Bewerkersovereenkomst AVG verplicht: wanneer wel en wanneer niet?

In het kort

• Bewerkersovereenkomst AVG verplicht? Ja, zodra een partij persoonsgegevens verwerkt ten behoeve van u en op uw instructies (een verwerker, artikel 28 AVG).
• Niet verplicht: wanneer de partij zelf verwerkingsverantwoordelijke is, zoals een accountant, advocaat, arbodienst of bank.
• De term bewerkersovereenkomst stamt uit de Wet bescherming persoonsgegevens (Wbp). Sinds 25 mei 2018 geldt de AVG en heet het document verwerkersovereenkomst, met zwaardere inhoudelijke eisen.
• Bij gezamenlijke verwerkingsverantwoordelijkheid maakt u een andere afspraak: een regeling volgens artikel 26 AVG.
• Een oude bewerkersovereenkomst uit de Wbp-tijd voldoet meestal niet aan de verplichte inhoud van artikel 28 lid 3 AVG.

Is een bewerkersovereenkomst AVG verplicht? Ja, zodra een andere organisatie persoonsgegevens verwerkt in uw opdracht en volgens uw instructies. Onder de AVG heet dat document een verwerkersovereenkomst. Bepaalt de andere partij zelf doel en middelen van de verwerking, dan is zo’n overeenkomst niet verplicht.

De zoekvraag bewerkersovereenkomst AVG verplicht krijgen wij bijna wekelijks, meestal van een manager met een contract van een softwareleverancier of salarisverwerker op zijn bureau. Het antwoord hangt af van één ding: de rol die de andere partij vervult. Hieronder leg ik uit hoe u die rol bepaalt, wat de overeenkomst minimaal moet regelen en wanneer u juist geen verwerkersovereenkomst moet sluiten.

Wat is het verschil tussen een bewerkersovereenkomst en een verwerkersovereenkomst?

Er is geen verschil in functie, alleen in tijd en terminologie. De Wet bescherming persoonsgegevens, die in Nederland gold tot 25 mei 2018, sprak van een bewerker en een bewerkersovereenkomst. De Nederlandse tekst van de Algemene verordening gegevensbescherming (AVG) gebruikt sinds die datum de woorden verwerker en verwerkersovereenkomst. De oude term is op zichzelf geen probleem. Het probleem zit in de inhoud: artikel 28 lid 3 AVG schrijft een lijst verplichte onderwerpen voor die onder de Wbp niet bestond, zodat een document uit 2016 vrijwel zeker te weinig regelt. Of uw bestaande contract nog volstaat, leest u in ons artikel over de geldigheid van een oude AVG bewerkersovereenkomst.

Bewerkersovereenkomst AVG verplicht: de drie voorwaarden

Artikel 28 AVG verplicht een verwerkingsverantwoordelijke om de verwerking door een verwerker vast te leggen in een overeenkomst of een andere rechtshandeling die de verwerker bindt. Die verplichting ontstaat als aan drie voorwaarden tegelijk is voldaan:

1. De andere partij verwerkt persoonsgegevens. Alleen toegang kunnen krijgen tot gegevens, bijvoorbeeld een hostingpartij die uw servers beheert, geldt in de praktijk ook als verwerken.
2. De verwerking gebeurt ten behoeve van uw organisatie. De partij voert een taak uit die u anders zelf zou doen.
3. De partij volgt uw instructies. U bepaalt het doel van de verwerking en de essentiële middelen: welke gegevens, van wie, hoe lang en met welk doel.

Partijen die doorgaans verwerker zijn: een salarisadministratiekantoor, een leverancier van een cloud-HR-systeem, een callcenter dat namens u klanten belt, een e-mailmarketingdienst en een partij die uw archief digitaliseert. In al deze gevallen is een verwerkersovereenkomst verplicht, ongeacht de omvang van de leverancier of de hoeveelheid gegevens.

