Umowy dotyczące chmury, hostingu i kolokacji zgodnie z prawem holenderskim

Prawie każda międzynarodowa firma działająca w Holandii kupuje moc obliczeniową od kogoś innego. Umowa regulująca tę kwestię jest zazwyczaj szablonem dostawcy, podpisanym pod presją czasu, z dołączoną umową o poziomie usług (SLA) i klauzulą ​​wyjścia, której nikt nie przeczytał. W tym artykule opisano, jak holenderskie prawo traktuje te umowy, gdzie standardowe warunki są najsłabsze dla klienta, oraz jakie wymogi stawia obecnie unijna ustawa o danych osobowych w przypadku zmiany dostawcy.

Trzy warstwy, plus hosting i kolokacja

„Chmura” to nie jeden produkt. To, nad czym ma kontrolę klient, zmienia się na każdym poziomie, podobnie jak to, co umowa musi chronić.

Im niżej w hierarchii znajdujesz się, tym większe ryzyko operacyjne ponosisz, a im wyżej, tym bardziej jesteś ograniczony. Kolokacja to wyjątek: kupujesz powierzchnię, zasilanie i bezpieczeństwo fizyczne, więc decydującymi warunkami są gęstość zasilania i redundancja, okres wypowiedzenia, eskalacja opłat za zasilanie, zdalne zarządzanie i prawo do usuwania szaf. W przypadku zwykłego hostingu spór prawie zawsze dotyczy zakresu: czy dostawca odpowiadał za łatanie luk, monitorowanie i tworzenie kopii zapasowych, czy tylko za zasilanie maszyny?

Jak prawo holenderskie charakteryzuje umowę

W prawie holenderskim nie ma typu umowy zwanego „chmurą”. Sądy klasyfikują umowę na podstawie tego, co strony uzgodniły i jak ją zrealizowały, a następnie stosują odpowiednie przepisy dotyczące tego typu lub typów.

• Zadanie (art. 7:400 BW): domyślne dla SaaS, PaaS, hostingu zarządzanego i elementu usługowego IaaS.
• Wynajem (art. 7:201 BW): umowa najmu wymaga korzystania z sprawa, obiekt materialny (art. 3:2 BW). Oprogramowanie i dane nie są, więc czysty SaaS nie jest dzierżawą. Przestrzeń kolokacyjna i dedykowany sprzęt prawdopodobnie nią są, dlatego umowy kolokacji często zawierają cechy dzierżawy, niezależnie od nazwy dostawcy.
• Koop (art. 7:1 BW): w De Beeldbrigade (HR 27 kwietnia 2012 r., ECLI:NL:HR:2012:BV1301) Hoge Raad orzekł, że nabycie standardowego oprogramowania do nieograniczonego użytkowania za jednorazową opłatą podlega przepisom o sprzedaży. Nie dotyczy to usługi subskrypcyjnej, ale ma znaczenie w przypadku licencji wieczystych w ramach umowy hybrydowej.
• Gemengde overeenkomst (art. 6:215 BW): większość prawdziwych umów jest mieszana, a zasady każdego rodzaju stosuje się kumulatywnie, chyba że są nie do pogodzenia.

Dlaczego charakterystyka ma znaczenie

Rozwiązanie umowy. Zgodnie z art. 7:408 BW klient może zasadniczo rozwiązać umowę o dzieło w dowolnym momencie, a art. 7:411 BW reguluje kwestie należności wobec dostawcy. Pomiędzy firmami zasady te są w dużej mierze podatne na odmienne porozumienia (patrz art. 7:413 BW), a szablony zastępują je stałymi terminami, automatycznym przedłużaniem i długim okresem wypowiedzenia. W przypadku gdy umowa na czas nieokreślony nie zawiera klauzuli rozwiązania, orzecznictwo holenderskie zazwyczaj uznaje ją za rozwiązalną, jednak względy racjonalności i uczciwości mogą wymagać wypowiedzenia, odszkodowania lub ważnego powodu.

Obowiązek staranności. Jeśli umowa jest opdracht, art. 7:401 BW nakłada obowiązek staranności dobrego wykonawcy: egzekwowalny standard, którym holenderskie sądy posługiwały się, aby zobowiązać dostawców do przeprowadzenia dochodzenia, ostrzegania i zarządzania projektem, o czym umowa nigdy nie wspominała. W przypadku sprzedaży lub dzierżawy drogą jest zgodność lub wada.

