Inhoudsopgave
Zodra een dienstverlener persoonsgegevens voor jou verwerkt, is er een overeenkomst daarover nodig. Dat is vaker het geval dan de meeste bedrijven aannemen – en de overeenkomst regelt minder dan haar reputatie belooft
Artikel 28 AVG regelt een eenvoudige constellatie: jij beslist waarvoor en waarmee gegevens worden verwerkt, iemand anders voert dat voor jou uit. Jij bent dan verwerkingsverantwoordelijke (artikel 4 punt 7), de ander is verwerker (artikel 4 punt 8). Voor die verhouding verlangt de verordening een overeenkomst met een vastgelegde inhoud – in het Nederlands doorgaans de verwerkersovereenkomst.
Die overeenkomst is geen formulier dat je opbergt en vergeet, maar ook geen project. Bij serieuze aanbieders ligt hij kant-en-klaar en is hij in tien minuten gesloten. Het werk zit ergens anders: weten met wie je hem überhaupt nodig hebt. Dit artikel beantwoordt dat op volgorde en blijft daarbij een oriëntatie – de indeling van een concrete dienstverlener kan in geval van twijfel alleen de toezichthouder of een jurist definitief beoordelen.
1. Wie verwerkt hier eigenlijk voor wie?
Het onderscheid is de hele vraag. Verwerkingsverantwoordelijke is wie het doel van en de middelen voor de verwerking vaststelt. Verwerker is wie persoonsgegevens ten behoeve van de verantwoordelijke verwerkt – dus op instructie en zonder eigen doeleinden.
De toetszin daarbij is kort: wie bepaalt waarvoor de gegevens er zijn? Bepaal jij het en voert de ander het uit, dan is het verwerking in opdracht. Streeft de ander eigen, wettelijk of beroepsmatig voorgeschreven doelen na, dan is hij zelf verantwoordelijke – dan zijn er twee verantwoordelijken na elkaar en geen verwerkersovereenkomst.
Artikel 28 lid 10 zet daarachter een duidelijke grens: een verwerker die in strijd met de verordening zelf het doel en de middelen bepaalt, geldt voor die verwerking als verwerkingsverantwoordelijke. Wie jouw klantgegevens voor eigen analyses gebruikt, is dus geen verwerker meer, wat er ook in het contract staat. Dat is ook de reden waarom een verwerkersovereenkomst niet het papier is dat de rol vastlegt – ze beschrijft die alleen.
Niet elke doorgifte is verwerking in opdracht. Geef je gegevens aan iemand die ze in eigen verantwoordelijkheid nodig heeft, dan is dat een verstrekking met een eigen grondslag – en daarvoor heb je een grondslag uit artikel 6 lid 1 nodig, geen overeenkomst uit artikel 28.
Een verwerkersovereenkomst maakt een verwerking niet rechtmatig. Ze regelt alleen wie wat mag.
2. Waar in een klein bedrijf overal verwerking schuilt
De lijst is langer dan hij aanvoelt, omdat de meeste posten geen "gegevensverwerking" heten.
| Dienstverlener | Indeling |
|---|---|
| Afspraken-, kassa- of branchesoftware in de cloud | verwerker |
| Verzending van nieuwsbrieven en sms | verwerker |
| Webhosting en e-mailpostvakken | verwerker |
| Externe ICT-beheerder met toegang tot systemen | verwerker |
| Externe salaris- of financiële administratie als pure uitvoerder | verwerker |
| Archiefvernietiging door een gespecialiseerd bedrijf | verwerker |
| Accountants- of boekhoudkantoor binnen zijn eigen beroepsregels | omstreden, meestal eigen verantwoordelijke |
| Bank, verzekeraar, overheidsinstantie | eigen verantwoordelijke |
De voorlaatste regel is degene waarover werkelijk wordt gediscussieerd. Waar een kantoor eigen beroepsplichten vervult en niet op instructie werkt, wordt het overwegend als eigen verantwoordelijke ingedeeld; doet dezelfde dienstverlener daarnaast pure uitvoeringstaken, dan kan de indeling anders uitvallen. De opvattingen van de toezichthouders lopen hier per lidstaat uiteen – vraag de dienstverlener hoe hij zichzelf ziet, en laat het antwoord op schrift zetten.
Bij software is de zaak daarentegen onomstreden. Wie jouw klantgegevens voor je opslaat, is verwerker en hoort een overeenkomst klaar te hebben. Ontbreekt hij, of is hij alleen op verzoek en na enkele weken te krijgen, dan is dat een bevinding over de aanbieder. De salonsoftware stelt hem bijvoorbeeld beschikbaar zoals elke aanbieder van dit type – de vraag ernaar hoort bij de vijf vragen die je vóór de eerste demo beantwoordt, niet in de week na het tekenen.
