AVG bewerkersovereenkomst of verwerkersovereenkomst: is er een verschil en welke term gebruikt u?

In het kort

• Een AVG bewerkersovereenkomst en een verwerkersovereenkomst verwijzen naar dezelfde overeenkomst tussen een verwerkingsverantwoordelijke en een verwerker.
• “Bewerker” en “bewerkersovereenkomst” komen uit de Wbp, die per 25 mei 2018 is vervallen. Sindsdien gelden de AVG-termen “verwerker” en “verwerkersovereenkomst”.
• De juridisch juiste term is sinds 2018 verwerkersovereenkomst. De oude term is verouderd, al weegt de inhoud van het document zwaarder dan de naam.
• Een oude AVG bewerkersovereenkomst is niet automatisch ongeldig. Beslissend is of de inhoud voldoet aan artikel 28 lid 3 AVG.

Een AVG bewerkersovereenkomst en een verwerkersovereenkomst zijn hetzelfde document: de schriftelijke afspraken tussen een organisatie en de partij die namens haar persoonsgegevens verwerkt. “Bewerkersovereenkomst” is de oude term uit de Wet bescherming persoonsgegevens (Wbp), “verwerkersovereenkomst” de huidige term uit artikel 28 AVG.

In onze praktijk krijgen wij deze vraag nog regelmatig: moet ik een AVG bewerkersovereenkomst of een verwerkersovereenkomst sluiten, en maakt dat verschil? Het korte antwoord is dat het om dezelfde overeenkomst gaat. Het langere antwoord is interessanter, omdat de inhoudelijke eisen bij de overgang naar de AVG wel degelijk zijn veranderd. In dit artikel leg ik uit waar de twee termen vandaan komen, welke u het beste gebruikt en waar u op let als u nog een document met de oude naam in de kast heeft liggen.

Waar komt de term AVG bewerkersovereenkomst vandaan?

De term stamt uit de Wet bescherming persoonsgegevens, de Nederlandse privacywet die van 2001 tot 25 mei 2018 gold. Artikel 14 Wbp sprak van een “bewerker”: de partij die ten behoeve van de verantwoordelijke persoonsgegevens verwerkte. De verantwoordelijke moest ervoor zorgen dat de bewerker voldoende waarborgen bood voor beveiliging, en de afspraken daarover moesten schriftelijk worden vastgelegd. Dat document heette in de praktijk de bewerkersovereenkomst.

Op 25 mei 2018 werd de Algemene verordening gegevensbescherming van toepassing en verviel de Wbp. De Nederlandse vertaling van de AVG gebruikt andere woorden: de “verantwoordelijke” werd “verwerkingsverantwoordelijke” en de “bewerker” werd “verwerker”. Daarmee veranderde ook de naam van het contract. Strikt genomen bestaat de combinatie “AVG bewerkersovereenkomst” dus niet in de wet. Mensen gebruiken die term omdat de oude benaming lang is blijven hangen, zeker bij organisaties die hun contracten al vóór 2018 op orde hadden.

Is er een inhoudelijk verschil tussen een bewerkersovereenkomst en een verwerkersovereenkomst?

Het verschil zit niet in de naam, maar in de eisen die de wet aan de inhoud stelt. Onder de Wbp was de verplichting beperkt: afspraken over beveiliging en over het uitsluitend handelen in opdracht van de verantwoordelijke. De AVG is aanzienlijk gedetailleerder. Artikel 28 lid 3 AVG schrijft voor dat de overeenkomst in ieder geval het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens, de categorieën betrokkenen en de rechten en verplichtingen van de verwerkingsverantwoordelijke vastlegt. Daarnaast moet de overeenkomst de verwerker verplichten om:

1. persoonsgegevens uitsluitend te verwerken op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, ook bij doorgifte naar landen buiten de EU;
2. te waarborgen dat medewerkers die toegang hebben tot de gegevens gebonden zijn aan geheimhouding;
3. passende technische en organisatorische beveiligingsmaatregelen te treffen;
4. geen subverwerkers in te schakelen zonder voorafgaande toestemming, en met iedere subverwerker dezelfde verplichtingen af te spreken;
5. bijstand te verlenen bij verzoeken van betrokkenen, zoals een inzageverzoek;
6. te helpen bij beveiliging, datalekmeldingen en DPIA’s;
7. de gegevens na afloop te wissen of terug te geven;
8. alle informatie te verstrekken die nodig is om naleving aan te tonen en audits mogelijk te maken.

Een AVG bewerkersovereenkomst die vóór 2018 is opgesteld, bevat deze acht onderdelen zelden allemaal. Vooral de regeling voor subverwerkers, de bijstand bij datalekken en het auditrecht ontbraken destijds vaak. Wie een oud document nog gebruikt, doet er goed aan de inhoud langs deze lijst te leggen. Hoe u dat aanpakt, leest u in ons artikel over de geldigheid van uw oude bewerkersovereenkomst.

Welke term gebruikt u in uw contracten en beleid?

Mijn advies is helder: gebruik “verwerkersovereenkomst”, “verwerker” en “verwerkingsverantwoordelijke”. Dat zijn de termen uit de AVG en uit de communicatie van de Autoriteit Persoonsgegevens. Zoekt u naar een model voor een AVG bewerkersovereenkomst, hanteer dan in het document zelf de actuele benaming. Daar zijn drie praktische redenen voor.