Umowa o poziomie usług

Dostępność i sposób jej pomiaru

• Co jest mierzone: Cała usługa, czy jeden komponent? Platforma, która przejdzie kontrolę stanu, gdy logowanie jest niedostępne, jest uznawana za „dostępną” zgodnie z wieloma umowami SLA.
• W jakim okresie: 99.9 procent mierzonych rocznie dopuszcza jedną długą przerwę w dostawie prądu; mierzone miesięcznie ograniczają pojedynczy incydent znacznie ściślej.
• Przez kogo, skąd: monitorowanie dostawców w ramach własnej sieci daje lepsze wyniki niż dochodzenie przeprowadzone w Twoim biurze.
• Co jest wykluczone: rutynowo pomija się konserwację, awarie sieci zewnętrznych, siłę wyższą i incydenty „spowodowane przez klienta”, a wyłączony czas zwykle również opuszcza mianownik, zawyżając kwotę.

Dostępność to nie wydajność. Usługa może być w pełni dostępna i jednocześnie nieużytecznie powolna. Należy oddzielnie zobowiązać się do szybkości: cele reakcji, okna wsadowe, czas przywracania i cele punktów przywracania oraz czasy reakcji wsparcia dla poszczególnych klas priorytetów. Kopie zapasowe wymagają osobnego zobowiązania, w tym przetestowanego przywracania. Należy również ustalić okna konserwacyjne: czas, powiadomienia, częstotliwość i czas trwania. W przypadku operacji międzynarodowych „poza godzinami pracy” wymaga strefy czasowej.

Kredyty serwisowe i pułapka wyłączności

• Czy są to jedyne środki zaradcze? Warunki dostawców zazwyczaj tak stanowią, co zamienia każdą awarię w niewielki rabat i uniemożliwia dochodzenie odszkodowań. Należy co najmniej uwzględnić uporczywe, umyślne lub rażąco niedbałe naruszenia oraz każde naruszenie, które jest jednocześnie naruszeniem bezpieczeństwa lub danych.
• Czy musisz je odebrać? Wiele systemów wymaga złożenia wniosku w krótkim terminie, w przeciwnym razie kredyt wygasa. Należy domagać się automatycznego uznania kredytu na fakturze.
• Czy jest jakieś wyjście? System kredytowy bez prawa do wypowiedzenia jest słaby. Dostawca, który może bezterminowo nie osiągać swoich celów, zwracać niewielki procent miesięcznej opłaty i wiązać Cię z umową, wykupił się z obowiązku świadczenia usług. Powtarzające się lub poważne zaniedbania mogą skutkować rozwiązaniem umowy z uzasadnionych przyczyn, bez kary i z pełnym wsparciem w przypadku odejścia z umowy.

Obowiązek zachowania ostrożności i obowiązek współpracy

Holenderskie orzecznictwo w dziedzinie IT jest niezwykle rozbudowane w kwestii obowiązku zachowania należytej staranności przez dostawcę. Profesjonalny dostawca musi zbadać środowisko i wymagania klienta, ostrzegać o ryzyku, nieodpowiednich wyborach i przekroczeniu kosztów oraz stale ostrzegać, gdy porady są ignorowane. Nazwanie obowiązku dołożenia wszelkich starań nie neutralizuje oczekiwań, jakie dostawca stworzył przed podpisaniem umowy.

Obowiązek lustra jest realny i niedoceniany: klient musi współpracować , dostarczając rzetelne informacje, podejmując decyzje w odpowiednim czasie, testując na żądanie oraz zapewniając dostęp i kompetentne osoby. Klient, który nie wywiąże się ze swoich zobowiązań, może znaleźć się w sytuacji niewypłacalności wierzyciela (art. 6:58 BW), co blokuje niewypłacalność dostawcy, podważa roszczenie o odszkodowanie i może uniemożliwić rozwiązanie umowy.

