Voorbeeld verwerkersovereenkomst

Een verwerkersovereenkomst is het schriftelijke contract tussen een organisatie en een partij die namens haar persoonsgegevens verwerkt, zoals een clouddienst of salarisadministrateur. Artikel 28 lid 3 AVG maakt zo’n contract verplicht en schrijft de inhoud voor: onder meer werken op instructie, geheimhouding, beveiliging, regels voor subverwerkers en teruggave of verwijdering van de gegevens aan het einde.

Wie zijn de partijen in een verwerkersovereenkomst?

Een verwerkersovereenkomst is van toepassing op twee partijen:

• Verwerkingsverantwoordelijke: de partij die, alleen of samen met anderen, het doel van en de middelen voor de verwerking vaststelt (artikel 4 punt 7 AVG). Bijvoorbeeld: een bedrijf dat klantgegevens verzamelt voor marketingdoeleinden.
• Verwerker: de partij die namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt (artikel 4 punt 8 AVG), zoals een IT-leverancier die de klantgegevens opslaat.

Omschrijf de rollen duidelijk, want beide partijen hebben eigen verplichtingen. Bepaalt de verwerker in strijd met de AVG zelf het doel en de middelen van een verwerking, dan geldt hij voor die verwerking als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG).

Wat moet een verwerkersovereenkomst bevatten?

De verplichte inhoud staat in artikel 28 lid 3 AVG. Leg vast wat het onderwerp en de duur van de verwerking zijn, wat de aard en het doel zijn, om welke soorten persoonsgegevens en categorieën betrokkenen het gaat en welke rechten en plichten de verwerkingsverantwoordelijke heeft. Daarnaast moet de overeenkomst bepalen dat de verwerker:

• persoonsgegevens alleen verwerkt op schriftelijke instructie van de verwerkingsverantwoordelijke, ook bij doorgifte naar een land buiten de EU, tenzij een wettelijke plicht hem daartoe verplicht (onder a);
• ervoor zorgt dat de personen die de gegevens verwerken tot geheimhouding verplicht zijn (onder b);
• de beveiligingsmaatregelen van artikel 32 AVG neemt (onder c);
• zich aan de regels voor het inschakelen van subverwerkers houdt (onder d);
• helpt bij het afhandelen van verzoeken van betrokkenen (onder e);
• helpt bij beveiliging, meldingen van datalekken en gegevensbeschermingseffectbeoordelingen (artikelen 32 tot en met 36 AVG, onder f);
• aan het einde van de dienstverlening, naar keuze van de verwerkingsverantwoordelijke, alle gegevens wist of teruggeeft en kopieën verwijdert, tenzij de wet bewaring verplicht (onder g);
• alle informatie verstrekt die nodig is om naleving aan te tonen en audits en inspecties mogelijk maakt (onder h).

De overeenkomst moet schriftelijk zijn; elektronisch mag ook (artikel 28 lid 9 AVG). Je mag gebruikmaken van standaardcontractbepalingen van de Europese Commissie of van een toezichthouder (artikel 28 lid 6 tot en met 8 AVG). De onderdelen hieronder werken deze verplichtingen uit.

1. Definities: Duidelijkheid Scheppen

Het is belangrijk dat een verwerkersovereenkomst duidelijke definities bevat. Bijvoorbeeld:

• Persoonsgegevens: Dit omvat alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon, zoals naam, e-mailadres of IP-adres (artikel 4 punt 1 AVG).
• Verwerking: Dit verwijst naar elke handeling die op persoonsgegevens kan worden uitgevoerd, zoals verzamelen, opslaan, wijzigen, raadplegen of vernietigen (artikel 4 punt 2 AVG).
• AVG: De Algemene Verordening Gegevensbescherming, die alle regels en voorschriften met betrekking tot de verwerking van persoonsgegevens in de EU regelt.

2. Doel en Reikwijdte van de Verwerking

In de verwerkersovereenkomst moet expliciet worden vermeld waarom de persoonsgegevens worden verwerkt en voor welk doel de verwerker de gegevens gebruikt. Voorbeelden hiervan zijn:

• Het doel van de verwerking: Bijvoorbeeld “gegevens worden verwerkt voor administratieve doeleinden” of “gegevens worden gebruikt voor het analyseren van klantgedrag”.
• Limieten van de verwerking: De verwerker mag de gegevens uitsluitend verwerken voor het doel dat in de overeenkomst is vastgelegd. Dit helpt bij het beperken van ongeautoriseerd gebruik van persoonsgegevens en zorgt ervoor dat wordt voldaan aan het beginsel van doelbinding (artikel 5 lid 1 onder b AVG).

