Kort antwoord. Een verwerkersovereenkomst is verplicht zodra een andere partij namens u persoonsgegevens verwerkt, zoals een SaaS-leverancier, een salarisadministrateur of een hostingpartij. Artikel 28 van de AVG schrijft voor wat er minimaal in moet staan. Voor ISO 27001 en ISO 27701 is de overeenkomst ook bewijs van leveranciersbeheer. De checklist hieronder helpt om een concept van een leverancier in een half uur te beoordelen.
Wanneer heeft u een verwerkersovereenkomst nodig?
De AVG onderscheidt de verwerkingsverantwoordelijke, die bepaalt waarom en hoe persoonsgegevens worden verwerkt, en de verwerker, die dat in opdracht doet. Gebruikt u een CRM in de cloud, een e-maildienst, een boekhoudpakket of een externe IT-beheerder die bij uw data kan, dan is die partij doorgaans verwerker. Dan is een overeenkomst (of een ander juridisch bindend document) verplicht. Let op: niet elke leverancier is verwerker. Een accountant of advocaat bepaalt vaak zelf hoe hij gegevens gebruikt en is dan zelf verantwoordelijke.
De minimale inhoud volgens artikel 28 AVG
Controleer of de overeenkomst deze punten regelt:
- Onderwerp, duur, aard en doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen.
- Alleen op schriftelijke instructie van u verwerken, ook bij doorgifte naar landen buiten de EER.
- Geheimhouding door iedereen die bij de gegevens kan.
- Passende beveiligingsmaatregelen volgens artikel 32, liefst concreet beschreven of met verwijzing naar een certificaat.
- Subverwerkers alleen met uw voorafgaande toestemming, met dezelfde verplichtingen doorgelegd.
- Bijstand bij verzoeken van betrokkenen, zoals inzage of verwijdering.
- Bijstand bij beveiliging, datalekken en DPIA’s, inclusief een termijn voor het melden van een datalek aan u.
- Verwijderen of teruggeven van gegevens aan het einde van de dienstverlening.
- Informatie en audits: de verwerker stelt alle informatie beschikbaar die nodig is om naleving aan te tonen en werkt mee aan audits.
De punten waar het in de praktijk misgaat
Meldtermijn voor datalekken. U heeft zelf 72 uur om een datalek bij de Autoriteit Persoonsgegevens te melden. Als uw leverancier “zonder onredelijke vertraging” meldt, kan dat te laat zijn. Vraag om een concrete termijn, bijvoorbeeld 24 of 48 uur na ontdekking.
Subverwerkers. Veel SaaS-leveranciers werken met een algemene toestemming en een online lijst van subverwerkers. Dat mag, maar zorg dat u bericht krijgt bij wijzigingen en bezwaar kunt maken. Kijk in de lijst waar de gegevens fysiek staan en of er doorgifte naar de Verenigde Staten is.
Doorgifte buiten de EER. Bij doorgifte naar een land zonder passend beschermingsniveau zijn modelcontractbepalingen (SCC’s) of een certificering onder het EU-US Data Privacy Framework nodig. Leg vast welke grondslag geldt.
Auditrecht. Een fysieke audit bij een grote cloudleverancier is onrealistisch. Een recent ISO 27001-certificaat met passende scope of een SOC 2-rapport is een redelijke vervanging, mits u het ook echt opvraagt en leest.
Aansprakelijkheid. Standaardvoorwaarden beperken aansprakelijkheid vaak tot het bedrag van één maand abonnement. Voor verwerkingen met gevoelige data is dat een bewuste afweging waard.
Koppeling met ISO 27001 en ISO 27701
ISO 27001 vraagt in maatregelen 5.19 tot en met 5.22 om afspraken met leveranciers en monitoring daarvan. ISO 27701 voegt specifieke eisen toe voor verantwoordelijken en verwerkers. Een auditor vraagt doorgaans een steekproef: toon voor drie kritieke leveranciers de overeenkomst, de beoordeling en het laatste moment van review. Houd daarom een verwerkersregister bij waarin per leverancier staat welke gegevens hij verwerkt, waar de overeenkomst staat en wanneer die is beoordeeld.
Snelle checklist voor een concept
- Staan alle verplichte onderdelen van artikel 28 erin?
- Is de meldtermijn voor datalekken concreet en korter dan 72 uur?
- Is de lijst van subverwerkers beschikbaar en krijgt u bericht bij wijzigingen?
- Is duidelijk waar de gegevens staan en welke grondslag geldt bij doorgifte?
- Zijn de beveiligingsmaatregelen beschreven of onderbouwd met een certificaat of rapport?
- Is geregeld wat er met de gegevens gebeurt bij beëindiging, en binnen welke termijn?
- Is de overeenkomst opgenomen in uw register, met een reviewdatum?
Verder lezen
Zie ook het template voor leveranciersbeoordeling, AVG en privacy en ISO 27701-certificering. Deze gids is educatief en geen juridisch advies; laat bij twijfel een jurist meelezen.