Verwerkersovereenkomst
Zodra je een andere partij persoonsgegevens voor je laat verwerken, vraagt de AVG om een verwerkersovereenkomst. Dat klinkt als iets voor grote organisaties, maar het speelt voor vrijwel elke ondernemer. Gebruik je een clouddienst, een mailingtool, een hostingpartij of een boekhoudpakket, dan verwerkt een externe partij gegevens namens jou en dan hoort daar een verwerkersovereenkomst bij.
Liaise stelt verwerkersovereenkomsten op en beoordeelt de exemplaren die je van leveranciers krijgt voorgelegd. Zo weet je zeker dat de afspraken kloppen en dat je voldoet aan wat de wet van je vraagt.
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst is een contract tussen jou en de partij die persoonsgegevens voor je verwerkt. Als ondernemer bepaal jij waarom en hoe klant- of gebruikersgegevens worden verwerkt; jij bent de verwerkingsverantwoordelijke. De partij die die gegevens in jouw opdracht verwerkt, zoals je hostingprovider of softwareleverancier, is de verwerker. Met de overeenkomst leg je vast wat die verwerker met de gegevens mag doen, welke beveiligingsmaatregelen hij neemt en hoe hij handelt bij een incident. Zodra je gegevens door een externe partij laat verwerken schrijft de AVG zo’n overeenkomst voor.
Wanneer heb je een verwerkersovereenkomst nodig?
Je hebt een verwerkersovereenkomst nodig zodra een externe partij persoonsgegevens verwerkt waarvoor jij verantwoordelijk bent. In de praktijk gaat het vaker om situaties dan ondernemers zich realiseren. Denk aan de partij die je website host, de dienst waarmee je je nieuwsbrief verstuurt, je clouddienst voor opslag, je CRM- of boekhoudsysteem, of een freelancer die voor jou gegevens verwerkt.
Niet elke externe partij is een verwerker. Bepaalt een partij zelf wat ze met de gegevens doet, dan is zij een zelfstandige verwerkingsverantwoordelijke en gelden andere afspraken. Dat onderscheid is in de praktijk lang niet altijd helder. We helpen je bepalen met welke partijen je een verwerkersovereenkomst nodig hebt.
Wat hoort in een verwerkersovereenkomst te staan?
De AVG schrijft een aantal onderwerpen voor die in elke verwerkersovereenkomst geregeld moeten zijn:
- Het onderwerp, de duur, de aard en het doel van de verwerking, en om welke gegevens en betrokkenen het gaat.
- De beveiligingsmaatregelen die de verwerker moet nemen.
- De afspraak dat de verwerker de gegevens alleen op jouw instructie verwerkt en niet voor eigen doeleinden gebruikt.
- De voorwaarden waaronder de verwerker andere partijen mag inschakelen.
- De manier waarop de verwerker je helpt bij een datalek, bij verzoeken van betrokkenen en bij controles.
- Wat er met de gegevens gebeurt als de samenwerking eindigt: teruggeven of wissen.
Een overeenkomst die een van deze punten mist, voldoet niet aan de eisen. We zorgen dat alle verplichte onderdelen erin staan en dat ze aansluiten op hoe jij in de praktijk werkt.
De versie van je leverancier laten controleren
Veel leveranciers leggen je hun eigen standaard-verwerkersovereenkomst voor. Die is meestal opgesteld vanuit hun belang, niet het jouwe. Vaak zie je ruime bevoegdheden om subverwerkers in te schakelen, beperkte aansprakelijkheid bij een datalek of onduidelijke afspraken over wat er bij beëindiging met je gegevens gebeurt. Het loont om zo’n versie te laten beoordelen voordat je tekent, zeker als het om gevoelige gegevens of een belangrijke leverancier gaat. We bekijken de overeenkomst en geven aan waar je op moet letten of wat je beter laat aanpassen.
Wil je een verwerkersovereenkomst laten opstellen of een voorgelegde versie laten controleren? Neem contact op en je krijgt binnen één werkdag antwoord.
