Wanneer is een verwerkersovereenkomst nodig?
Verwerkt een andere partij persoonsgegevens in uw opdracht, dan schrijft de AVG een verwerkersovereenkomst voor. Denk aan uw salarisverwerker, de leverancier van uw CRM, een hostingpartij of uw ICT-partner met toegang tot uw systemen. Bepaalt de andere partij zelf het doel van de verwerking, dan is zij geen verwerker en is een andere afspraak nodig.
Wat de AVG voorschrijft
De AVG noemt een aantal onderwerpen die in de overeenkomst moeten staan.
- Onderwerp, duur, aard en doel van de verwerking, en om welke gegevens en betrokkenen het gaat.
- De verwerker verwerkt alleen op schriftelijke instructie van de verantwoordelijke.
- Medewerkers van de verwerker zijn tot geheimhouding verplicht.
- De verwerker neemt passende beveiligingsmaatregelen.
- Subverwerkers worden alleen ingeschakeld met toestemming en onder dezelfde verplichtingen.
- De verwerker helpt bij verzoeken van betrokkenen, datalekken en effectbeoordelingen.
- Na afloop worden gegevens teruggegeven of verwijderd.
- De verwerker werkt mee aan audits en verstrekt de informatie die nodig is om naleving aan te tonen.
Let op de beveiligingsparagraaf
Een algemene zin dat de verwerker passende maatregelen neemt, zegt weinig. Vraag om een concrete beschrijving of een certificaat zoals ISO 27001, met een scope die de dienst omvat. Controleer ook de afspraken over het melden van datalekken: binnen welke termijn en met welke informatie. Die termijn moet kort genoeg zijn om zelf binnen 72 uur te kunnen melden.
Subverwerkers en doorgifte
Veel leveranciers gebruiken zelf weer clouddiensten. Vraag een overzicht van subverwerkers en waar de gegevens worden opgeslagen. Worden gegevens buiten de Europese Economische Ruimte verwerkt, dan zijn aanvullende waarborgen nodig. Spreek af dat u vooraf wordt geïnformeerd over nieuwe subverwerkers en bezwaar kunt maken.
Beheer uw overeenkomsten
Houd een overzicht bij van alle verwerkers, de bijbehorende overeenkomsten en de datum van de laatste beoordeling. Koppel dat aan uw verwerkingsregister en aan het leveranciersbeheer uit ISO 27001 of de Cyberbeveiligingswet. Beoordeel kritieke verwerkers periodiek, bijvoorbeeld aan de hand van een recent auditrapport of certificaat.