De verwerkersovereenkomst: wanneer heb je er een nodig?

Verantwoordelijke en verwerker

De AVG maakt onderscheid tussen twee rollen:

• De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Meestal ben jij dat, voor de gegevens van je klanten en medewerkers.
• De verwerker verwerkt persoonsgegevens in opdracht van de verantwoordelijke, zonder zelf het doel te bepalen. Denk aan een hostingpartij of een salarisverwerker.

Wanneer is een verwerkersovereenkomst verplicht?

Zodra een verwerker persoonsgegevens voor jou verwerkt, moet die verwerking geregeld zijn in een overeenkomst of een andere bindende rechtshandeling (art. 28 lid 3 AVG). Dat geldt ook als de verwerker een groot bedrijf is met standaardvoorwaarden. Vaak zit de verwerkersovereenkomst dan in die voorwaarden of kun je hem in je account accepteren.

Geen verwerkersovereenkomst nodig is er als de ander de gegevens voor eigen doelen verwerkt. Dan is die partij zelf verantwoordelijke. Bepalen jullie samen doel en middelen, dan zijn jullie gezamenlijk verantwoordelijk en moeten jullie onderling afspraken maken (art. 26 AVG).

Wat moet erin staan?

Art. 28 lid 3 AVG noemt wat de overeenkomst minimaal moet regelen. Onder meer:

• het onderwerp, de duur, de aard en het doel van de verwerking;
• welke soorten persoonsgegevens en welke categorieën betrokkenen het betreft;
• dat de verwerker alleen werkt op jouw gedocumenteerde instructies;
• dat de mensen die met de gegevens werken tot geheimhouding verplicht zijn;
• dat de verwerker passende beveiligingsmaatregelen neemt (art. 32 AVG);
• onder welke voorwaarden de verwerker een subverwerker mag inschakelen;
• dat de verwerker je helpt bij verzoeken van betrokkenen en bij je eigen verplichtingen, zoals het melden van datalekken;
• dat de gegevens aan het einde worden gewist of teruggegeven;
• dat de verwerker de informatie geeft die nodig is om naleving aan te tonen, en audits mogelijk maakt.

Checklist

• Maak een lijst van alle leveranciers die persoonsgegevens voor je verwerken.
• Bepaal per leverancier: verwerker, zelfstandig verantwoordelijke of gezamenlijk verantwoordelijk?
• Controleer of er met elke verwerker een verwerkersovereenkomst is.
• Kijk waar de gegevens worden opgeslagen, en of ze buiten de EU gaan.
• Verwerk jij zelf gegevens voor klanten? Dan ben jij hun verwerker en hoort er ook een overeenkomst te zijn.