Veelgestelde vragen
Wanneer heb je een verwerkersovereenkomst nodig en wat moet daar precies in staan?
De verwerkersovereenkomst is het document waar de meeste vragen over binnenkomen, en meestal pas op het moment dat een klant of een accountant ernaar vraagt. Wanneer heb je er een nodig, wat moet erin staan, wie stelt hem op en wat doe je met de leverancier die er niet aan wil? Hieronder de vragen uit de praktijk, kort en concreet beantwoord.
Wanneer heb ik een verwerkersovereenkomst nodig?
Zodra een andere partij in jouw opdracht persoonsgegevens verwerkt en daarbij zelf niet bepaalt waarom dat gebeurt. Dan is die partij verwerker en jij verwerkingsverantwoordelijke, en schrijft artikel 28 AVG een overeenkomst voor.
De vuistregel: kan de leverancier de gegevens alleen gebruiken voor wat jij hebt gevraagd, dan is het een verwerker. Bepaalt hij zelf mede het doel, dan is hij zelfstandig verantwoordelijk en past een verwerkersovereenkomst juist niet.
Bij welke partijen is het bijna altijd nodig?
- De leverancier van je boekhoudpakket, crm of dossiersysteem.
- De partij die je website host en de inzendingen van je contactformulier ontvangt.
- Je nieuwsbriefdienst.
- De salarisverwerker, en bij uitbesteding ook het administratiekantoor.
- De partij die je back-ups of je digitale archief bewaart.
- Een extern callcenter of een tekstschrijver die met jouw klantenbestand werkt.
Bij welke partijen juist niet?
Een accountant die zijn eigen wettelijke taak uitvoert, een advocaat met een eigen beroepsgeheim, een bank, een verzekeraar, de bedrijfsarts en de Belastingdienst zijn geen verwerkers. Zij bepalen zelf, of de wet bepaalt voor hen, wat er met de gegevens gebeurt. Een verwerkersovereenkomst met zulke partijen wekt de indruk dat jij hun verwerking aanstuurt, en dat klopt niet.
De schoonmaker die geen toegang tot systemen heeft, is ook geen verwerker. Toevallig zicht op een papier op een bureau is geen verwerking in opdracht.
Wat moet er precies in staan?
Artikel 28 AVG noemt de onderwerpen die geregeld moeten zijn. Loop deze punten na voordat je tekent.
| Onderdeel | Waar je op let |
|---|---|
| Onderwerp en duur | Loopt gelijk met het contract, eindigt niet eerder |
| Aard en doel | Concreet beschreven, niet als algemene dienstverlening |
| Soort gegevens | Welke categorieen, en of er bijzondere gegevens bij zitten |
| Categorieen betrokkenen | Klanten, medewerkers, patienten, leden |
| Instructie | De verwerker handelt alleen op jouw schriftelijke opdracht |
| Geheimhouding | Geldt ook voor het personeel van de verwerker |
| Beveiliging | Passende maatregelen, algemeen omschreven |
| Subverwerkers | Toestemming vooraf of een meldplicht met bezwaarrecht |
| Bijstand | Hulp bij verzoeken van betrokkenen en bij een beoordeling van risico |
| Datalekken | Melden aan jou zonder onnodige vertraging |
| Einde van de dienst | Teruggeven of wissen, jij kiest |
| Controle | Informatieplicht en de mogelijkheid van een audit |
Wie stelt de overeenkomst op?
Formeel is de verwerkingsverantwoordelijke degene die de instructie geeft, dus jij. In de praktijk levert de leverancier zijn eigen model, en dat is geen probleem zolang je het leest en toetst aan de punten hierboven.
Bij grote softwareleveranciers heeft onderhandelen weinig zin: hun model geldt voor al hun klanten. De toets die dan overblijft is even belangrijk. Klopt de beschrijving van de gegevens, staat de meldtermijn voor datalekken erin, en is duidelijk wat er bij beeindiging met je gegevens gebeurt?
Wat is het verschil met een geheimhoudingsverklaring?
Een geheimhoudingsverklaring zegt dat iemand niets doorvertelt. Een verwerkersovereenkomst regelt veel meer: op welke instructie er wordt gewerkt, welke beveiliging geldt, wat er met subverwerkers gebeurt, hoe datalekken worden gemeld en wat er aan het einde met de gegevens gebeurt.
De een vervangt de ander dus niet. Een medewerker tekent geheimhouding, een leverancier tekent een verwerkersovereenkomst.
Hoe hangt dit samen met mijn verwerkingsregister?
Het register en de verwerkersovereenkomsten horen bij elkaar. In je register staat per verwerking welke ontvangers er zijn; bij elke ontvanger die verwerker is, hoort een overeenkomst. Loopt die koppeling niet, dan ontdek je pas bij een incident dat een leverancier nooit iets heeft getekend.