Chodzi o bezpieczeństwo. W sprawie Gemeente Hof van Twente przeciwko Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25 lutego 2025 r., ECLI:NL:GHARL:2025:1046) sąd odrzucił roszczenie klienta po ataku ransomware, ponieważ luki w zabezpieczeniach powiązane z administracją klienta: zmiana zapory sieciowej, którą sam wprowadził, oraz słabe hasło do zarządzanego przez niego konta. Kontrola pociąga za sobą odpowiedzialność, dlatego należy zarejestrować, która strona jest właścicielem każdej kontroli.

Bezpieczeństwo, certyfikacja i audyt

Nie akceptuj „odpowiednich środków technicznych i organizacyjnych” jako całości zobowiązania. Określ konkretną normę i zakres, na przykład certyfikat ISO/IEC 27001 lub raport SOC 2 typu II, przy czym certyfikat faktycznie obejmuje usługę, którą kupujesz; harmonogramy wdrażania poprawek według ważności; częstotliwość testów penetracyjnych; powiadamianie o incydentach z określonymi kryteriami, terminem i treścią; oraz ścieżkę audytu. Duzi dostawcy odmawiają audytów na miejscu; rozsądnym kompromisem jest certyfikacja plus prawo do przeprowadzenia audytu po powiadomieniu o incydencie.

Przepisy sektorowe mogą dodawać treści obowiązkowe. Podmioty finansowe podlegają przepisom DORA (Rozporządzenie (UE) 2022/2554), które określa warunki umów z podmiotami trzecimi w zakresie ICT. Holenderska ustawa Cyberbeveiligingswet , wdrażająca NIS2, weszła w życie 15 sierpnia 2026 r. i obejmuje sektory infrastruktury cyfrowej i usług zarządzanych, a także wielu klientów. Oba systemy mają bezpośredni wpływ na umowę: w przypadku podmiotów finansowych w ramach DORA, a w przypadku podmiotów kluczowych i ważnych w ramach Cyberbeveiligingswet, nakładają one wymogi dotyczące odporności operacyjnej, zgłaszania incydentów oraz strategii wyjścia. Należy ustalić na wstępie, który z nich dotyczy dostawcy, a który Ciebie.

Ochrona danych

W przypadku przetwarzania danych osobowych wymagana jest umowa powierzenia przetwarzania danych zgodnie z RODO, obejmująca instrukcje, poufność, bezpieczeństwo, podmioty przetwarzające, prawa osób, których dane dotyczą, powiadomienie o naruszeniu oraz zwrot lub usunięcie danych na końcu. Powtarzającymi się punktami negocjacyjnymi są system powierzenia przetwarzania danych, to, czy otrzymasz wcześniejsze powiadomienie i prawo do sprzeciwu, a także międzynarodowe przekazywanie danych. Ramy ochrony danych UE-USA przetrwały pierwsze zaskarżenie przed Sądem Pierwszej Instancji, który oddalił skargę w sprawie T-553/23 (Latombe przeciwko Komisji) 3 września 2025 r., orzekając, że Sąd Kontroli Ochrony Danych zapewnia wystarczające gwarancje niezależności, a kontrola sądowa po zebraniu danych spełnia standard zasadniczo równoważnej ochrony. Odwołanie zostało wniesione 31 października 2025 r. pod numerem C-703/25 P i jest w toku; decyzja w sprawie odpowiedniego stopnia ochrony pozostaje w pełni obowiązująca.

Lokalizacja danych i suwerenność

Lokalizacja jest kwestią komercyjną i regulacyjną, zanim stanie się kwestią ochrony danych. Należy zadać pisemne pytanie: gdzie przechowywane są dane i skąd są przetwarzane lub skąd jest udostępniany, pamiętając, że personel pomocniczy spoza UE zapewnia dostęp, nawet jeśli dane są przechowywane lokalnie; gdzie znajdują się kopie zapasowe, kopie zapasowe i dzienniki odzyskiwania po awarii; które podmioty mogą zostać zmuszone do przekazania danych na mocy nakazu zagranicznego; czy można ustalić region i co się stanie, jeśli dostawca go zmieni. Ustawa o danych osobowych pomaga: dostawcy muszą publikować i uwzględniać w swoich umowach jurysdykcję, której podlega wdrożona infrastruktura, oraz środki podjęte w celu zapobiegania bezprawnemu międzynarodowemu dostępowi rządowemu do danych nieosobowych przechowywanych w UE.

