Verwerkersovereenkomst: wanneer heb je er een nodig?
Je krijgt een verwerkersovereenkomst toegestuurd door een leverancier. Of je leest ergens dat je er een moet hebben. En dan begint het zoeken: met wie eigenlijk, en waarom?
De regel is korter dan je denkt.
De toets in één zin
Je hebt een verwerkersovereenkomst nodig als een andere partij persoonsgegevens verwerkt in jouw opdracht en voor jouw doel.
Twee woorden doen het werk: in jouw opdracht. De ander bepaalt niet zelf waarvoor die gegevens worden gebruikt; jij bepaalt dat. De ander voert uit.
Bepaalt de andere partij het doel wél zelf, dan is die geen verwerker maar een zelfstandige verwerkingsverantwoordelijke, en dan heb je geen verwerkersovereenkomst nodig. Mogelijk wel iets anders, maar niet dit.
Waar je ze meestal wel nodig hebt
- Je hostingpartij, als er persoonsgegevens op die servers staan.
- Je e-mail- en samenwerkingsomgeving.
- Je klantsysteem of CRM.
- Een AI-tool waar je gegevens van klanten of medewerkers in stopt. Dit is de categorie die het snelst groeit en die het vaakst wordt vergeten.
- Een partij die voor jou een mailing verstuurt.
- Een externe partij die je systemen beheert.
De vergissing die ik het vaakst zie
Niet dat de verwerkersovereenkomst ontbreekt. Wel dat er ongelezen getekend wordt.
De verordening schrijft voor wat er in zo'n overeenkomst moet staan: het onderwerp en de duur, de aard en het doel, de soorten gegevens en om wie het gaat, en de verplichtingen over beveiliging, subverwerkers, bijstand bij verzoeken van betrokkenen, en wat er aan het einde met de gegevens gebeurt.
De praktijk is dat een leverancier zijn eigen model stuurt waarin die punten staan, maar dan zo ingevuld dat het hem het beste uitkomt. Let vooral op:
Subverwerkers
Mag de leverancier zelf partijen inschakelen zonder je te vragen? Krijg je er bericht van, en kun je bezwaar maken?
Doorgifte buiten de Europese Economische Ruimte
Staat er waar de gegevens staan, en wat er geldt als ze de EER verlaten?
Wat er aan het einde gebeurt
Terugkrijgen of verwijderen, en binnen welke termijn?
En als de verwerker de jouwe moet zijn
Verwerk jij gegevens voor een ander, dan komt het van de andere kant. Dan is het aan jou om te kunnen aantonen dat je doet wat er is afgesproken. Dat is minder papierwerk dan het lijkt, mits je het één keer goed vastlegt.
Waar ik zou beginnen
Maak een lijst van alle partijen die op enige manier bij jouw persoonsgegevens kunnen. Zet erbij of ze het doel zelf bepalen of dat ze het in jouw opdracht doen.
Die lijst vertelt je meteen met wie je iets moet regelen. En hij is ook nodig voor je privacyverklaring, want daar moet je je verwerkers benoemen.