De overeenkomst moet schriftelijk zijn, waarbij een elektronische vorm volstaat (artikel 28 lid 9 AVG). Een geaccepteerde set algemene voorwaarden met een verwerkersbijlage kan dus voldoen, mits de inhoud klopt.

Wanneer is een bewerkersovereenkomst niet verplicht?

Wie zoekt op bewerkersovereenkomst AVG verplicht, krijgt een nee als antwoord wanneer de andere partij zelf verwerkingsverantwoordelijke is. Dat is het geval als die partij een eigen doel heeft met de gegevens, een eigen wettelijke taak uitvoert of een eigen professionele verantwoordelijkheid draagt. Denk aan:

• Een accountant die uw jaarrekening controleert en daarvoor aan eigen beroepsregels is gebonden.
• Een advocaat of notaris die een zaak voor u behandelt.
• Een arbodienst of bedrijfsarts die medische oordelen geeft over uw medewerkers.
• Een bank die betalingen voor u uitvoert.
• Een pensioenuitvoerder of verzekeraar met een eigen wettelijke taak.
• Een postbezorger die een pakket aflevert en daarvoor adresgegevens gebruikt.

Met deze partijen sluit u geen verwerkersovereenkomst; afspraken over geheimhouding en beveiliging horen in het gewone contract. Toch een verwerkersovereenkomst sluiten met een zelfstandige verwerkingsverantwoordelijke is onverstandig: u legt dan een instructiebevoegdheid vast die u in werkelijkheid niet heeft.

Een derde categorie is de gezamenlijke verwerkingsverantwoordelijkheid. Bepalen twee organisaties samen doel en middelen, bijvoorbeeld bij een gedeeld klantenplatform, dan vraagt artikel 26 AVG om een onderlinge regeling die de verantwoordelijkheden verdeelt. Dat is een ander document dan een verwerkersovereenkomst.

Hoe bepaalt u de rol van uw leverancier?

De rolverdeling volgt uit de feiten, niet uit de titel boven het contract. De European Data Protection Board heeft hierover de Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker vastgesteld. De kernvraag: wie beslist waarom en hoe persoonsgegevens worden verwerkt? Een leverancier mag zelf technische details kiezen, zoals het type database, zonder verwerkingsverantwoordelijke te worden. Gebruikt hij uw gegevens voor eigen doelen, bijvoorbeeld om zijn product te verbeteren, dan is hij voor dat deel zelf verantwoordelijk. Hoe u die beoordeling stap voor stap uitvoert, beschrijven wij in verwerker of verwerkingsverantwoordelijke: hoe bepaalt u de rol.

Wat moet er volgens artikel 28 AVG in een verwerkersovereenkomst staan?

Artikel 28 lid 3 AVG schrijft voor dat de overeenkomst in elk geval het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens, de categorieën betrokkenen en de rechten en verplichtingen van de verwerkingsverantwoordelijke beschrijft. Daarnaast moet de verwerker zich verbinden tot het volgende:

1. Uitsluitend verwerken op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, ook bij doorgifte naar een land buiten de EU.
2. Waarborgen dat medewerkers die toegang hebben tot de gegevens tot geheimhouding verplicht zijn.
3. Passende technische en organisatorische beveiligingsmaatregelen treffen, zoals bedoeld in artikel 32 AVG.
4. Geen subverwerkers inschakelen zonder voorafgaande schriftelijke toestemming, algemeen of specifiek, en dezelfde verplichtingen aan subverwerkers doorleggen.
5. Bijstand verlenen bij verzoeken van betrokkenen, zoals inzage of verwijdering.
6. Bijstand verlenen bij beveiliging, meldplicht datalekken, DPIA’s en voorafgaande raadpleging (artikel 32 tot en met 36 AVG).
7. Na afloop van de dienstverlening alle persoonsgegevens wissen of terugbezorgen, naar keuze van de verwerkingsverantwoordelijke, tenzij een wettelijke bewaarplicht geldt.
8. Alle informatie beschikbaar stellen die nodig is om naleving aan te tonen, en audits en inspecties mogelijk maken.