• Consistentie met de wet. Wie in een geschil of bij een onderzoek van de toezichthouder moet aantonen dat artikel 28 AVG is nageleefd, is geholpen met contracten die dezelfde begrippen gebruiken als de wet zelf.
• Duidelijkheid richting leveranciers. Internationale partijen kennen alleen de AVG-termen (in het Engels “processor” en “data processing agreement”). De term bewerker roept bij hen vragen op.
• Signaalwaarde. Een document met de kop “bewerkersovereenkomst” wekt de indruk dat het sinds 2018 niet meer is herzien. Dat is zelden de boodschap die u wilt afgeven aan een auditor, een overnamepartij of een klant.

Heeft u een bestaande AVG bewerkersovereenkomst met de oude naam die inhoudelijk wel voldoet? Dan is het verstandig om bij de eerstvolgende herziening de terminologie te moderniseren. Een naamswijziging alleen rechtvaardigt in mijn ogen geen apart ondertekeningstraject met al uw leveranciers.

Wanneer heeft u überhaupt een verwerkersovereenkomst nodig?

De verplichting geldt zodra een andere partij persoonsgegevens verwerkt namens uw organisatie en daarbij zelf geen doel en middelen bepaalt. Denk aan een salarisadministrateur, een leverancier van cloudsoftware, een hostingpartij of een partij die uw klantenservice uitvoert. Verwerkt de andere partij de gegevens voor eigen doeleinden, zoals een accountant bij de wettelijke controle of een arbodienst bij verzuimbegeleiding, dan is die partij zelf verwerkingsverantwoordelijke en past een verwerkersovereenkomst niet. In dit artikel over wanneer een verwerkersovereenkomst verplicht is werk ik dat onderscheid verder uit.

Let op twee misverstanden die wij regelmatig tegenkomen. Ten eerste: de overeenkomst hoeft geen apart document te zijn. Artikel 28 AVG eist een schriftelijke overeenkomst of een andere rechtshandeling; de afspraken mogen dus ook in een bijlage bij de hoofdovereenkomst of in algemene voorwaarden staan, zolang ze bindend zijn en alle verplichte onderdelen bevatten. Ten tweede: een verwerkersovereenkomst sluiten met een partij die eigenlijk verwerkingsverantwoordelijke is, lost niets op en verhult de echte verhouding. De kwalificatie volgt uit de feiten, ongeacht het etiket op het contract.

Hoe pakt u een herziening praktisch aan?

Organisaties die iedere oude AVG bewerkersovereenkomst willen omzetten naar een actuele verwerkersovereenkomst, raad ik de volgende volgorde aan:

1. Inventariseer alle leveranciers die persoonsgegevens voor u verwerken, bij voorkeur op basis van uw verwerkingsregister.
2. Bepaal per leverancier of die daadwerkelijk verwerker is, of toch (gezamenlijk) verwerkingsverantwoordelijke.
3. Leg bestaande contracten naast de acht onderdelen van artikel 28 lid 3 AVG en noteer wat ontbreekt.
4. Kies een standaard: uw eigen model of het model van de leverancier. Grote softwareleveranciers accepteren doorgaans geen afwijkend model, dus beoordeel in dat geval hun modeltekst kritisch.
5. Leg vast wie binnen uw organisatie eigenaar is van het contractbeheer, zodat nieuwe leveranciers direct de juiste overeenkomst krijgen.

Voor veel organisaties is dit een project dat naast het dagelijkse werk blijft liggen. Een privacy officer of functionaris gegevensbescherming kan het trekken, intern of extern. Belangrijker dan de snelheid is dat u het stelselmatig doet en afrondt.

Veelgestelde vragen

Is een AVG bewerkersovereenkomst hetzelfde als een verwerkersovereenkomst?

Ja. Beide termen duiden de overeenkomst aan tussen een organisatie en de partij die namens haar persoonsgegevens verwerkt. Bewerkersovereenkomst is de term uit de Wbp, verwerkersovereenkomst de term uit de AVG die sinds 25 mei 2018 geldt.

Is mijn oude AVG bewerkersovereenkomst nog geldig?

De naam maakt de overeenkomst niet ongeldig. Wel moet de inhoud voldoen aan alle onderdelen van artikel 28 lid 3 AVG, en oude overeenkomsten missen vaak de bepalingen over subverwerkers, bijstand bij datalekken en audits. Controleer de inhoud en vul aan waar nodig.

Wat is het verschil tussen een bewerker en een verwerker?

Er is geen inhoudelijk verschil. Bewerker was de term uit artikel 14 Wbp, verwerker is de term uit artikel 4 AVG. Beide verwijzen naar de partij die persoonsgegevens verwerkt in opdracht van en namens de verwerkingsverantwoordelijke.

Moet ik mijn contracten hernoemen van bewerkersovereenkomst naar verwerkersovereenkomst?

Hernoemen is geen wettelijke verplichting. Wel is het verstandig om bij de eerstvolgende herziening over te stappen op de actuele benaming. Gebruik de AVG-terminologie zodat uw contracten aansluiten op de wet en op de taal van de Autoriteit Persoonsgegevens en internationale leveranciers.

Wie moet het initiatief nemen voor de verwerkersovereenkomst?

De verplichting rust primair op de verwerkingsverantwoordelijke, maar ook de verwerker mag volgens artikel 28 AVG alleen verwerken op basis van zo’n overeenkomst. In de praktijk is de opdrachtgever meestal de partij die het document aandraagt of om het model van de leverancier vraagt.