3. Verplichtingen van de Verwerker

De verplichtingen van de verwerker moeten duidelijk worden omschreven. Dit omvat:

• Geen zeggenschap over doel en middelen: de verwerker beslist niet zelf over het doel en de middelen van de verwerking en verwerkt de gegevens alleen op instructie van de verwerkingsverantwoordelijke (artikel 28 lid 3 onder a en artikel 29 AVG).
• Beveiligingsmaatregelen: De verwerker moet passende technische en organisatorische maatregelen nemen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. Voorbeelden zijn versleuteling, toegangscontrole, en back-ups.
• Informatieplicht: vindt de verwerker dat een instructie in strijd is met de AVG of andere regels over gegevensbescherming, dan meldt hij dat onmiddellijk aan de verwerkingsverantwoordelijke (artikel 28 lid 3, tweede alinea, AVG).

Door deze verplichtingen vast te leggen, kunnen beide partijen hun verantwoordelijkheden beter begrijpen en naleven.

Hoe waarborg je de beveiliging van persoonsgegevens?

Een noodzakelijk onderdeel van een verwerkersovereenkomst is de omschrijving van de technische en organisatorische maatregelen die de verwerker neemt. Beide partijen moeten zorgen voor een beveiligingsniveau dat past bij het risico (artikel 32 lid 1 AVG):

• Technische maatregelen: Dit omvat de encryptie van persoonsgegevens, strikte toegangscontrole, en het regelmatig maken van back-ups van de gegevens om verlies te voorkomen.
• Organisatorische maatregelen: Denk hierbij aan het opstellen van interne protocollen, trainingen voor personeel over privacyregelgeving, en het toewijzen van een functionaris voor gegevensbescherming.

De AVG vraagt om een procedure om de doeltreffendheid van deze maatregelen regelmatig te testen, te beoordelen en te evalueren (artikel 32 lid 1 onder d AVG). Pas de maatregelen aan als dat nodig is.

Wanneer mag je gegevens aan derden verstrekken?

Het kan voorkomen dat persoonsgegevens worden verstrekt aan derden, bijvoorbeeld als de verwerker gebruikmaakt van een onderaannemer. In een verwerkersovereenkomst moet duidelijk worden geregeld onder welke voorwaarden dit mag gebeuren:

• Instructie van de verwerkingsverantwoordelijke: de verwerker verstrekt persoonsgegevens alleen aan derden op schriftelijke instructie van de verwerkingsverantwoordelijke, ook bij doorgifte naar een land buiten de EU, tenzij een wettelijke plicht hem daartoe verplicht (artikel 28 lid 3 onder a AVG).
• Documentatie van Verstrekking: Elke verstrekking van gegevens aan derden moet worden gedocumenteerd, zodat kan worden gecontroleerd wie de gegevens heeft ontvangen en voor welk doel.

Door duidelijke afspraken te maken over de verstrekking van gegevens, blijft de verwerkingsverantwoordelijke in controle over de persoonsgegevens en wordt het risico op misbruik beperkt.

Wanneer mag de verwerker subverwerkers inschakelen?

Een sub-verwerker is een derde partij die door de verwerker wordt ingeschakeld om specifieke verwerkingsactiviteiten uit te voeren. Het gebruik van sub-verwerkers brengt extra risico’s met zich mee, en daarom moet de verwerkingsverantwoordelijke hiermee akkoord gaan:

• Voorafgaande schriftelijke toestemming: de verwerker schakelt alleen een subverwerker in na voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bij algemene toestemming meldt de verwerker elke voorgenomen toevoeging of vervanging, zodat de verwerkingsverantwoordelijke bezwaar kan maken (artikel 28 lid 2 AVG).
• Dezelfde verplichtingen: de verwerker legt de subverwerker bij overeenkomst dezelfde verplichtingen op als in de verwerkersovereenkomst staan. Komt de subverwerker die niet na, dan blijft de verwerker tegenover de verwerkingsverantwoordelijke volledig aansprakelijk (artikel 28 lid 4 AVG).

Dit proces zorgt ervoor dat de verwerkingsverantwoordelijke volledig op de hoogte is van alle betrokken partijen en de naleving van de AVG kan waarborgen.

Welke rechten heeft de betrokkene?

Onder de AVG hebben betrokkenen verschillende rechten, zoals het recht op inzage, rectificatie en verwijdering van hun gegevens (artikelen 15 tot en met 17 AVG). Een goede verwerkersovereenkomst moet uitleggen hoe deze rechten worden gerespecteerd:

• Informatieplicht: De verwerker moet de verwerkingsverantwoordelijke onmiddellijk op de hoogte stellen als een betrokkene een verzoek doet met betrekking tot zijn of haar gegevens. Dit zorgt ervoor dat de verwerkingsverantwoordelijke tijdig kan reageren.
• Samenwerking: de verwerker helpt de verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen, voor zover mogelijk, bij het afhandelen van verzoeken van betrokkenen (artikel 28 lid 3 onder e AVG).