Wyjście

Klauzula wyjścia wynegocjowana na początku jest warta więcej niż jakakolwiek inna klauzula w umowie. Na początku masz przewagę, a dostawca chce zawrzeć umowę; na końcu nie masz jej wcale, a każdy dzień opóźnienia kosztuje.

• Format. Ustrukturyzowany, powszechnie używany i czytelny dla maszyn, z udokumentowanym schematem, obejmującym metadane, konfigurację, dzienniki audytu i załączniki. Nieudokumentowany zrzut nie nadaje się do użytku.
• Zakres. Wszystko, nie tylko rekordy, które załadowałeś: dane pochodne, wersje historyczne i wszystko, czego wymagają Twoje obowiązki dotyczące przechowywania.
• Okres przejściowy. Określony okres, w którym usługa będzie świadczona na dotychczasowych warunkach podczas migracji, z możliwością przedłużenia za ustaloną cenę.
• Wsparcie. Obowiązek pomocy, z wyznaczonymi rolami, ustaloną już stawką dzienną i współpracą z nowym dostawcą.
• Usunięcie. Certyfikowane usunięcie po upływie określonego czasu odzyskiwania, obejmującego kopie zapasowe, z podanym czasem wygaśnięcia.
• Cyngiel. Obowiązek odstąpienia od umowy obowiązuje w przypadku każdego rozwiązania umowy, również przez dostawcę z powodu braku płatności. Dostawcy często wykluczają ten przypadek, a to właśnie on jest najprawdopodobniej najbardziej potrzebny.

Blokada, przenośność i ustawa UE o danych

Rozporządzenie (UE) 2023/2854, czyli ustawa o danych, weszło w życie 11 stycznia 2024 r. i obowiązuje od 12 września 2025 r. Rozdział VI tworzy system przełączania dla dostawców „usług przetwarzania danych”, zdefiniowanych na tyle szeroko, aby objąć IaaS, PaaS i SaaS.

• Przeszkody muszą zniknąć (art. 23): bariery handlowe, techniczne, umowne i organizacyjne uniemożliwiające rozwiązanie umowy, przejście do konkurencji i przenoszenie danych.
• Terminy obowiązkowe (art. 25): maksymalny okres wypowiedzenia wynoszący dwa miesiące na rozpoczęcie zmiany; obowiązkowy maksymalny okres przejściowy wynoszący 30 dni kalendarzowych, który klient może jednokrotnie przedłużyć, a w przypadku gdy zmiana jest technicznie niewykonalna – przez dostawcę do siedmiu miesięcy po przedstawieniu uzasadnionego wypowiedzenia; następnie okres pobierania danych wynoszący co najmniej 30 dni kalendarzowych, po którym następuje usunięcie danych.
• Opłaty (art. 29): od 11 stycznia 2024 r. do 12 stycznia 2027 r. dostawcy będą mogli nakładać wyłącznie obniżone opłaty za zmianę dostawcy, nieprzekraczające kosztów bezpośrednio związanych z procesem zmiany dostawcy. Od 12 stycznia 2027 r. opłaty za przeniesienie numeru są całkowicie zakazane, zniesienie opłat wyjazdowych.
• Zobowiązania techniczne (art. 30): dostawcy infrastruktury muszą podjąć wszelkie uzasadnione środki w celu zapewnienia równoważności funkcjonalnej po przejściu; inni muszą udostępniać otwarte interfejsy bezpłatnie. Żaden dostawca nie może opracowywać nowych technologii ani ujawniać tajemnic handlowych.
• Informacje, dobra wiara i wyjątki (art. 26, 27, 31): procedury przełączania muszą być ujawnione; wszystkie strony, w tym dostawca usług docelowych, muszą współpracować w dobrej wierze; tworzone są specjalne i ograniczone czasowo usługi testowe.

