Een verwerkersovereenkomst is de schriftelijke overeenkomst waarin een verwerkingsverantwoordelijke vastlegt onder welke voorwaarden een verwerker persoonsgegevens voor hem verwerkt. De AVG schrijft die overeenkomst dwingend voor zodra u de verwerking uitbesteedt, en bepaalt zelf welke onderwerpen er ten minste in geregeld moeten zijn.
Inhoudsopgave
Wettelijke basis
De verplichting staat in artikel 28 lid 3 van de Algemene verordening gegevensbescherming. De overeenkomst moet het onderwerp, de duur, de aard en het doel van de verwerking beschrijven, en het soort persoonsgegevens en de categorieën betrokkenen benoemen. Daarnaast schrijft de bepaling acht concrete afspraken voor: verwerken op schriftelijke instructie, geheimhouding, beveiliging volgens artikel 32 AVG, voorwaarden voor subverwerkers, bijstand bij verzoeken van betrokkenen, bijstand bij datalekken en effectbeoordelingen, teruggave of wissing na afloop, en het beschikbaar stellen van informatie voor controle. Artikel 28 lid 1 voegt daaraan toe dat u alleen verwerkers mag inschakelen die voldoende garanties bieden.
Hoe het in de praktijk werkt
Vrijwel elke uitbesteding valt eronder: de salarisadministratie, het hostingbedrijf, de leverancier van uw CRM-pakket, het archiefvernietigingsbedrijf. De meeste leveranciers hanteren een eigen model dat als bijlage bij de hoofdovereenkomst gaat. Dat model is onderhandelbaar, ook al wordt het vaak als vaststaand gepresenteerd. Let vooral op de bijlage waarin de verwerkingen zijn beschreven: die moet de werkelijkheid weergeven en niet een algemene omschrijving die op elke klant past. Bij doorgifte buiten de Europese Economische Ruimte hoort een aanvullende grondslag, meestal de standaardcontractbepalingen van de Europese Commissie.
Waar het misgaat
Drie fouten komen steeds terug. De eerste is een overeenkomst met een partij die in werkelijkheid geen verwerker is maar zelf doel en middelen bepaalt; dan is er sprake van gezamenlijke verwerkingsverantwoordelijkheid en gelden andere regels. De tweede is een blanco toestemming voor subverwerkers, waardoor u het overzicht kwijtraakt over de plaats waar uw gegevens staan. De derde is een beveiligingsbijlage die alleen naar "passende maatregelen" verwijst zonder een enkel concreet niveau te noemen; die biedt bij een incident geen enkel houvast.
Verwante begrippen
De verwerkersovereenkomst hangt samen met het datalek, omdat daarin staat binnen welke termijn de verwerker u moet informeren, en met de DPIA, waarbij de verwerker informatie moet aanleveren. Ook het algemene voorwaardenrecht speelt mee, omdat de verwerkersovereenkomst vaak botst met de aansprakelijkheidsbeperking in de hoofdovereenkomst.
Verder lezen
Uitgebreider over dit onderwerp: Verwerkersovereenkomst: welke clausules u niet hoeft te tekenen, Stap-voor-stap verwerkersovereenkomst opstellen (AVG-proof).
Wilt u weten of uw verwerkersovereenkomsten de toets doorstaan? Onze ICT-recht advocaten beoordelen ze en onderhandelen waar dat nodig is.