Duidelijke afspraken over de rechten van betrokkenen helpen ervoor te zorgen dat aan alle wettelijke verplichtingen wordt voldaan en dat de privacy van individuen wordt gerespecteerd.

Wanneer moet je een datalek melden?

Datalekken kunnen ernstige gevolgen hebben voor zowel de betrokkenen als de organisaties die verantwoordelijk zijn voor de verwerking van gegevens. De verwerkersovereenkomst moet daarom een heldere meldplicht bevatten:

• Snelle melding: de AVG verplicht de verwerker een datalek zonder onredelijke vertraging aan de verwerkingsverantwoordelijke te melden (artikel 33 lid 2 AVG). Een vaste termijn, bijvoorbeeld 24 uur, spreek je zelf af in de overeenkomst. De verwerkingsverantwoordelijke moet het lek zonder onredelijke vertraging en zo mogelijk binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 lid 1 AVG).
• Details van het incident: de verwerkingsverantwoordelijke moet in zijn melding onder meer de aard van het lek, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de genomen maatregelen beschrijven (artikel 33 lid 3 AVG). Spreek daarom af dat de verwerker die informatie aanlevert.

Door de meldplicht goed te regelen, kunnen beide partijen adequaat reageren op datalekken en worden de risico’s voor betrokkenen beperkt.

Welke geheimhouding leg je vast?

Het waarborgen van de vertrouwelijkheid van persoonsgegevens is een van de belangrijkste verplichtingen van de verwerker:

• Geheimhouding door medewerkers: de verwerker zorgt ervoor dat iedereen die de persoonsgegevens verwerkt, zich tot geheimhouding heeft verplicht of onder een wettelijke geheimhoudingsplicht valt (artikel 28 lid 3 onder b AVG). Een ondertekende geheimhoudingsverklaring is een gebruikelijke manier.
• Geheimhouding na Beëindiging: De geheimhoudingsplicht blijft ook na beëindiging van de verwerkersovereenkomst van kracht. Dit voorkomt dat gegevens worden gedeeld zonder toestemming van de verwerkingsverantwoordelijke.

Deze verplichting zorgt ervoor dat persoonsgegevens niet worden misbruikt of ongeoorloofd worden gedeeld.

Wat gebeurt er bij beëindiging met de gegevens?

Bij de beëindiging van de verwerkersovereenkomst moeten er duidelijke afspraken zijn over wat er met de persoonsgegevens gebeurt:

• Teruggave of verwijdering: de verwerkingsverantwoordelijke kiest of de verwerker de gegevens teruggeeft of wist; ook kopieën worden verwijderd (artikel 28 lid 3 onder g AVG). Spreek af dat de verwerker de verwijdering schriftelijk bevestigt.
• Wettelijke Beperkingen: Indien de wetgeving vernietiging van gegevens verbiedt, moet de verwerker de gegevens veilig blijven bewaren en uitsluitend gebruiken voor zover dit noodzakelijk is om te voldoen aan de wettelijke verplichtingen.

Duidelijke afspraken over de beëindiging van de overeenkomst helpen om ervoor te zorgen dat persoonsgegevens op een veilige manier worden afgehandeld.

Wie is aansprakelijk voor schade door een datalek?

Aansprakelijkheid is een belangrijk onderdeel van de verwerkersovereenkomst en bepaalt wie verantwoordelijk is voor schade in geval van niet-naleving:

• Aansprakelijkheid volgens de AVG: wie schade lijdt door een inbreuk op de AVG, heeft recht op vergoeding (artikel 82 lid 1 AVG). De verwerkingsverantwoordelijke is aansprakelijk voor schade door een verwerking die in strijd is met de AVG. De verwerker is alleen aansprakelijk als hij de specifiek voor verwerkers geldende plichten niet nakomt of buiten of tegen de rechtmatige instructies handelt (artikel 82 lid 2 AVG). Tegenover de betrokkene kan elk van hen voor de hele schade aansprakelijk zijn; daarna volgt verhaal naar ieders aandeel (artikel 82 lid 4 en 5 AVG). In de verwerkersovereenkomst kun je onderling een andere verdeling of een limiet afspreken.
• Vrijwaring: De verwerker moet de verwerkingsverantwoordelijke vrijwaren van eventuele claims van derden als gevolg van schendingen door de verwerker. Dit omvat ook juridische kosten die de verwerkingsverantwoordelijke kan maken in verband met dergelijke claims.

Daarnaast kan de toezichthouder een boete opleggen. Voor schending van onder meer artikel 28 AVG is dat maximaal € 10.000.000 of, voor een onderneming, maximaal 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat hoger is (artikel 83 lid 4 onder a AVG). Regel daarom ook wie de kosten draagt als een boete het gevolg is van een fout van de ander.