Ontbreekt een van deze onderdelen, dan voldoet de overeenkomst niet, hoe uitgebreid de rest ook is. Leveranciers leggen vaak hun eigen model voor; u blijft als verwerkingsverantwoordelijke aanspreekbaar op de inhoud. Waar u op let bij zo’n standaardmodel, leest u in ons artikel over het beoordelen van de verwerkersovereenkomst van uw leverancier.

Wie is verantwoordelijk als de overeenkomst ontbreekt?

De verplichting uit artikel 28 AVG rust op beide partijen: de verwerkingsverantwoordelijke moet zorgen dat er een overeenkomst ligt, en de verwerker mag zonder zo’n overeenkomst niet aan de slag. In de praktijk wordt vooral de opdrachtgever aangesproken, omdat die de gegevens heeft uitbesteed. De Autoriteit Persoonsgegevens ziet de verwerkersovereenkomst als basisvoorwaarde voor rechtmatig uitbesteden. Belangrijker dan de toezichthouder is uw eigen positie: zonder overeenkomst heeft u geen afdwingbare afspraak over beveiliging, datalekken en teruggave van gegevens als de samenwerking eindigt.

Hoe pakt u dit organisatorisch aan?

Een verwerkersovereenkomst werkt pas als uw organisatie weet welke leveranciers persoonsgegevens verwerken. Wij adviseren onze opdrachtgevers daarom een vaste werkwijze:

• Leg in uw verwerkingsregister (artikel 30 AVG) per verwerking vast welke externe partij betrokken is en in welke rol.
• Neem de rolbepaling en de verwerkersovereenkomst op als vaste stap in uw inkoopproces, zodat een contract pas wordt getekend als deze vraag is beantwoord.
• Controleer bestaande overeenkomsten bij elke nieuwe dienst, nieuwe subverwerker of verhuizing van gegevens naar een ander land.
• Beleg het eigenaarschap, bijvoorbeeld bij een privacy officer, met de functionaris gegevensbescherming als toezichthouder op de werkwijze.

Zo is de vraag bewerkersovereenkomst AVG verplicht of niet bij elke nieuwe leverancier al beantwoord voordat het contract wordt getekend, en wordt de verwerkersovereenkomst een vast onderdeel van professioneel leveranciersmanagement.

Veelgestelde vragen over de bewerkersovereenkomst onder de AVG

Is een bewerkersovereenkomst hetzelfde als een verwerkersovereenkomst?

Ja. Bewerkersovereenkomst is de oude term uit de Wet bescherming persoonsgegevens, die tot 25 mei 2018 gold. Onder de AVG heet hetzelfde document verwerkersovereenkomst en gelden strengere inhoudelijke eisen op grond van artikel 28 lid 3 AVG.

Moet ik een verwerkersovereenkomst sluiten met mijn accountant?

Meestal niet. Een accountant die uw jaarrekening controleert of samenstelt, werkt onder eigen beroepsregels en is daarmee zelfstandig verwerkingsverantwoordelijke. Voert een administratiekantoor alleen uw salarisadministratie uit volgens uw instructies, dan is het wel een verwerker.

Mag een verwerkersovereenkomst digitaal worden gesloten?

Ja. Artikel 28 lid 9 AVG vereist een schriftelijke vorm, en een elektronische vorm valt daar uitdrukkelijk onder. Online geaccepteerde voorwaarden met een verwerkersbijlage kunnen volstaan, mits alle verplichte onderdelen erin staan.

Is een bewerkersovereenkomst AVG verplicht als de leverancier buiten de EU zit?

Ja, de verplichting uit artikel 28 AVG geldt onverkort. Daarbovenop heeft u voor de doorgifte een geldig doorgiftemechanisme nodig, zoals standaardcontractsbepalingen. Meer daarover leest u in ons artikel over doorgifte buiten de EU.