Nearshoring werkt juridisch als je drie dingen regelt:
- Het auteursrecht op de code van buitenlandse ontwikkelaars komt aantoonbaar bij je bureau uit, met een schriftelijke overdracht en akte volgens de Auteurswet.
- Kan het team buiten de Europese Economische Ruimte (EER) bij persoonsgegevens van klanten, dan is dat een doorgifte onder hoofdstuk V AVG. Je hebt dan een adequaatheidsbesluit of een modelcontract nodig.
- Je klant weet dat er een onderaannemer meewerkt, want vaak is die een subverwerker.
Een team in een ander EU-land, zoals Polen of Portugal, kent geen doorgifteprobleem. De IP-keten moet daar net zo goed kloppen.
Hoe krijg je de rechten op code van buitenlandse ontwikkelaars?
In Nederland is de werkgever maker van wat werknemers in dienst schrijven (artikel 7 Auteurswet). Dat helpt je niet bij een nearshore-team: die ontwikkelaars zijn niet bij jou in dienst. Of hun werkgever de rechten heeft, bepaalt het recht van hun land en hun eigen contract.
De keten ziet er meestal zo uit:
| Schakel | Wat je nodig hebt |
|---|---|
| Ontwikkelaar en zijn werkgever | Arbeidscontract of opdrachtcontract waarin de rechten op het werk bij de leverancier komen |
| Leverancier en je bureau | Overdracht van alle auteursrechten op het opgeleverde werk, plus een akte van levering |
| Zelfstandige ontwikkelaar direct ingehuurd | Rechtstreekse overdracht aan je bureau, met akte |
Voor de overdracht aan je bureau eist Nederlands recht een schriftelijke overeenkomst en een akte (artikel 2 lid 3 Auteurswet). Een losse zin in een offerte of factuur dat de code ‘van het bureau wordt’, is geen akte.
Wat moet er in het contract met een nearshore-leverancier staan?
- Rechtskeuze en forum. Nederlands recht en een Nederlandse rechter, of arbitrage. Zonder afspraak kan een conflict in het land van de leverancier terechtkomen.
- IP-overdracht. Alle auteursrechten op het opgeleverde werk, met de bevoegdheden expliciet genoemd, en een akte per oplevering.
- Garantie op de keten. De leverancier staat in voor de rechten van zijn ontwikkelaars en vrijwaart je voor claims.
- Open source. Geen copyleft-componenten zonder schriftelijke toestemming, met een lijst van gebruikte pakketten.
- Geheimhouding voor broncode, klantgegevens en toegangssleutels.
- Gegevensbescherming. Een verwerkersovereenkomst op subverwerkersniveau, plus het modelcontract als het team buiten de EER zit.
- Toegang en beveiliging. Wie mag in welke omgeving, met welke accounts, en wat gebeurt er bij vertrek van een ontwikkelaar.
- Einde van de samenwerking. Teruggave van code, documentatie en sleutels, en het wissen van data.
Je eigen klantcontract moet hierop aansluiten. Staat daarin dat je zonder toestemming geen onderaannemers inschakelt of dat het werk in de EU plaatsvindt, dan heb je eerst de klant nodig. Zie ook overeenkomst van opdracht.
Wanneer is nearshoring een doorgifte onder de AVG?
Artikel 44 AVG staat doorgifte van persoonsgegevens naar een land buiten de EER alleen toe onder de voorwaarden van hoofdstuk V. Noorwegen, IJsland en Liechtenstein horen bij de EER en tellen niet als derde land, aldus de Autoriteit Persoonsgegevens (AP).
Ook werk op afstand kan eronder vallen. Volgens de EDPB geldt: toegang op afstand vanuit een derde land telt volgens de EDPB als doorgifte, ook als de gegevens alleen op een scherm worden bekeken. Een nearshore-team dat voor support in je productiedatabase kijkt, maakt de gegevens dus beschikbaar in een derde land.
| Situatie | Doorgifte? |
|---|---|
| Team in Polen of Roemenië werkt met productiedata | Nee, binnen de EER |
| Team buiten de EER werkt alleen met testdata zonder echte personen | Nee, geen persoonsgegevens |
| Team buiten de EER heeft leesrechten op productie | Ja |
| Je eigen werknemer logt in tijdens een vakantie buiten de EER | Nee, volgens de EDPB |
Welke basis heb je nodig voor doorgifte?
De AP noemt drie routes:
- Adequaatheidsbesluit (artikel 45 AVG). De Europese Commissie heeft besloten dat het land voldoende bescherming biedt. Volgens de AP gaat het om Andorra, Argentinië, Brazilië, Canada (alleen commerciële bedrijven), de Faeröer, Guernsey, het eiland Man, Israël, Japan, Jersey, Nieuw-Zeeland, Uruguay, het Verenigd Koninkrijk, de Verenigde Staten (alleen organisaties onder het Data Privacy Framework), Zwitserland en Zuid-Korea. Dan zijn geen extra waarborgen nodig.
- Passende waarborgen (artikel 46 AVG). Voor nearshoring meestal het modelcontract van de Europese Commissie (SCC, lid 2 onder c).
- Uitzonderingen (artikel 49 AVG). Alleen in zeldzame gevallen, en niet bedoeld voor structureel werk.
De eenvoudigste oplossing is vaak technisch: laat het team buiten de EER alleen met geanonimiseerde of synthetische data werken en houd productie in handen van mensen binnen de EER.
Moet de klant meetekenen?
Is je bureau verwerker voor de klant en kan het nearshore-team bij zijn persoonsgegevens, dan is het team een subverwerker. Je hebt dan voorafgaande schriftelijke toestemming van de klant nodig (artikel 28 lid 2 AVG), en je legt het team dezelfde plichten op als in je eigen verwerkersovereenkomst. Meer daarover op verwerkersovereenkomst.
Leg bij de klant drie dingen vast:
- welk team, in welk land, aan welk systeem werkt;
- op welke basis eventuele doorgifte plaatsvindt (adequaatheidsbesluit of modelcontract);
- dat je wijzigingen in de lijst subverwerkers vooraf meldt.
Valt je klant onder de Cyberbeveiligingswet, dan vraagt hij ook naar de beveiliging van zijn toeleveringsketen. Een nearshore-team is daar een schakel van. Zie NIS2 voor leveranciers.
Wat betekent dit voor de code van je bureau?
Code van een nearshore-team is pas bezit van je bureau als de keten op papier rond is. Een gat in die keten zie je pas als je de code wilt gebruiken:
- Bij licentie. Een licentienemer vraagt wie de code schreef en hoe de rechten bij je bureau kwamen. Zonder akte kun je dat niet laten zien.
- Bij verkoop. Een koper doet due diligence op de eigendomsketen. Ontbrekende overdrachten drukken de prijs of blokkeren de deal.
- Bij WBSO en innovatiebox. De WBSO telt alleen uren van eigen medewerkers in loondienst, en volgens de Handleiding WBSO van RVO moet S&O in een EU-lidstaat plaatsvinden. Uren van een ingehuurd nearshore-team tellen dus niet mee, ook niet binnen de EU. Zie WBSO en innovatiebox.
Loop de aktes na en vraag ontbrekende overdrachten alsnog op. Hoe dat werkt, lees je op overdracht intellectueel eigendom en wie is eigenaar van de code. Daarna kun je de code in licentie geven of laten waarderen via wat is code waard.