Een verwerkersovereenkomst legt vast hoe een verwerker persoonsgegevens namens je verwerkt, welke beveiliging geldt en wat er bij een datalek gebeurt; artikel 28 AVG maakt die overeenkomst verplicht. Organisaties die een clouddienst, salarisadministratie of ICT-beheerder inschakelen, hebben er dus altijd een nodig. Laat je verwerkersovereenkomst toetsen voordat je tekent.
Wie zijn de partijen in een verwerkersovereenkomst?
Een verwerkersovereenkomst is van toepassing op twee partijen:
- Verwerkingsverantwoordelijke: Dit is de partij die bepaalt welke gegevens worden verzameld, met welk doel en hoe ze worden verwerkt. Bijvoorbeeld: een bedrijf dat klantgegevens verzamelt voor marketingdoeleinden.
- Verwerker: Dit is de partij die de gegevens namens de verwerkingsverantwoordelijke verwerkt, zoals een IT-leverancier die de klantgegevens opslaat of verwerkt.
Het is belangrijk dat deze rollen duidelijk worden omschreven, omdat beide partijen specifieke verantwoordelijkheden hebben en er op deze manier geen misverstanden kunnen ontstaan over wie waarvoor verantwoordelijk is.
Wat moet een verwerkersovereenkomst bevatten?
1. Definities: Duidelijkheid Scheppen
Het is belangrijk dat een verwerkersovereenkomst duidelijke definities bevat. Bijvoorbeeld:
- Persoonsgegevens: Dit omvat alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon, zoals naam, e-mailadres of IP-adres.
- Verwerking: Dit verwijst naar elke handeling die op persoonsgegevens kan worden uitgevoerd, zoals verzamelen, opslaan, wijzigen, raadplegen, of vernietigen.
- AVG: De Algemene Verordening Gegevensbescherming, die alle regels en voorschriften met betrekking tot de verwerking van persoonsgegevens in de EU regelt.
2. Doel en Reikwijdte van de Verwerking
In de verwerkersovereenkomst moet expliciet worden vermeld waarom de persoonsgegevens worden verwerkt en voor welk doel de verwerker de gegevens gebruikt. Voorbeelden hiervan zijn:
- Het doel van de verwerking: Bijvoorbeeld “gegevens worden verwerkt voor administratieve doeleinden” of “gegevens worden gebruikt voor het analyseren van klantgedrag”.
- Limieten van de verwerking: De verwerker mag de gegevens uitsluitend verwerken voor het doel dat in de overeenkomst is vastgelegd. Dit helpt bij het beperken van ongeautoriseerd gebruik van persoonsgegevens en zorgt ervoor dat wordt voldaan aan het principe van doelbeperking zoals vereist door de AVG.
3. Verplichtingen van de Verwerker
De verplichtingen van de verwerker moeten duidelijk worden omschreven. Dit omvat:
- Geen Zeggenschap over Doel en Middelen: De verwerker mag geen beslissingen nemen over het doel en de middelen van de verwerking. De verwerker moet de instructies van de verwerkingsverantwoordelijke strikt opvolgen.
- Beveiligingsmaatregelen: De verwerker moet passende technische en organisatorische maatregelen nemen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. Voorbeelden zijn versleuteling, toegangscontrole, en back-ups.
- Informatieplicht: Indien een instructie van de verwerkingsverantwoordelijke volgens de verwerker niet in overeenstemming is met de AVG, moet de verwerker dit melden.
Door deze verplichtingen vast te leggen, kunnen beide partijen hun verantwoordelijkheden beter begrijpen en naleven.
Hoe waarborg je de beveiliging van persoonsgegevens?
Een noodzakelijk onderdeel van een verwerkersovereenkomst is de omschrijving van de technische en organisatorische maatregelen die de verwerker moet nemen om de gegevens te beschermen:
- Technische maatregelen: Dit omvat de encryptie van persoonsgegevens, strikte toegangscontrole, en het regelmatig maken van back-ups van de gegevens om verlies te voorkomen.
- Organisatorische maatregelen: Denk hierbij aan het opstellen van interne protocollen, trainingen voor personeel over privacyregelgeving, en het toewijzen van een functionaris voor gegevensbescherming.
De AVG vereist dat deze maatregelen regelmatig worden geëvalueerd en, indien nodig, worden aangepast om ervoor te zorgen dat ze blijven voldoen aan de nieuwste normen voor gegevensbescherming.
