Clouddiensten zijn voor veel organisaties onmisbaar voor de bedrijfscontinuïteit. . Maar waar staan de gegevens, wie heeft toegang en in hoeverre is een Europese clouddienst afhankelijk van partijen of wetgeving buiten de EU? De Europese Commissie wil dergelijke vragen een grotere rol geven bij de keuze voor cloudleveranciers. En hierdoor minder afhankelijk zijn van niet-Europese cloudproviders.
Op 3 juni 2026 presenteerde de Europese Commissie daarom het voorstel voor de Cloud and AI Development Act (CADA). Een belangrijk onderdeel daarvan is een Europees kader voor cloudsoevereiniteit. Vooral voor overheden en hun cloudleveranciers kan dat gevolgen krijgen.
De CADA is nog geen geldend recht. Toch is het voorstel interessant voor organisaties die nu langlopende cloudcontracten sluiten.
De Ierse privacytoezichthouder Data Protection Commission (DPC) heeft Google op 21 september 2026 een boete van in totaal €403 miljoen opgelegd. Aanleiding is de verwerking van locatiegegevens via verschillende Google-diensten. Daarnaast moet Google de betreffende verwerkingen binnen zes maanden in overeenstemming brengen met de Algemene verordening gegevensbescherming (AVG).
De omvang van de boete trekt de aandacht. Voor andere organisaties is vooral interessant waar het volgens de toezichthouder misging. De beslissing raakt namelijk enkele fundamentele verplichtingen uit de AVG: rechtmatigheid, behoorlijkheid, transparantie, verantwoordingsplicht en bewaartermijnen.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. Daarmee is de Europese NIS2-richtlijn in Nederland geïmplementeerd. Organisaties die als essentiële of belangrijke entiteit onder de wet vallen, moeten onder meer voldoen aan een zorgplicht voor hun cyberbeveiliging.
Maar wat als uw ICT-bedrijf zelf niet onder de Cbw valt, terwijl uw klant dat wél doet? Ook dan kunt u met de gevolgen van de wet te maken krijgen. Niet rechtstreeks op grond van de Cbw, maar via uw klant en het contract dat u met die klant sluit. In deze blog gaan wij hier nader op in.
De meeste verplichtingen uit de Europese Cyber Resilience Act (CRA) gelden pas vanaf 11 december 2027. Eén belangrijk onderdeel loopt daarop vooruit. Vanaf 11 september 2026 moeten fabrikanten van producten met digitale elementen bepaalde kwetsbaarheden en ernstige beveiligingsincidenten melden.
Voor softwareleveranciers is het daarom tijd om vast te stellen of zij onder deze meldplicht vallen en of hun organisatie én contracten daarop zijn ingericht.
Levert u software, clouddiensten of andere IT-diensten aan de Rijksoverheid of de politie? Dan kunt u te maken krijgen met een nieuw beveiligingsregime: de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten 2026 (ABRO 2026).
ABRO stelt niet alleen eisen aan informatiebeveiliging, maar onder meer ook aan personeel, onderaannemers, IT-infrastructuur, beheer en cloudgebruik.
Sinds 18 augustus 2026 is de Europese eEvidence-verordening van toepassing. Daarmee krijgen justitiële autoriteiten binnen de EU nieuwe mogelijkheden om elektronisch bewijsmateriaal uit andere EU-landen op te vragen. Voor digitale dienstverleners betekent dit dat zij onder bepaalde omstandigheden gegevens moeten bewaren of verstrekken aan een autoriteit uit een andere EU-lidstaat.
Dit heeft voor digitale dienstverleners de nodige gevolgen. Niet alleen vanwege de gegevens die kunnen worden opgevraagd, maar vooral vanwege de korte termijnen waarbinnen een dienstverlener moet handelen. Dat vraagt om voorbereiding.
De Autoriteit Persoonsgegevens (AP) roept organisaties op om zich nu al voor te bereiden op een nieuwe verplichting uit de Europese AI Act: de Fundamental Rights Impact Assessment (FRIA), oftewel de grondrechteneffectbeoordeling.
