifte buiten de EER.

Controleer bij iedere aanbieder of deze documenten standaard beschikbaar zijn en of ze aansluiten op uw eigen privacybeleid.

De beginselen van de AVG in het ondertekeningsproces

Doelbinding en dataminimalisatie

De AVG schrijft voor dat persoonsgegevens uitsluitend mogen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Voor elektronische handtekeningen betekent dit concreet: verzamel alleen de gegevens die strikt noodzakelijk zijn voor de authentificatie en het bewijs van de ondertekening. Vraagt een platform om meer informatie dan redelijkerwijs nodig is, dan is dat een signaal dat de aanbieder de dataminimalisatieverplichting onvoldoende serieus neemt.

Transparantie richting de ondertekenaars

U bent verplicht de betrokkenen — de partijen die een document ondertekenen — te informeren over de verwerking van hun gegevens. Dit gebeurt doorgaans via een privacyverklaring die zichtbaar is in het ondertekeningsproces zelf. Let erop dat uw eigen privacyverklaring up-to-date is en de verwerking door het platform vermeldt. Ontvangers mogen niet voor verrassingen komen te staan.

Beveiliging van de verwerking

Artikel 32 van de AVG verplicht verwerkingsverantwoordelijken en verwerkers passende technische en organisatorische maatregelen te treffen om een beveiligingsniveau te waarborgen dat past bij het risico. Voor elektronische handtekeningen betekent dit onder meer versleutelde verbindingen, toegangsbeheer en bewijs van integriteit van het ondertekende document. Een platform dat geen inzicht biedt in zijn beveiligingsmaatregelen, maakt een goede risicobeoordeling onmogelijk.

Gegevensopslag, bewaartermijnen en internationale doorgifte

Hoe lang mogen ondertekeningsdocumenten worden bewaard?

De AVG schrijft geen vaste bewaartermijn voor, maar vereist dat gegevens niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Voor ondertekende contracten geldt doorgaans dat de bewaarplicht wordt bepaald door het onderliggende recht: denk aan wettelijke verjaringstermijnen of bewaarverplichtingen uit het belastingrecht. U moet die afweging expliciet vastleggen in uw verwerkingsregister. Raadpleeg bij twijfel over de toepasselijke termijn een juridisch adviseur.

Doorgifte buiten de Europese Economische Ruimte

Verwerkt de aanbieder persoonsgegevens buiten de EER — bijvoorbeeld via servers in de Verenigde Staten — dan moet die doorgifte plaatsvinden op basis van een geldig doorgiftemechanisme: een adequaatheidsbesluit van de Europese Commissie, standaard contractbepalingen (SCC's) of een andere passende waarborg. Vraag de aanbieder expliciet welke mechanismen hij gebruikt en of eventuele sub-verwerkers in dezelfde regio opereren. Dit is een van de meest over het hoofd geziene risicofactoren bij de selectie van een platform.

Het verwerkingsregister

Iedere organisatie die regelmatig documenten digitaal ondertekent, moet die verwerkingsactiviteit opnemen in het verwerkingsregister dat de AVG vereist. Vermeld daarin het doel, de categorieën gegevens, de bewaartermijn en de naam van de verwerker. Dit register is niet alleen een wettelijke verplichting; het is ook het startpunt van iedere audit door de Autoriteit Persoonsgegevens.

Een AVG-compliant aanbieder kiezen: praktische checklist

Wat u van een aanbieder mag verwachten

Bij de selectie van een platform voor elektronische handtekeningen zijn de volgende punten van cruciaal belang vanuit AVG-perspectief:

1. Verwerkersovereenkomst: standaard beschikbaar en zonder onderhandeling te ondertekenen.
2. Transparantie over sub-verwerkers: een actuele lijst en een meldplicht bij wijzigingen.
3. Gegevenslocatie: duidelijkheid over waar gegevens worden opgeslagen en verwerkt.
4. Toegangsrechten van betrokkenen: het platform moet verzoeken om inzage, correctie en verwijdering ondersteunen.
5. Auditlogboeken: een volledig en integriteitsbewezen auditspoor van de ondertekeningshandeling.

Lees ook ons artikel over het verschil tussen een eenvoudige, geavanceerde en gekwalificeerde handtekening, want het type handtekening bepaalt mede welke persoonsgegevens worden verwerkt en welke beveiligingseisen gelden.

Privacyverklaring en toestemming in het ondertekeningsproces

Naast de contractuele relatie met uw aanbieder moet u ook nadenken over de rechtsgrond voor de verwerking van de gegevens van de ondertekenaars. In de meeste zakelijke contexten is de rechtsgrond het uitvoeren van een overeenkomst of het gerechtvaardigde belang om bewijs te bewaren van de rechtshandeling. Toestemming is in dit kader doorgaans niet de juiste grondslag, omdat toestemming vrij en zonder nadeel intrekbaar moet zijn — wat moeilijk verenigbaar is met de noodzaak om een geldig auditspoor te bewaren.

