AVG bewerkersovereenkomst: wie neemt het initiatief en wat doet u als uw leverancier niet wil tekenen?

Een AVG bewerkersovereenkomst, sinds 2018 officieel verwerkersovereenkomst genoemd, is verplicht zodra een leverancier persoonsgegevens namens uw organisatie verwerkt. De plicht rust op beide partijen, maar in de praktijk neemt de verwerkingsverantwoordelijke het initiatief en draagt die ook het grootste risico als de overeenkomst ontbreekt.

In het kort

• Een AVG bewerkersovereenkomst is op grond van artikel 28 AVG verplicht voor zowel de verwerkingsverantwoordelijke als de verwerker. Geen van beiden kan zich verschuilen achter de ander.
• De verwerkingsverantwoordelijke neemt in de regel het initiatief, omdat hij de instructies geeft en zich moet kunnen verantwoorden tegenover betrokkenen en de Autoriteit Persoonsgegevens.
• Weigert een leverancier de AVG bewerkersovereenkomst te tekenen, dan bepaalt u eerst of hij wel echt verwerker is. Daarna legt u de weigering vast, biedt u een alternatief aan en weegt u af of de samenwerking kan doorgaan.
• Een leverancier die structureel niet wil tekenen, is een leverancier die u in juridische zin niet kunt gebruiken voor de verwerking van persoonsgegevens.

In onze adviespraktijk komt deze vraag vrijwel wekelijks terug: wie levert de overeenkomst aan, en wat doet u als een leverancier het document terzijde schuift? Hieronder leg ik uit hoe de verantwoordelijkheid is verdeeld, welke stappen u zet bij een weigering en wanneer u beter afscheid kunt nemen.

Wat is een AVG bewerkersovereenkomst en waarom heet die nu verwerkersovereenkomst?

De term bewerkersovereenkomst stamt uit de Wet bescherming persoonsgegevens (Wbp), de voorganger van de AVG. Sinds de AVG op 25 mei 2018 van toepassing werd, spreekt de wet van verwerker en verwerkersovereenkomst. Veel organisaties gebruiken de oude naam nog steeds, en dat is geen probleem zolang de inhoud voldoet aan artikel 28 AVG.

Inhoudelijk gaat het om een overeenkomst waarin de verwerkingsverantwoordelijke (de partij die doel en middelen bepaalt) en de verwerker (de partij die uitsluitend in opdracht handelt) vastleggen hoe er met persoonsgegevens wordt omgegaan. Artikel 28 lid 3 AVG schrijft voor wat er minimaal in moet staan, waaronder:

• het onderwerp, de duur, de aard en het doel van de verwerking, en de soorten persoonsgegevens en categorieën betrokkenen;
• de plicht om alleen op schriftelijke instructie van de verantwoordelijke te verwerken;
• geheimhouding door de medewerkers van de verwerker;
• passende beveiligingsmaatregelen volgens artikel 32 AVG;
• regels voor het inschakelen van subverwerkers;
• hulp bij verzoeken van betrokkenen en bij datalekken;
• het wissen of teruggeven van gegevens na afloop van de dienst;
• het meewerken aan audits en het aantonen van naleving.

Heeft u nog een AVG bewerkersovereenkomst uit de Wbp-periode liggen, lees dan ook of uw oude bewerkersovereenkomst nog geldig is.

Wie moet het initiatief nemen voor de AVG bewerkersovereenkomst?

Juridisch is het antwoord helder: beide partijen. Artikel 28 AVG legt de verplichting om een overeenkomst te sluiten bij de verwerkingsverantwoordelijke én bij de verwerker. Een verwerker die zonder overeenkomst persoonsgegevens verwerkt, handelt zelf in strijd met de AVG, los van wat zijn opdrachtgever doet of nalaat.

Waarom de verwerkingsverantwoordelijke in de praktijk het voortouw neemt

In de praktijk ligt het initiatief vrijwel altijd bij de verwerkingsverantwoordelijke, en daar zijn goede redenen voor. U bepaalt het doel van de verwerking en geeft de instructies, dus u weet het beste wat er geregeld moet worden. U moet zich tegenover betrokkenen en de Autoriteit Persoonsgegevens kunnen verantwoorden over de inschakeling van die leverancier. En artikel 28 AVG verplicht u om alleen verwerkers te kiezen die afdoende garanties bieden. Wie wacht tot de leverancier zelf met een AVG bewerkersovereenkomst komt, geeft de regie uit handen over een onderwerp waarvoor hij zelf aanspreekbaar is.

Wat als de leverancier zelf een model aanbiedt?

Grote softwareleveranciers en clouddiensten werken vrijwel altijd met een eigen standaardovereenkomst, vaak Data Processing Agreement of DPA genoemd. Dat bespaart discussie, maar ontslaat u niet van de plicht om dat document te toetsen aan artikel 28 AVG en aan uw eigen situatie. Hoe u dat aanpakt, beschrijf ik in het artikel over het beoordelen van het model van uw leverancier.

Wat doet u als uw leverancier de AVG bewerkersovereenkomst niet wil tekenen?

Een weigering komt regelmatig voor, vooral bij kleinere dienstverleners, buitenlandse partijen en leveranciers die privacy als administratieve last ervaren. Wij adviseren de volgende volgorde.

