Een verwerkersovereenkomst is een schriftelijk contract tussen een organisatie en een bedrijf dat in haar opdracht persoonsgegevens verwerkt, zoals een hostingbedrijf, een boekhoudpakket of een mailingdienst. De AVG verplicht zo'n overeenkomst in artikel 28, en volgens de Autoriteit Persoonsgegevens (AP) zijn beide partijen in overtreding als hij ontbreekt.
Jij bent de verwerkingsverantwoordelijke, want jij bepaalt waarom en hoe de gegevens worden verwerkt. De partij die het werk voor je doet, is de verwerker en mag de gegevens niet voor eigen doelen gebruiken. De AP noemt een clouddienst die persoonsgegevens opslaat als voorbeeld. Een hostingbedrijf dat de bestellingen van je webshop en de berichten uit je contactformulier bewaart, is dus voor die gegevens je verwerker.
In de overeenkomst staan het onderwerp, de duur, het doel en de soorten gegevens en betrokkenen, en dat de verwerker alleen op jouw schriftelijke instructie werkt. Verder leg je vast dat medewerkers geheimhouding hebben, dat de verwerker passende beveiliging treft, zoals versleuteling, en dat hij alleen met jouw toestemming subverwerkers inschakelt. De verwerker helpt je bij datalekken en bij verzoeken van betrokkenen, werkt mee aan audits en verwijdert of retourneert de gegevens als de dienst stopt.
Vaak biedt de verwerker een standaardovereenkomst aan. Dat mag, maar volgens de AP blijf jij verantwoordelijk, ook als de verwerker het contract heeft opgesteld. Lees dus na wat er over beveiliging, subverwerkers en datalekken staat, en herzie de afspraken als je meer diensten afneemt. Dit is algemene informatie en geen juridisch advies.
Geschiedenis
Onder de Wet bescherming persoonsgegevens heette de verwerker nog bewerker, en het contract een bewerkersovereenkomst (artikel 14 Wbp). De AVG maakte er in 2018 een verwerkersovereenkomst van en somde in artikel 28 precies op wat erin moet staan.
Op 4 juni 2021 publiceerde de Europese Commissie standaardcontractbepalingen die je in een verwerkersovereenkomst binnen de EER kunt opnemen.
Belangrijke mijlpalen:
- Tot 2018: de Wbp verplicht een bewerkersovereenkomst
- 25 mei 2018: artikel 28 AVG vervangt die door de verwerkersovereenkomst
- 4 juni 2021: Europese standaardcontractbepalingen voor verantwoordelijken en verwerkers
Bronnen