Welk recht is van toepassing?

Het is belangrijk om vast te leggen welk recht van toepassing is en hoe geschillen moeten worden opgelost:

• Toepasselijk recht: kies welk recht van toepassing is, bijvoorbeeld Nederlands recht. De AVG eist een overeenkomst of andere rechtshandeling naar het recht van de EU of van een lidstaat (artikel 28 lid 3 AVG).
• Geschillenbeslechting: Geschillen die voortvloeien uit de overeenkomst worden voorgelegd aan de bevoegde rechter in Nederland. Daarnaast kunnen partijen ervoor kiezen om eerst een mediator in te schakelen om te proberen het geschil op te lossen voordat ze naar de rechter stappen.

Duidelijke afspraken over geschillenbeslechting voorkomen onnodige juridische problemen en helpen bij het snel oplossen van conflicten.

Wat zijn de belangrijkste onderdelen van een verwerkersovereenkomst?

Een goede verwerkersovereenkomst is wezenlijk om ervoor te zorgen dat persoonsgegevens op een veilige en verantwoorde manier worden verwerkt, in overeenstemming met de AVG en andere relevante wetgeving. Door aandacht te besteden aan de rechten en verplichtingen van zowel de verwerkingsverantwoordelijke als de verwerker, kunnen beide partijen hun verantwoordelijkheden effectief naleven.

Belangrijke onderdelen van een verwerkersovereenkomst zijn onder meer de definities, de doelstellingen van de verwerking, de beveiligingsmaatregelen, afspraken over het inschakelen van sub-verwerkers, de meldplicht bij datalekken, geheimhouding, en aansprakelijkheid. Het opnemen van deze elementen zorgt ervoor dat de verwerking van persoonsgegevens goed is geregeld en dat de rechten van betrokkenen worden beschermd.

Veelgestelde vragen over de verwerkersovereenkomst

Is een verwerkersovereenkomst verplicht?

Ja. Laat je persoonsgegevens verwerken door een verwerker, dan moet die verwerking geregeld zijn in een overeenkomst of andere rechtshandeling met de inhoud van artikel 28 lid 3 AVG. De overeenkomst moet schriftelijk zijn; elektronisch mag ook (artikel 28 lid 9 AVG).

Wanneer is een partij verwerker en geen verwerkingsverantwoordelijke?

Een verwerker verwerkt persoonsgegevens namens een ander (artikel 4 punt 8 AVG). Wie het doel van en de middelen voor de verwerking vaststelt, is verwerkingsverantwoordelijke (artikel 4 punt 7 AVG). Bepaalt een verwerker in strijd met de AVG zelf doel en middelen, dan geldt hij voor die verwerking als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG).

Binnen welke termijn moet een datalek worden gemeld?

De verwerker meldt een datalek zonder onredelijke vertraging aan de verwerkingsverantwoordelijke (artikel 33 lid 2 AVG). De verwerkingsverantwoordelijke meldt het lek zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat hij ervan op de hoogte is aan de toezichthouder, tenzij het waarschijnlijk geen risico oplevert. Meldt hij later, dan moet hij de vertraging motiveren (artikel 33 lid 1 AVG).

Mag een verwerker zonder toestemming een subverwerker inschakelen?

Nee. Daarvoor is voorafgaande specifieke of algemene schriftelijke toestemming nodig. Bij algemene toestemming moet de verwerker voorgenomen wijzigingen melden, zodat de verwerkingsverantwoordelijke bezwaar kan maken (artikel 28 lid 2 AVG).

Wat riskeer je zonder goede verwerkersovereenkomst?

De toezichthouder kan voor schending van artikel 28 AVG een boete opleggen van maximaal € 10.000.000 of, voor een onderneming, 2% van de wereldwijde jaaromzet als dat hoger is (artikel 83 lid 4 onder a AVG). Daarnaast kunnen betrokkenen schadevergoeding vorderen (artikel 82 AVG).

Primaire bronnen

• Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming): artikel 4 punt 1, 2, 7 en 8, artikel 5 lid 1 onder b, artikelen 15 tot en met 17, 28, 29, 32, 33, 82 en 83 lid 4

Wanneer schakel je een advocaat in voor een verwerkersovereenkomst?

Heb je hulp nodig bij het opstellen van een verwerkersovereenkomst? MAAK Advocaten behartigt graag je belangen en onze advocaten hebben de kennis en ervaring die je zoekt. Door cliënten worden we aanbevolen vanwege onze daadkrachtige, to-the-point en praktische oplossingen. Voor al je vragen rondom een verwerkersovereenkomst staan we je dan ook graag bij met advies en juridische ondersteuning. Onze ervaren advocaat commercial law, Remko Roosjen, sta je graag als eerste te woord en hij bespreekt met je de zaak en de uitdagingen die voorliggen.