Praktisch werkt het zo: noteer per registerregel de leverancier, de datum van de overeenkomst en de vindplaats van het document. Wie zijn register net opbouwt, doet er goed aan die kolommen meteen mee te nemen; hoe je dat doet staat in de gids over het stap voor stap opstellen van een verwerkingsregister.
Wat doe ik met subverwerkers?
Vrijwel elke leverancier huurt zelf partijen in: een hostingpartij, een back-updienst, een verzenddienst voor e-mail. Dat zijn subverwerkers, en de AVG staat ze toe mits jij vooraf toestemming hebt gegeven of ze op een lijst staan waar je bezwaar tegen kunt maken.
Vraag daarom naar de actuele subverwerkerslijst en bewaar die bij de overeenkomst. Verandert die lijst, dan hoor je dat te merken; dat is precies waarom de meldplicht bij wijziging in de overeenkomst hoort te staan.
Mogen mijn gegevens buiten de Europese Unie staan?
Dat mag onder voorwaarden, maar het is een onderwerp dat je bewust vastlegt in plaats van laat gebeuren. Vraag de leverancier waar de gegevens staan, waar de back-ups staan en of ondersteuning vanuit een ander land meekijkt. Dat laatste wordt vaak vergeten en is wel degelijk toegang.
Noteer het antwoord in je register bij de betreffende regel. Verwerk je bijzondere persoonsgegevens uit artikel 9 AVG, zoals gezondheidsgegevens, weeg dan zwaarder mee of je die keten wilt. In het geschetste voorbeeld van een fysiotherapiepraktijk is dat een van de bepalende keuzes.
De leverancier wil niet tekenen, wat nu?
Dat komt voor, meestal bij kleine partijen die het document niet kennen. Werk dan in deze volgorde.
- Vraag of ze een eigen model hebben; vaak bestaat het wel en heet het anders.
- Leg uit dat het geen extra aansprakelijkheid creeert maar vastlegt wat ze feitelijk al doen.
- Stuur een kort model toe en bied aan het samen door te nemen.
- Blijft het antwoord nee, noteer dan in je register dat de overeenkomst ontbreekt en waarom.
- Weeg of je de dienst wilt blijven afnemen, zeker bij gevoelige gegevens.
Die vierde stap is belangrijker dan hij lijkt. Een geregistreerd hiaat met een datum en een reden laat zien dat je het probleem kent en beheerst. Een leeg vakje laat zien dat je het niet hebt onderzocht.
Hoe vaak moet ik ze nakijken?
Neem de overeenkomsten mee in dezelfde ronde waarin je het register bijwerkt, twee keer per jaar. Kijk dan naar drie dingen: zijn er nieuwe leveranciers bij gekomen, is er een subverwerkerslijst gewijzigd, en zijn er contracten beeindigd waarbij de gegevens teruggehaald of gewist hadden moeten worden.
Dat laatste is het punt waarop de meeste organisaties steken laten vallen. Een opgezegd pakket verdwijnt uit de administratie, terwijl de gegevens er soms nog staan. Zet daarom bij elke beeindiging een taak klaar: bevestiging van verwijdering opvragen en bij de registerregel bewaren.
Wat vraagt de toezichthouder hierover?
De Autoriteit Persoonsgegevens kan je register opvragen, en daarin staan de ontvangers van je gegevens. Het is dan een logische vervolgvraag of er met die ontvangers een verwerkersovereenkomst is en hoe je toezicht houdt.
Zorg dat je in dat gesprek drie dingen kunt tonen: het register met de ontvangers, de bijbehorende overeenkomsten met datum, en de aantekening bij de gevallen waar iets ontbreekt. Wie zijn leveranciers netjes aan de registerregels heeft gekoppeld, kan daarvoor het verwerkingsregister van AVG Register Pro gebruiken, waarin overeenkomsten, data en vindplaatsen bij de regel staan. Wie deze antwoorden heeft opgeschreven, lees je op de pagina over de auteur van deze site.
Conclusie: koppel elke leverancier aan een regel in je register
Een verwerkersovereenkomst is nodig zodra een partij in jouw opdracht persoonsgegevens verwerkt, en artikel 28 AVG schrijft voor welke onderwerpen erin geregeld moeten zijn. Het model komt meestal van de leverancier; jouw werk is toetsen, bewaren en koppelen aan de juiste registerregel. Ontbreekt een overeenkomst, leg dat dan vast in plaats van het vakje leeg te laten.
AVG Register Pro houdt die koppeling voor je bij: per registerregel de ontvangers, de datum van de overeenkomst, de subverwerkerslijst en een herinnering wanneer het tijd is om na te kijken, met een export als pdf met datum en versienummer. Wil je weten of jouw leveranciersoverzicht compleet is, leg je situatie dan voor via het contactformulier en vermeld met hoeveel leveranciers je werkt.