Vanaf 2 december 2027 moeten bepaalde organisaties bij de inzet van een hoogrisico-AI-systeem beoordelen welke gevolgen dit systeem kan hebben voor de grondrechten van mensen.
Gebruikt uw organisatie AI bij de beoordeling van sollicitanten, de toegang tot publieke voorzieningen of de kredietwaardigheid van consumenten?
Dan kan de FRIA-verplichting ook voor uw organisatie gelden.
In deze blog leest u wat een FRIA is, waar de verplichting in de AI Act staat en hoe u zich hierop kunt voorbereiden.
Online reviews spelen een belangrijke rol bij de keuze van consumenten voor een product of dienst. Een onderneming kan daarom een aanzienlijk commercieel voordeel behalen met positieve beoordelingen. Maar wat als die beoordelingen helemaal niet afkomstig zijn van echte klanten?
Het Gerechtshof Amsterdam heeft in het arrest van 4 augustus 2026 zich hierover uitgesproken. In deze zaak stond een geschil tussen twee ondernemingen die zich bezighouden met het aanvechten van verkeersboetes centraal. Naast een discussie over auteursrecht op teksten en de vormgeving van een website, kwam ook het gebruik van zogenoemde ‘nepreviews’ aan de orde.
In 2020 schreven wij al over de juridische strijd tussen Equihold en Capgemini over de kwaliteit van ontwikkelde software. Zes jaar later loopt de juridische procedure nog steeds. Op 17 juli 2026 heeft de Hoge Raad het arrest van het gerechtshof Den Haag gedeeltelijk vernietigd en de zaak doorverwezen naar het gerechtshof ’s-Hertogenbosch.
Opmerkelijk genoeg is na ruim twaalf jaar procederen de centrale vraag nog steeds niet inhoudelijk door een rechter beantwoord:
Was de door Capgemini ontwikkelde software daadwerkelijk van onvoldoende kwaliteit?
De European Data Protection Board (EDPB) heeft drie nieuwe richtlijnen gepubliceerd die relevant zijn voor organisaties die werken met persoonsgegevens en nieuwe technologieën. De richtlijnen gaan over web scraping voor generatieve AI, anonimiseren van persoonsgegevens en het gebruik van blockchaintechnologie.
Met deze richtlijnen geeft de EDPB meer duidelijkheid over hoe organisaties de AVG in de praktijk moeten toepassen. Hieronder zetten wij de belangrijkste aandachtspunten op een rij.
Waar de mogelijkheden rond AI snel toenemen, blijven ook de vragen over privacy en gegevensbescherming groeien. Om organisaties daarbij te ondersteunen heeft de Autoriteit Persoonsgegevens (AP) op 13 juli 2026 twee documenten gepubliceerd. Een ‘Handreiking generatieve AI en de AVG’ én een praktisch ‘Hulpmiddel generatieve AI en de AVG+GR’. Met deze documenten geeft de AP voor het eerst uitgebreid richting aan de manier waarop ontwikkelaars én organisaties generatieve AI kunnen inzetten binnen de kaders van de AVG.
Vanaf 2 augustus 2026 moeten organisaties voldoen aan de eerste transparantieverplichtingen uit de Europese AI Act. Hoewel de aandacht vaak uitgaat naar de grote AI-ontwikkelaars, raken deze verplichtingen juist ook veel organisaties die AI gebruiken in hun dagelijkse bedrijfsvoering.
Gebruikt uw organisatie een AI-chatbot? Publiceert u AI-gegenereerde afbeeldingen of teksten? Of maakt u gebruik van AI om content te bewerken? Dan is de kans groot dat de nieuwe regels ook voor uw organisatie relevant zijn.
Juist in IT-contracten kan opschorting verstrekkende gevolgen hebben. Daarom verdient dit onderwerp aandacht bij het opstellen van en onderhandelen over contracten. De wettelijke regeling rondom opschorting geeft partijen de mogelijkheid om hun eigen verplichtingen op te schorten wanneer de wederpartij tekortschiet in de nakoming. Echter in de IT-praktijk is de vraag niet alleen óf opschorting juridisch mogelijk is. Veel belangrijker is welke gevolgen opschorting in de praktijk heeft. In deze blog meer over opschorting en hoe dit middel in het IT-contract kan worden geregeld.