Rol van de Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens (AP) is de toezichthoudende autoriteit in Nederland en handhaaft de AVG en de Uitvoeringswet AVG (UAVG). De AP kan bij overtreding van de AVG-verplichtingen aanzienlijke boetes opleggen. Organisaties die hun ondertekeningspraktijk niet in lijn hebben gebracht met de AVG — geen verwerkersovereenkomst, geen registervermelding, geen privacyverklaring — lopen een reëel handhavingsrisico. Meer informatie over de juridische geldigheid van elektronische handtekeningen in het algemeen vindt u in ons artikel Is een elektronische handtekening juridisch geldig?

Bent u benieuwd naar de tarieven van een compliant platform? Die zijn beschikbaar op de prijspagina van Certyneo.

Wettelijk kader

De juridische basis voor elektronische handtekeningen in combinatie met gegevensbescherming rust op drie pijlers: de Europese eIDAS-verordening, het Nederlandse Burgerlijk Wetboek en de AVG met haar nationale uitvoeringswet.

eIDAS-verordening (EU) 910/2014

De eIDAS-verordening harmoniseert de juridische status van elektronische handtekeningen binnen de hele Europese Unie. Zij onderscheidt drie niveaus — eenvoudig, geavanceerd en gekwalificeerd — en bepaalt dat een elektronische handtekening niet louter op grond van haar elektronische aard mag worden geweigerd als rechtsgevolg. De verordening legt tevens eisen op aan vertrouwensdienstverleners, waaronder verplichtingen inzake beveiliging en registratie. Hoewel eIDAS geen privacywetgeving is, raakt zij direct aan de AVG: hoe meer authenticatiegegevens een handtekeningsniveau vereist, hoe zwaarder de gegevensbeschermingsverplichtingen wegen.

Burgerlijk Wetboek art. 3:15a

Artikel 3:15a van het Burgerlijk Wetboek implementeert de eIDAS-verordening in het Nederlandse privaatrecht en bepaalt dat een elektronische handtekening dezelfde rechtsgevolgen heeft als een handgeschreven handtekening, mits aan de toepasselijke voorwaarden is voldaan. Dit artikel biedt de grondslag voor de bewijskracht van het ondertekende document, maar zegt niets over de wijze waarop de daarbij verwerkte persoonsgegevens moeten worden beschermd. Dat is het terrein van de AVG.

AVG / GDPR en de Uitvoeringswet AVG (UAVG)

De AVG verplicht iedere verwerkingsverantwoordelijke tot rechtmatige, behoorlijke en transparante verwerking van persoonsgegevens. De UAVG vult de AVG aan voor de Nederlandse context en belegt het toezicht bij de Autoriteit Persoonsgegevens. Samen verplichten zij organisaties die elektronische handtekeningen inzetten tot het sluiten van een verwerkersovereenkomst met hun aanbieder, het bijhouden van een verwerkingsregister, het informeren van betrokkenen en het treffen van passende beveiligingsmaatregelen. Bij verwerkingen met een hoog privacyrisico — bijvoorbeeld wanneer bijzondere categorieën persoonsgegevens worden verwerkt of wanneer identiteitsverificatie plaatsvindt op een hoger niveau — kan bovendien een gegevensbeschermingseffectbeoordeling (DPIA) verplicht zijn.

Praktijkvoorbeelden

Een accountantskantoor digitaliseert zijn opdrachtbevestigingen

Een middelgroot accountantskantoor wil zijn opdrachtbevestigingen en engagementletters niet langer per post versturen. Het kantoor stapt over op een platform voor elektronische handtekeningen. Omdat opdrachtbevestigingen persoonsgegevens bevatten van zowel contactpersonen als uiteindelijk belanghebbenden, sluit het kantoor een verwerkersovereenkomst met de platformaanbieder en voegt de verwerking toe aan zijn verwerkingsregister. In de begeleidende e-mail aan cliënten verwijst het kantoor naar de eigen privacyverklaring, waarin de rol van de aanbieder als verwerker wordt toegelicht. Het kantoor heeft vooraf nagegaan dat de gegevens uitsluitend binnen de EER worden opgeslagen.