1. Controleer eerst de rolverdeling. Soms weigert een leverancier terecht, omdat hij helemaal geen verwerker is. Een accountant, advocaat, arbodienst of bank bepaalt vaak zelf doel en middelen en is dan zelfstandig verwerkingsverantwoordelijke. In dat geval hoort er geen verwerkersovereenkomst te komen. Twijfelt u, raadpleeg dan het artikel over het bepalen van de rol van verwerker of verwerkingsverantwoordelijke.
2. Vraag naar de reden van de weigering. Vaak zit het bezwaar in één of twee bepalingen, bijvoorbeeld onbeperkte aansprakelijkheid, een auditrecht zonder voorwaarden of een meldtermijn voor datalekken van 24 uur. Dat zijn onderhandelpunten, geen reden om het hele document af te wijzen.
3. Bied een neutraal alternatief aan. De Europese Commissie heeft op 4 juni 2021 standaardcontractbepalingen vastgesteld voor de relatie tussen verwerkingsverantwoordelijke en verwerker (Uitvoeringsbesluit (EU) 2021/915). Deze bepalingen zijn evenwichtig geformuleerd en voor veel leveranciers acceptabel omdat ze van een onafhankelijke bron komen. Ook het model van de leverancier zelf kan een uitkomst zijn, mits het voldoet.
4. Leg de communicatie vast. Noteer wanneer u de AVG bewerkersovereenkomst heeft aangeboden, wat de reactie was en welke alternatieven u heeft voorgesteld. Deze documentatie hoort bij uw verantwoordingsplicht en laat zien dat u zorgvuldig heeft gehandeld.
5. Stel een redelijke termijn en benoem het gevolg. Maak duidelijk dat zonder getekende overeenkomst de verwerking van persoonsgegevens moet stoppen of dat het contract wordt beëindigd. Dat is simpelweg de juridische werkelijkheid waar beide partijen mee te maken hebben.
6. Trek de conclusie als het nodig is. Blijft de leverancier weigeren, dan kunt u hem in juridische zin niet inschakelen voor deze verwerking. Zoek een alternatieve leverancier of beperk de dienst tot verwerkingen zonder persoonsgegevens.

Mag u doorgaan met een leverancier zonder getekende AVG bewerkersovereenkomst?

Nee, in beginsel niet. Zodra een verwerker persoonsgegevens voor u verwerkt zonder dat de afspraken uit artikel 28 AVG schriftelijk zijn vastgelegd, voldoet u niet aan de verordening, ook als de leverancier feitelijk uitstekend met gegevens omgaat. De overeenkomst is immers het instrument waarmee u instructies geeft, beveiliging afdwingt en bij een datalek snel kunt handelen.

Er zit bovendien een praktisch risico aan. Zonder overeenkomst is onduidelijk waar uw instructies ophouden, en dat maakt discussies over aansprakelijkheid bij incidenten onnodig ingewikkeld. Wanneer de overeenkomst precies verplicht is en wanneer niet, leest u in het artikel over de verplichting tot een bewerkersovereenkomst onder de AVG.

Een bestaande relatie hoeft u overigens niet per direct te beëindigen. Zorgvuldig handelen betekent dat u de situatie signaleert, een realistisch verbetertraject afspreekt en dat vastlegt. Dat is organisatorisch haalbaar en juridisch verdedigbaar.

Hoe voorkomt u deze discussie bij nieuwe leveranciers?

De meeste weigeringen ontstaan doordat de AVG bewerkersovereenkomst pas na ondertekening van het hoofdcontract ter sprake komt, als de onderhandelingsruimte weg is. Drie maatregelen voorkomen dat:

• Neem de verwerkersovereenkomst op als verplichte bijlage in uw inkoopvoorwaarden en in elke offerteaanvraag waarbij persoonsgegevens worden verwerkt.
• Laat inkoop, IT en de privacy officer of functionaris gegevensbescherming vooraf samen beoordelen of de leverancier verwerker is en welke bepalingen voor u essentieel zijn.
• Werk met een eigen standaardmodel én accepteer het model van de leverancier als dat inhoudelijk voldoet. Flexibiliteit op vorm, vasthoudendheid op inhoud.

Organisaties zonder eigen capaciteit hiervoor leggen de beoordeling en onderhandeling van verwerkersovereenkomsten vaak bij ons neer, als onderdeel van juridisch privacyadvies of via een externe privacy officer. Zo wordt elke leverancier langs dezelfde lat gelegd en is de documentatie direct op orde.

Veelgestelde vragen

Is een AVG bewerkersovereenkomst hetzelfde als een verwerkersovereenkomst?

Ja. Bewerkersovereenkomst is de term uit de oude Wet bescherming persoonsgegevens; de AVG spreekt sinds 2018 van verwerkersovereenkomst. De naam op het document is niet bepalend, de inhoud volgens artikel 28 AVG wel.

Kan de leverancier eisen dat zijn eigen model wordt gebruikt?

Een leverancier mag zijn eigen model voorstellen en veel grote dienstverleners doen dat ook. U blijft wel verplicht om dat model te toetsen aan artikel 28 AVG en aan uw verwerkingen. Voldoet het, dan is er geen bezwaar om het te accepteren.

Wie is aansprakelijk als er geen verwerkersovereenkomst is en er gaat iets mis?

Beide partijen schenden artikel 28 AVG en kunnen daarop door de Autoriteit Persoonsgegevens worden aangesproken. Tegenover de betrokkene is de verwerkingsverantwoordelijke in de regel het eerste aanspreekpunt. Zonder overeenkomst is verhaal op de verwerker aanzienlijk lastiger.

Mag ik de standaardcontractbepalingen van de Europese Commissie gebruiken als AVG bewerkersovereenkomst?

Ja. De Europese Commissie heeft met Uitvoeringsbesluit (EU) 2021/915 standaardcontractbepalingen vastgesteld die voldoen aan artikel 28 AVG. U vult de bijlagen in met de concrete verwerking, beveiligingsmaatregelen en subverwerkers. Let op: dit zijn andere bepalingen dan de standaardcontractbepalingen voor doorgifte buiten de EU.