Op basis van een bestaande klantrelatie mochten bedrijven tot nu toe klanten telefonisch benaderen voor eigen, soortgelijke producten of diensten — de zogenoemde soft opt-in. Aan die praktijk komt per 1 juli 2026 een einde.
Vanaf dat moment geldt voor telemarketing richting consumenten één duidelijke hoofdregel: telefonische commerciële communicatie is alleen toegestaan met voorafgaande, expliciete en aantoonbare toestemming.
Voor veel organisaties betekent dit een ingrijpende wijziging in hun sales- en marketingprocessen.
Veel softwareleveranciers en IT-dienstverleners bieden hun diensten aan met onder meer een Service Level Agreement (SLA). In de praktijk blijkt dat veel SLA's vooral bestaan uit technische termen, zonder dat duidelijk is welke rechten en verplichtingen partijen daadwerkelijk hebben.
Een goede SLA is veel meer dan een lijst met responstijden. Het document vormt de basis voor de verwachtingen tussen leverancier en klant en voorkomt discussies wanneer zich storingen, beveiligingsincidenten of beschikbaarheidsproblemen voordoen.
Maar wat moet er nu eigenlijk in een SLA staan?
De Europese Commissie heeft eind mei 2026 concept-richtlijnen gepubliceerd voor zogenaamde Trusted Flaggers onder de Digital Services Act (DSA). Hoewel het onderwerp op het eerste gezicht vooral relevant lijkt voor sociale media en online marktplaatsen, kunnen de nieuwe richtlijnen ook grote gevolgen hebben voor aanbieders van AI-systemen, generatieve AI-platforms en AI-gestuurde zoekmachines.
Voor veel bedrijven is een Instagram- of LinkedIn-account meer dan een marketingkanaal. Het vertegenwoordigt klantbereik, advertentiehistorie en soms een aanzienlijk deel van de omzet. Een plotselinge blokkade kan dan grote commerciële gevolgen hebben. De vraag die wij in de praktijk steeds vaker tegenkomen: kun je juridisch herstel afdwingen?
De Nederlandse overheid heeft een uitzonderlijke stap gezet door de overname van IT-dienstverlener Solvinity door het Amerikaanse Kyndryl te verbieden. Volgens staatssecretaris Willemijn Aerdts brengt de transactie risico’s mee voor het publieke belang, omdat Solvinity betrokken is bij onderdelen van de digitale infrastructuur rondom DigiD.
Dat een overname daadwerkelijk wordt verboden op basis van nationale veiligheids- en infrastructuurbelangen gebeurt zelden. Juist daarom is deze zaak juridisch en (geo)politiek interessant. De beslissing laat zien dat discussies over cloud, Amerikaanse techbedrijven en data-soevereiniteit inmiddels veel verder gaan dan alleen AVG-compliance.
In arbeidsconflicten wordt steeds vaker het inzagerecht uit de Algemene Verordening Gegevensbescherming (AVG) gebruikt om toegang te krijgen tot informatie van de werkgever. Regelmatig rijst daarbij de vraag: moet een werkgever ook correspondentie tussen de werkgever en diens advocaat verstrekken?
In deze blog gaan wij nader in op het inzagerecht onder de AVG en de reikwijdte hiervan.
Afgelopen donderdag kwam er nieuws uit Brussel: het Europees Parlement en de Raad bereikten een akkoord over de zogeheten AI Omnibus. Vanuit Europa wordt ingezet op minder regeldruk, meer werkbaarheid en ruimte voor innovatie. De belangrijkste wijziging is het uitstel van de regels voor hoog-risico AI-systemen.
De oorspronkelijke deadline van augustus 2026 bleek voor veel organisaties simpelweg onhaalbaar. De benodigde standaarden en richtsnoeren zijn daarnaast nog niet klaar.
Formeel akkoord door Parlement en Raad is nog wel nodig, en wordt een dezer dagen (rond 12 mei) verwacht. In deze blog lees je meer.