Een hr-afdeling digitaliseert arbeidsovereenkomsten

Een productiebedrijf wil nieuwe medewerkers hun arbeidsovereenkomst digitaal laten ondertekenen. De hr-afdeling stelt vast dat de verwerking — naam, adres, geboortedatum en salarisgegevens — persoonsgegevens omvat die onder het reguliere arbeidsrecht vallen. Er wordt een verwerkersovereenkomst gesloten en de privacyverklaring voor medewerkers wordt uitgebreid met een verwijzing naar het gebruik van het ondertekeningsplatform. Omdat het om een grootschalige verwerking van werknemersgegevens gaat, raadpleegt de functionaris gegevensbescherming (FG) of een DPIA noodzakelijk is.

Een vastgoedmakelaar gebruikt digitale handtekeningen voor huurcontracten

Een makelaarskantoor gespecialiseerd in woningverhuur digitaliseert de ondertekening van huurcontracten. Huurders ondertekenen vanuit hun eigen woning via een link. Het kantoor ziet erop toe dat het platform een auditspoor genereert — tijdstempel, IP-adres en e-mailverificatie — en bewaart dit bewijs gedurende de looptijd van de huurovereenkomst plus de toepasselijke verjaringstermijn. De privacyverklaring op de website van het kantoor vermelt expliciet voor welk doel de handtekeninggegevens worden bewaard en bij wie een verzoek tot verwijdering kan worden ingediend na afloop van de bewaarperiode.

Veelgestelde vragen

Is een verwerkersovereenkomst verplicht als ik een platform voor elektronische handtekeningen gebruik?

Ja. Zodra u een externe aanbieder inschakelt die namens u persoonsgegevens verwerkt, verplicht de AVG u een verwerkersovereenkomst te sluiten. Daarin legt u vast welke gegevens worden verwerkt, voor welk doel, hoe lang en welke beveiligingsmaatregelen de aanbieder treft. Ontbreekt deze overeenkomst, dan schendt u de AVG, ook als de aanbieder zelf betrouwbaar is.

Welke rechtsgrond gebruik ik voor de verwerking van gegevens van ondertekenaars?

In de meeste zakelijke situaties is de rechtsgrond de uitvoering van een overeenkomst of het gerechtvaardigde belang om bewijs te bewaren van een rechtshandeling. Toestemming is doorgaans niet geschikt als rechtsgrond voor handtekeninggegevens, omdat toestemming altijd intrekbaar moet zijn — wat op gespannen voet staat met de noodzaak een ondertekeningsauditspoor te bewaren. Raadpleeg bij twijfel een privacyjurist.

Moet ik een DPIA uitvoeren voordat ik elektronische handtekeningen invoer?

Dat hangt af van de aard en omvang van de verwerking. Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van betrokkenen oplevert. Factoren die daarvoor relevant zijn: grootschalige verwerking, bijzondere categorieën persoonsgegevens of systematische monitoring. Voor standaard zakelijke contracten zal een DPIA vaak niet verplicht zijn, maar een beknopte risicoanalyse is altijd verstandig.

Mogen ondertekeningsdocumenten worden opgeslagen op servers buiten de EU?

Dat is toegestaan, mits er een geldig doorgiftemechanisme van kracht is, zoals standaard contractbepalingen of een adequaatheidsbesluit van de Europese Commissie. Vraag uw aanbieder uitdrukkelijk welk mechanisme van toepassing is en of alle sub-verwerkers dezelfde waarborgen bieden. Ontbreekt een geldig mechanisme, dan is de doorgifte in strijd met de AVG.

Hoe informeer ik ondertekenaars over de verwerking van hun gegevens?

U bent verplicht betrokkenen te informeren vóór of op het moment van de gegevensverzameling. In de praktijk gebeurt dit door een link naar uw privacyverklaring op te nemen in de uitnodigingsmail of op de ondertekeningspagina. Die verklaring moet minstens het doel, de rechtsgrond, de bewaartermijn, de identiteit van eventuele verwerkers en de rechten van de betrokkene vermelden.

Conclusie

Elektronische handtekeningen en de AVG zijn geen tegenstrijdige begrippen, maar zij vragen wel om een zorgvuldige aanpak. Als verwerkingsverantwoordelijke bent u verplicht een verwerkersovereenkomst te sluiten met uw aanbieder, betrokkenen te informeren, een verwerkingsregister bij te houden en passende beveiligingsmaatregelen te treffen. Kies een platform dat u daarin actief ondersteunt: transparant over gegevenslocatie, bereid tot het aanleveren van een volwaardige verwerkersovereenkomst en in staat een betrouwbaar auditspoor te genereren.

Door deze stappen te zetten, beschermt u niet alleen de persoonsgegevens van uw contractpartners, maar ook de juridische bewijskracht van uw ondertekende documenten. Wilt u direct aan de slag? Maak gratis een account aan bij Certyneo en ontdek hoe u uw documentenflow AVG-compliant kunt inrichten.