Trzy ostrzeżenia. Ustawa o danych określa minimalny próg, a nie plan migracji: nie zapewni ona przenośności danych, jeśli korzystasz z zastrzeżonych usług platformowych, które nie mają odpowiednika nigdzie indziej. Czas ma znaczenie, i to nie w sposób, w jaki twierdzi większość dostawców: Rozdział VI ma zastosowanie do umów o usługi przetwarzania danych od 12 września 2025 r., niezależnie od tego, czy zostały zawarte przed, czy po tej dacie, więc umowy już obowiązujące musiały zostać do tego czasu dostosowane. Okres przejściowy kończący się 12 września 2027 r. w art. 50 dotyczy Rozdziału IV, dotyczącego nieuczciwych warunków umownych dotyczących dostępu do danych i ich wykorzystywania, a nie systemu przełączania. Komisja przeprowadziła oddzielne konsultacje w sprawie projektu zalecenia zawierającego niewiążące wzorcowe warunki umowne dotyczące dostępu do danych i ich wykorzystywania oraz niewiążące standardowe klauzule umowne dotyczące umów przetwarzania w chmurze, które dostawcy mogą włączyć po jego przyjęciu; sprawdź jego status przed skorzystaniem z niego. Pakiet omnibus cyfrowy z 19 listopada 2025 r. proponuje wprawdzie zmiany w rozdziale VI, między innymi proporcjonalne kary za wcześniejsze rozwiązanie umów na czas określony oraz wąskie objęcie ochroną praw nabytych niektórych umów zawartych przed 12 września 2025 r., ale wciąż znajduje się on w fazie legislacyjnej, a uchwalony tekst nadal obowiązuje do czasu jego nowelizacji. Natomiast czysta kolokacja i mieszkalnictwo nie mieszczą się w definicji usługi przetwarzania danych, a zatem nie podlegają przepisom, pod warunkiem że powierzchnia użytkowa nie będzie obejmowała skalowalnej lub elastycznej funkcjonalności w chmurze.

Ciągłość i niewypłacalność dostawców

W przypadku niewywiązania się dostawcy z umowy, syndyk podejmuje decyzję, zgodnie z art. 37 Fw, o wykonaniu zaległych umów; w przeciwnym razie roszczenie jest niezabezpieczone. Depozyt kodu źródłowego został stworzony dla oprogramowania lokalnego i niewiele daje w przypadku SaaS: kod bez danych, środowiska i wiedzy operacyjnej nie przywróci usługi. SaaS wymaga umowy o ciągłości działania obejmującej działającą instancję, dane i prawo do kontynuowania działania. Umowa powinna co najmniej stanowić, że dane należą do Ciebie, nie podlegają żadnemu prawu retencji i muszą zostać zwolnione w określonych okolicznościach.

Odpowiedzialność, zwolnienie i cena

Standardowe warunki dostawców na rynku holenderskim są zdominowane przez NLdigital Voorwaarden, którego wydanie z 2025 roku, opublikowane w październiku 2025 roku, jest najnowsze. Wydanie to ogranicza odpowiedzialność za straty bezpośrednie do ceny uzgodnionej w umowie lub, w przypadku umowy trwającej dłużej niż rok, do rocznych opłat, a w każdym przypadku ustala ją na kwotę 500 000 EUR, z osobnym limitem 1 750 000 EUR za śmierć, obrażenia ciała i szkody materialne. Straty pośrednie i wtórne, utrata zysków, utrata oszczędności, spadek wartości firmy, przerwanie działalności oraz roszczenia własnych klientów klienta są całkowicie wyłączone. Limity te tracą ważność tylko wtedy, gdy strata wynika z umyślnego działania lub świadomej lekkomyślności ze strony kierownictwa dostawcy. Roszczenie musi zostać zgłoszone jak najszybciej po wystąpieniu szkody i wygasa po upływie dwudziestu czterech miesięcy, chyba że wszczęto postępowanie. Każda nowa edycja zmienia te limity, dlatego sprawdź, którą edycję Twój dostawca uwzględnił i czy ją zmodyfikował: wcześniejsze edycje nadal są w obiegu, a wielu dostawców stosuje własne warunki.

Sądy holenderskie egzekwują klauzule zwalniające z odpowiedzialności między firmami. Pierwszym sposobem jest art. 6:248 BW: powoływanie się na klauzulę jest nieskuteczne, jeśli byłoby niedopuszczalne ze względu na standardy rozsądku i uczciwości. Sądy stosują test z umiarem, biorąc pod uwagę wagę winy, naruszone interesy, stanowiska stron oraz sposób wyceny ryzyka. Zamiar lub działanie równoważne z nim zazwyczaj unieważniają klauzulę. W przypadku gdy warunki są warunkami ogólnymi (art. 6:231 BW), art. 6:233 BW pozwala na unieważnienie warunku nadmiernie uciążliwego. W praktyce: należy wynegocjować limit mający związek ze szkodą, jaką spowodowałoby naruszenie, wykluczyć utratę danych, poufność, bezpieczeństwo i odszkodowania z tytułu własności intelektualnej oraz zdefiniować „straty następcze”.

