Een verwerkersovereenkomst is verplicht zodra een andere partij persoonsgegevens voor u verwerkt. De AVG schrijft voor wat erin moet staan, en dat is aanzienlijk meer dan de meeste standaardmodellen bevatten.
Kort samengevat
- Verplicht bij elke verwerkersrelatie. Geen overeenkomst is een zelfstandige overtreding.
- Acht verplichte onderdelen. Van instructies tot teruggave na afloop.
- Het model van de leverancier is een startpunt. Geen eindpunt.
- Subverwerkers zijn het zwakke punt. Daar zit de keten die u niet ziet.
- U blijft aanspreekbaar. Uitbesteden is geen overdragen van verantwoordelijkheid.
Vrijwel elke organisatie heeft een stapel getekende overeenkomsten liggen. De vraag is zelden of ze er zijn en bijna altijd of iemand ze heeft gelezen voordat ze werden getekend.
Wat moet er in een verwerkersovereenkomst staan?
Artikel 28 van de AVG noemt eerst vier beschrijvende elementen: het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke.
Daarna volgen de acht verplichtingen die de verwerker op zich neemt.
- Alleen op instructie. Hij verwerkt uitsluitend op basis van uw gedocumenteerde instructies.
- Vertrouwelijkheid. Zijn mensen zijn tot geheimhouding verplicht.
- Beveiliging. Hij treft passende technische en organisatorische maatregelen.
- Subverwerkers. Alleen met uw toestemming, en met dezelfde verplichtingen doorgelegd.
- Bijstand bij rechten van betrokkenen. Hij helpt u aan uw verplichtingen te voldoen.
- Bijstand bij beveiliging en datalekken. Inclusief hulp bij een gegevensbeschermingseffectbeoordeling.
- Teruggave of verwijdering. Na afloop van de dienstverlening, naar uw keuze.
- Informatie en audits. Hij stelt informatie beschikbaar om naleving aan te tonen en werkt mee aan controles.
Ontbreekt een van deze onderdelen, dan voldoet de overeenkomst niet. In de verwerkersovereenkomst gingen wij eerder in op de basis; dit artikel kijkt naar wat er in de praktijk misgaat.
Waar schieten standaardmodellen tekort?
Op vier punten, en ze hebben allemaal gemeen dat ze pas zichtbaar worden als er iets gebeurt.
De instructies zijn te vaag. “Verwerker verwerkt de gegevens overeenkomstig de opdracht” zegt niets. Beschrijf concreet welke gegevens, waarvoor en met welke beperkingen. Zonder die concreetheid kunt u later niet vaststellen of de verwerker buiten zijn instructie is gegaan.
De termijn bij datalekken ontbreekt of is te ruim. De wet zegt dat de verwerker u onverwijld informeert. Uw eigen meldtermijn bij de toezichthouder is 72 uur, en die gaat lopen zodra u ervan op de hoogte bent. Een verwerker die pas na vijf dagen meldt, maakt het u onmogelijk. Leg daarom een concrete termijn vast, bijvoorbeeld 24 uur.
Het auditrecht is uitgehold. Veel modellen beperken de controle tot het overleggen van een certificaat. Dat kan volstaan, maar leg dan vast welk certificaat, welke reikwijdte en wat er gebeurt als het vervalt.
De aansprakelijkheid is afgekapt. Vaak tot de jaarlijkse vergoeding. Dat is bij een boete of een claim van betrokkenen een fractie van de werkelijke schade, en het is het punt waarop onderhandelen het meeste oplevert.
Wanneer heeft u er juist geen nodig?
Even belangrijk als weten wanneer het moet, is weten wanneer het niet moet. Een verwerkersovereenkomst sluiten met een partij die geen verwerker is, levert een onjuiste voorstelling van zaken op en kan de verhoudingen bij een incident vertroebelen.
Geen verwerkersrelatie is er bij partijen die zelf bepalen hoe zij hun werk inrichten en daarvoor eigen wettelijke verplichtingen hebben. Uw accountant, uw advocaat, de bedrijfsarts en de arbodienst zijn zelfstandig verwerkingsverantwoordelijke. Datzelfde geldt voor een incassobureau dat op eigen titel vordert en voor een pensioenuitvoerder.