Wanneer mag je gegevens aan derden verstrekken?
Het kan voorkomen dat persoonsgegevens worden verstrekt aan derden, bijvoorbeeld als de verwerker gebruikmaakt van een onderaannemer. In een verwerkersovereenkomst moet duidelijk worden geregeld onder welke voorwaarden dit mag gebeuren:
- Toestemming van de Verwerkingsverantwoordelijke: De verwerker mag persoonsgegevens alleen verstrekken aan derden met schriftelijke toestemming van de verwerkingsverantwoordelijke.
- Documentatie van Verstrekking: Elke verstrekking van gegevens aan derden moet worden gedocumenteerd, zodat kan worden gecontroleerd wie de gegevens heeft ontvangen en voor welk doel.
Door duidelijke afspraken te maken over de verstrekking van gegevens, blijft de verwerkingsverantwoordelijke in controle over de persoonsgegevens en wordt het risico op misbruik beperkt.
Wanneer mag de verwerker subverwerkers inschakelen?
Een sub-verwerker is een derde partij die door de verwerker wordt ingeschakeld om specifieke verwerkingsactiviteiten uit te voeren. Het gebruik van sub-verwerkers brengt extra risico’s met zich mee, en daarom moet de verwerkingsverantwoordelijke hiermee akkoord gaan:
- Voorafgaande Schriftelijke Toestemming: De verwerker mag alleen een sub-verwerker inschakelen na voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke.
- Garantie van Naleving: De verwerker moet ervoor zorgen dat de sub-verwerker aan dezelfde verplichtingen voldoet als die in de verwerkersovereenkomst staan, zodat de bescherming van persoonsgegevens is gewaarborgd.
Dit proces zorgt ervoor dat de verwerkingsverantwoordelijke volledig op de hoogte is van alle betrokken partijen en de naleving van de AVG kan waarborgen.
Welke rechten heeft de betrokkene?
Onder de AVG hebben betrokkenen verschillende rechten, zoals het recht op inzage, rectificatie en verwijdering van hun gegevens. Een goede verwerkersovereenkomst moet uitleggen hoe deze rechten worden gerespecteerd:
- Informatieplicht: De verwerker moet de verwerkingsverantwoordelijke onmiddellijk op de hoogte stellen als een betrokkene een verzoek doet met betrekking tot zijn of haar gegevens. Dit zorgt ervoor dat de verwerkingsverantwoordelijke tijdig kan reageren.
- Samenwerking: De verwerker moet volledige medewerking verlenen bij het afhandelen van verzoeken van betrokkenen, zoals inzage- of verwijderingsverzoeken.
Duidelijke afspraken over de rechten van betrokkenen helpen ervoor te zorgen dat aan alle wettelijke verplichtingen wordt voldaan en dat de privacy van individuen wordt gerespecteerd.
Wanneer moet je een datalek melden?
Datalekken kunnen ernstige gevolgen hebben voor zowel de betrokkenen als de organisaties die verantwoordelijk zijn voor de verwerking van gegevens. De verwerkersovereenkomst moet daarom een heldere meldplicht bevatten:
- Onverwijlde Melding: De verwerker moet datalekken direct, en in ieder geval binnen 24 uur, melden aan de verwerkingsverantwoordelijke. Dit stelt de verwerkingsverantwoordelijke in staat om snel in te grijpen en, indien nodig, een melding te doen bij de Autoriteit Persoonsgegevens.
- Details van het Incident: De melding moet informatie bevatten over de aard van het lek, de betrokken gegevens, en de getroffen maatregelen. Dit helpt de verwerkingsverantwoordelijke om een goed geïnformeerde beslissing te nemen over vervolgstappen.
Door de meldplicht goed te regelen, kunnen beide partijen adequaat reageren op datalekken en worden de risico’s voor betrokkenen beperkt.
Welke geheimhouding leg je vast?
Het waarborgen van de vertrouwelijkheid van persoonsgegevens is een van de belangrijkste verplichtingen van de verwerker:
- Geheimhouding door Medewerkers: De verwerker moet ervoor zorgen dat iedereen die toegang heeft tot de persoonsgegevens, zoals werknemers en sub-verwerkers, een geheimhoudingsverklaring heeft ondertekend.
- Geheimhouding na Beëindiging: De geheimhoudingsplicht blijft ook na beëindiging van de verwerkersovereenkomst van kracht. Dit voorkomt dat gegevens worden gedeeld zonder toestemming van de verwerkingsverantwoordelijke.