W kwestii ceny, ustal mechanizm: ogranicz roczną indeksację do określonego indeksu, ogranicz podwyżki do jednego razu w roku z zachowaniem terminu wypowiedzenia i skorzystaj z prawa do rozwiązania umowy bez kary powyżej określonego progu. Dzięki cenom opartym na zużyciu, zobowiąż się tylko do wykorzystania wolumenów i kontroluj koszty skalowania, poziomów wsparcia i transferu danych.

Obowiązujące prawo, spory i dostawcy spoza UE

Wybierz holenderskie prawo i holenderskie forum, gdzie tylko możesz, i rozważ praktyczne aspekty decydujące o wartości orzeczenia, które przedstawiliśmy w naszym artykule na temat unikania problemów z jurysdykcją i egzekwowaniem . Egzekwowanie holenderskiego orzeczenia w UE jest proste; egzekwowanie orzeczenia poza nią często nie jest. Arbitraż może być lepszym rozwiązaniem w przypadku kontrahenta spoza UE, a w holenderskich sporach informatycznych fundacja SGOA oferuje arbitraż i mediację branżową.

Zawieranie umów poza UE wiąże się z trzema realiami. Ograniczenie odpowiedzialności może być łatwe do powołania się i trudne do zakwestionowania na odległym forum. Obowiązkowe przepisy UE, w tym zasady dotyczące zmiany przepisów Ustawy o ochronie danych i RODO, mogą mieć zastosowanie w zależności od miejsca świadczenia usługi, ale ich stosowanie i egzekwowanie to dwie różne kwestie. Rodzic zagraniczny może również otrzymać nakaz ujawnienia informacji, który będzie sprzeczny z obowiązkami w tym kraju. W przypadku istotnego narażenia na ryzyko, należy zawrzeć umowę z unijnym podmiotem dostawcy i domagać się europejskiego forum.

Lista kontrolna negocjacji

• Zdefiniuj usługę według warstwy i zapisz, która strona kontroluje każdy komponent i każdą kontrolę bezpieczeństwa.
• Zapewnij mierzalną dostępność: zakres komponentów, okres, punkt pomiaru i wykluczenia; oddzielnie określ cele dotyczące wydajności i przywracania.
• Odrzuć kredyty serwisowe jako wyłączne rozwiązanie i dołącz prawo do rozwiązania umowy w przypadku uporczywej lub poważnej awarii.
• Określ poziom bezpieczeństwa według standardu i zakresu, wraz z dowodami, terminami powiadomień i ścieżką audytu.
• Podpisz umowę o przetwarzaniu i ustal lokalizacje danych, przetwarzania i wsparcia.
• Najpierw wynegocjuj klauzulę wyjścia: format, zakres, okres przejściowy, wycenioną pomoc, poświadczone usunięcie oraz wyzwalacze, w tym wypowiedzenie umowy z powodu braku płatności.
• Sprawdź, czy umowa spełnia wymagania dotyczące zmiany Ustawy o danych, zaplanuj datę 12 stycznia 2027 r. i ustal ciągłość: własność danych, brak prawa do ich przechowywania, powiernictwo.
• Przetestuj limit odpowiedzialności w odniesieniu do strat, jakie mogłaby spowodować rzeczywista awaria, i wyłącz z niego dane, bezpieczeństwo, poufność i własność intelektualną.
• Dokonaj indeksacji limitu oraz rozważnie wybierz prawo, forum i podmiot zawierający umowę.

Law & More Recenzuje i negocjuje umowy dotyczące chmury, hostingu i kolokacji dla klientów i dostawców: poziomy usług, uprawnienia do bezpieczeństwa i audytu, umowy przetwarzania, zasady wyjścia i zgodność z ustawą o ochronie danych, limity odpowiedzialności oraz wybór prawa i forum. Jeśli umowa jest nieaktualna lub usługa nie działa, nasz… Prawnicy IT poinformuje Cię, gdzie naprawdę jesteś narażony, zanim podpiszesz umowę.