In die gevallen maakt u wel afspraken, maar dan over de rechtmatigheid van de verstrekking, over vertrouwelijkheid en over wat er bij een incident gebeurt. Welke rol wanneer geldt, staat in ons artikel over het bepalen van de rol.
Wat regelt u rond subverwerkers?
Dit is de keten die u niet ziet. Uw softwareleverancier gebruikt een hostingpartij, die weer een dienst voor back-ups afneemt, die op zijn beurt in een ander land staat.
Regel drie dingen. Een actuele lijst van subverwerkers, opvraagbaar of gepubliceerd. Een meldtermijn bij wijzigingen die lang genoeg is om te kunnen reageren, dus geen twee weken maar liefst dertig dagen. En een reëel bezwaarrecht, met de afspraak wat er gebeurt als u bezwaar maakt: kunt u opzeggen zonder kosten, of blijft u vastzitten aan een partij die u niet wilt?
Controleer ook waar de subverwerkers staan. Zit er een partij buiten de Europese Economische Ruimte bij, dan komt daar een extra laag verplichtingen bovenop.
Hoe houdt u het beheersbaar?
Koppel uw overeenkomsten aan uw waarom u een register van verwerkingen bijhoudt, zodat u per verwerking ziet welke partij betrokken is en of er een overeenkomst is. Dat overzicht is ook precies wat u nodig heeft bij een datalek bij een leverancier.
Zet daarnaast een eenvoudige triage op. Leveranciers die bijzondere gegevens of grote volumes verwerken beoordeelt u zelf grondig. Voor de rest volstaat een korte controle op de acht verplichte onderdelen en op de vier valkuilen hierboven.
Loopt u tegen een leverancier aan die niet wil bewegen, dan is dat een risicoafweging die op directieniveau thuishoort en niet bij inkoop. Wilt u uw bestaande stapel laten doorlichten, dan is een AVG audit en nulmeting daarvoor de aangewezen vorm, en voor individuele contracten is juridisch privacy advies sneller.
Veelgestelde vragen over de verwerkersovereenkomst
Wanneer is een verwerkersovereenkomst verplicht?
Zodra een andere partij persoonsgegevens voor u verwerkt en daarbij uw instructies volgt. Dat is bij vrijwel elke IT-leverancier het geval, van uw salarissysteem tot uw mailhosting. Bepaalt die partij zelf het doel van de verwerking, dan is zij geen verwerker en past een verwerkersovereenkomst juist niet.
Welke afspraken moeten er wettelijk in staan?
De AVG noemt acht onderdelen: het onderwerp en de duur, de aard en het doel, de soorten gegevens en betrokkenen, uw instructiebevoegdheid, geheimhouding, beveiligingsmaatregelen, de omgang met subverwerkers en de teruggave of verwijdering na afloop. Daarnaast hoort erin te staan hoe de verwerker u helpt bij verzoeken van betrokkenen en bij datalekken.
Is het model van mijn leverancier voldoende?
Dat is een startpunt en geen eindpunt. Modellen van leveranciers zijn opgesteld in hun belang, en missen vaak een concrete meldtermijn bij een datalek, een recht op controle en duidelijkheid over subverwerkers. Beoordeel het model dus op de acht verplichte onderdelen voordat u tekent.
Wat moet ik regelen over subverwerkers?
Leg vast dat de verwerker u vooraf informeert over een nieuwe subverwerker en dat u daar bezwaar tegen kunt maken. Zonder die afspraak groeit uw keten zonder dat u het merkt, terwijl u wel aanspreekbaar blijft. Dit is in de praktijk het onderdeel dat het vaakst ontbreekt.
Wie is aansprakelijk als de verwerker een fout maakt?
U blijft als verwerkingsverantwoordelijke aanspreekbaar tegenover betrokkenen en de Autoriteit Persoonsgegevens. Uitbesteden verplaatst het werk, niet de verantwoordelijkheid. In de overeenkomst regelt u onderling wie welke schade draagt, maar dat verandert uw positie tegenover de toezichthouder niet.
Wat als de leverancier onze voorwaarden niet accepteert?
Dan is dat een risicoafweging en geen contractdetail. Legt u zich erbij neer, leg dan vast welk risico u daarmee aanvaardt en wie dat besluit heeft genomen. Bij een grote of moeilijk vervangbare leverancier hoort dat besluit op directieniveau te liggen.