Deze verplichting zorgt ervoor dat persoonsgegevens niet worden misbruikt of ongeoorloofd worden gedeeld.
Wat gebeurt er bij beëindiging met de gegevens?
Bij de beëindiging van de verwerkersovereenkomst moeten er duidelijke afspraken zijn over wat er met de persoonsgegevens gebeurt:
- Teruggave of Vernietiging: De verwerkingsverantwoordelijke kan kiezen of de gegevens moeten worden teruggegeven of vernietigd. Indien vernietiging wordt gekozen, moet de verwerker dit schriftelijk bevestigen.
- Wettelijke Beperkingen: Indien de wetgeving vernietiging van gegevens verbiedt, moet de verwerker de gegevens veilig blijven bewaren en uitsluitend gebruiken voor zover dit noodzakelijk is om te voldoen aan de wettelijke verplichtingen.
Duidelijke afspraken over de beëindiging van de overeenkomst helpen om ervoor te zorgen dat persoonsgegevens op een veilige manier worden afgehandeld.
Wie is aansprakelijk voor schade door een datalek?
Aansprakelijkheid is een belangrijk onderdeel van de verwerkersovereenkomst en bepaalt wie verantwoordelijk is voor schade in geval van niet-naleving:
- Verantwoordelijkheid van de Verwerker: De verwerker is aansprakelijk voor alle schade die voortvloeit uit het niet-naleven van de overeenkomst of het schenden van de AVG. Dit biedt de verwerkingsverantwoordelijke bescherming tegen fouten die door de verwerker worden gemaakt.
- Vrijwaring: De verwerker moet de verwerkingsverantwoordelijke vrijwaren van eventuele claims van derden als gevolg van schendingen door de verwerker. Dit omvat ook juridische kosten die de verwerkingsverantwoordelijke kan maken in verband met dergelijke claims.
Door aansprakelijkheid goed te regelen, kunnen beide partijen zich beter beschermen tegen risico’s en mogelijke financiële gevolgen.
Welk recht is van toepassing?
Het is belangrijk om vast te leggen welk recht van toepassing is en hoe geschillen moeten worden opgelost:
- Nederlands Recht: Op de verwerkersovereenkomst is Nederlands recht van toepassing. Dit betekent dat alle rechten en verplichtingen worden beoordeeld volgens de Nederlandse wet.
- Geschillenbeslechting: Geschillen die voortvloeien uit de overeenkomst worden voorgelegd aan de bevoegde rechter in Nederland. Daarnaast kunnen partijen ervoor kiezen om eerst een mediator in te schakelen om te proberen het geschil op te lossen voordat ze naar de rechter stappen.
Duidelijke afspraken over geschillenbeslechting voorkomen onnodige juridische problemen en helpen bij het snel oplossen van conflicten.
Conclusie
Een goede verwerkersovereenkomst is wezenlijk om ervoor te zorgen dat persoonsgegevens op een veilige en verantwoorde manier worden verwerkt, in overeenstemming met de AVG en andere relevante wetgeving. Door aandacht te besteden aan de rechten en verplichtingen van zowel de verwerkingsverantwoordelijke als de verwerker, kunnen beide partijen hun verantwoordelijkheden effectief naleven.
Belangrijke onderdelen van een verwerkersovereenkomst zijn onder meer de definities, de doelstellingen van de verwerking, de beveiligingsmaatregelen, afspraken over het inschakelen van sub-verwerkers, de meldplicht bij datalekken, geheimhouding, en aansprakelijkheid. Het opnemen van deze elementen zorgt ervoor dat de verwerking van persoonsgegevens goed is geregeld en dat de rechten van betrokkenen worden beschermd.
Wanneer schakel je een advocaat in voor een verwerkersovereenkomst?
Heb je hulp nodig bij het opstellen van een verwerkersovereenkomst? MAAK Advocaten behartigt graag je belangen en onze gespecialiseerde advocaten hebben de kennis en ervaring die je zoekt. Door cliënten worden we aanbevolen vanwege onze daadkrachtige, to-the-point en praktische oplossingen. Voor al je vragen rondom een verwerkersovereenkomst staan we je dan ook graag bij met advies en juridische ondersteuning. Onze ervaren advocaat commercial law, Remko Roosjen, sta je graag als eerste te woord en hij bespreekt met je de zaak en de uitdagingen die voorliggen.
