Een verwerkersovereenkomst is verplicht zodra een andere partij persoonsgegevens voor u verwerkt. De AVG schrijft voor wat erin moet staan, en dat is aanzienlijk meer dan de meeste standaardmodellen bevatten.
Kort samengevat
- Verplicht bij elke verwerkersrelatie. Geen overeenkomst is een zelfstandige overtreding.
- Acht verplichte onderdelen. Van instructies tot teruggave na afloop.
- Het model van de leverancier is een startpunt. Geen eindpunt.
- Subverwerkers zijn het zwakke punt. Daar zit de keten die u niet ziet.
- U blijft aanspreekbaar. Uitbesteden is geen overdragen van verantwoordelijkheid.
Vrijwel elke organisatie heeft een stapel getekende overeenkomsten liggen. De vraag is zelden of ze er zijn en bijna altijd of iemand ze heeft gelezen voordat ze werden getekend.
Wat moet er in een verwerkersovereenkomst staan?
Artikel 28 van de AVG noemt eerst vier beschrijvende elementen: het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke.
Daarna volgen de acht verplichtingen die de verwerker op zich neemt.
- Alleen op instructie. Hij verwerkt uitsluitend op basis van uw gedocumenteerde instructies.
- Vertrouwelijkheid. Zijn mensen zijn tot geheimhouding verplicht.
- Beveiliging. Hij treft passende technische en organisatorische maatregelen.
- Subverwerkers. Alleen met uw toestemming, en met dezelfde verplichtingen doorgelegd.
- Bijstand bij rechten van betrokkenen. Hij helpt u aan uw verplichtingen te voldoen.
- Bijstand bij beveiliging en datalekken. Inclusief hulp bij een gegevensbeschermingseffectbeoordeling.
- Teruggave of verwijdering. Na afloop van de dienstverlening, naar uw keuze.
- Informatie en audits. Hij stelt informatie beschikbaar om naleving aan te tonen en werkt mee aan controles.
Ontbreekt een van deze onderdelen, dan voldoet de overeenkomst niet. In de verwerkersovereenkomst gingen wij eerder in op de basis; dit artikel kijkt naar wat er in de praktijk misgaat.
Waar schieten standaardmodellen tekort?
Op vier punten, en ze hebben allemaal gemeen dat ze pas zichtbaar worden als er iets gebeurt.
De instructies zijn te vaag. “Verwerker verwerkt de gegevens overeenkomstig de opdracht” zegt niets. Beschrijf concreet welke gegevens, waarvoor en met welke beperkingen. Zonder die concreetheid kunt u later niet vaststellen of de verwerker buiten zijn instructie is gegaan.
De termijn bij datalekken ontbreekt of is te ruim. De wet zegt dat de verwerker u onverwijld informeert. Uw eigen meldtermijn bij de toezichthouder is 72 uur, en die gaat lopen zodra u ervan op de hoogte bent. Een verwerker die pas na vijf dagen meldt, maakt het u onmogelijk. Leg daarom een concrete termijn vast, bijvoorbeeld 24 uur.
Het auditrecht is uitgehold. Veel modellen beperken de controle tot het overleggen van een certificaat. Dat kan volstaan, maar leg dan vast welk certificaat, welke reikwijdte en wat er gebeurt als het vervalt.
De aansprakelijkheid is afgekapt. Vaak tot de jaarlijkse vergoeding. Dat is bij een boete of een claim van betrokkenen een fractie van de werkelijke schade, en het is het punt waarop onderhandelen het meeste oplevert.
Wanneer heeft u er juist geen nodig?
Even belangrijk als weten wanneer het moet, is weten wanneer het niet moet. Een verwerkersovereenkomst sluiten met een partij die geen verwerker is, levert een onjuiste voorstelling van zaken op en kan de verhoudingen bij een incident vertroebelen.
Geen verwerkersrelatie is er bij partijen die zelf bepalen hoe zij hun werk inrichten en daarvoor eigen wettelijke verplichtingen hebben. Uw accountant, uw advocaat, de bedrijfsarts en de arbodienst zijn zelfstandig verwerkingsverantwoordelijke. Datzelfde geldt voor een incassobureau dat op eigen titel vordert en voor een pensioenuitvoerder.
In die gevallen maakt u wel afspraken, maar dan over de rechtmatigheid van de verstrekking, over vertrouwelijkheid en over wat er bij een incident gebeurt. Welke rol wanneer geldt, staat in ons artikel over het bepalen van de rol.
Wat regelt u rond subverwerkers?
Dit is de keten die u niet ziet. Uw softwareleverancier gebruikt een hostingpartij, die weer een dienst voor back-ups afneemt, die op zijn beurt in een ander land staat.
Regel drie dingen. Een actuele lijst van subverwerkers, opvraagbaar of gepubliceerd. Een meldtermijn bij wijzigingen die lang genoeg is om te kunnen reageren, dus geen twee weken maar liefst dertig dagen. En een reëel bezwaarrecht, met de afspraak wat er gebeurt als u bezwaar maakt: kunt u opzeggen zonder kosten, of blijft u vastzitten aan een partij die u niet wilt?
Controleer ook waar de subverwerkers staan. Zit er een partij buiten de Europese Economische Ruimte bij, dan komt daar een extra laag verplichtingen bovenop.
Hoe houdt u het beheersbaar?
Koppel uw overeenkomsten aan uw waarom u een register van verwerkingen bijhoudt, zodat u per verwerking ziet welke partij betrokken is en of er een overeenkomst is. Dat overzicht is ook precies wat u nodig heeft bij een datalek bij een leverancier.
Zet daarnaast een eenvoudige triage op. Leveranciers die bijzondere gegevens of grote volumes verwerken beoordeelt u zelf grondig. Voor de rest volstaat een korte controle op de acht verplichte onderdelen en op de vier valkuilen hierboven.
Loopt u tegen een leverancier aan die niet wil bewegen, dan is dat een risicoafweging die op directieniveau thuishoort en niet bij inkoop. Wilt u uw bestaande stapel laten doorlichten, dan is een AVG audit en nulmeting daarvoor de aangewezen vorm, en voor individuele contracten is juridisch privacy advies sneller.