3. Wat erin moet staan
Vóór de overeenkomst staat een plicht die makkelijk wordt overgelezen. Artikel 28 lid 1 verlangt dat je uitsluitend werkt met verwerkers die afdoende garanties bieden – dus dat je een selectiebeslissing neemt voordat je tekent. Een overeenkomst met een ongeschikte dienstverlener heelt diens ongeschiktheid niet.
Artikel 28 lid 3 noemt eerst de kerngegevens: het onderwerp en de duur, de aard en het doel van de verwerking, het soort gegevens, de categorieën betrokkenen en de rechten en plichten van de verantwoordelijke. Daarna volgen acht punten die de overeenkomst moet bevatten:
- verwerking uitsluitend op gedocumenteerde instructie, ook bij doorgifte naar een derde land;
- een geheimhoudingsplicht voor de ingezette personen;
- het treffen van de beveiligingsmaatregelen uit artikel 32;
- het naleven van de voorwaarden voor het inschakelen van andere verwerkers;
- bijstand bij verzoeken van betrokkenen, dus bij inzage, rectificatie en wissing;
- bijstand bij beveiliging, het melden van inbreuken en de effectbeoordeling (artikel 32 tot en met 36);
- na afloop van de dienst alle gegevens wissen of teruggeven, inclusief bestaande kopieën;
- informatie beschikbaar stellen en audits mogelijk maken.
De punten vijf en zeven zijn die je in het dagelijkse werk echt nodig hebt – de ene als iemand inzage vraagt, de andere bij een leverancierswissel. Lees ze vóór het tekenen en niet op de dag dat je ze nodig hebt.
Over de vorm: de overeenkomst moet volgens artikel 28 lid 9 schriftelijk worden opgesteld, en elektronisch volstaat uitdrukkelijk. Ze kan geheel of gedeeltelijk berusten op standaardbepalingen die de Commissie of een toezichthouder heeft vastgesteld (lid 6 tot en met 8) – daarom lijken de overeenkomsten van verschillende aanbieders zo sterk op elkaar.
Gerelateerde artikelen
4. Wat de overeenkomst niet regelt
Hier ligt het meest voorkomende misverstand. Een verwerkersovereenkomst maakt de verwerking niet rechtmatig. Ze regelt uitsluitend de verhouding tussen jou en de dienstverlener.
De rechtmatigheid komt nog steeds alleen uit artikel 6 lid 1 – en wel bij jou. Wie adressen zonder grondslag verzamelt en ze daarna via een dienstverlener met een onberispelijke overeenkomst verstuurt, heeft een nette overeenkomst over een onrechtmatige verwerking. De overeenkomst verschuift de verantwoordelijkheid niet: jij blijft tegenover de betrokkenen de verantwoordelijke.
Drie andere dingen regelt ze evenmin:
- Ze vervangt het informeren van de betrokkenen niet. Dat je een dienstverlener inschakelt, hoort in je privacyverklaring, als ontvanger of categorie van ontvangers.
- Ze vervangt je selectiebeslissing niet – zie artikel 28 lid 1.
- Ze vervangt je eigen register niet. Artikel 30 verlangt het van jou als verantwoordelijke; de verwerker voert op grond van lid 2 zijn eigen register, en dat vervangt het jouwe niet.
Wat ze wel degelijk oplevert: ze geeft je een afdwingbaar recht op medewerking. Vraagt morgen iemand inzage en liggen de gegevens bij de aanbieder, dan is de bijstandsplicht uit lid 3 sub e jouw hefboom – en niet de hoop op goede samenwerking.
5. Subverwerkers en de vraag naar de plaats
Vrijwel elke aanbieder schakelt zelf dienstverleners in: datacentrum, back-up, verzendweg, supportgereedschap. Artikel 28 lid 2 verlangt daarvoor jouw voorafgaande toestemming – hetzij specifiek, hetzij algemeen. Bij een algemene toestemming moet de aanbieder je over elke voorgenomen verandering informeren, zodat je bezwaar kunt maken.
Praktisch betekent dat: er is een lijst, en die lijst verandert. Kijk één keer na waar hij staat en hoe wijzigingen worden aangekondigd. Volgens artikel 28 lid 4 moeten aan andere verwerkers dezelfde verplichtingen worden opgelegd, en de eerste verwerker blijft tegenover jou aansprakelijk voor de naleving daarvan – de keten breekt dus niet af.
De tweede vraag is die naar de plaats. Zodra gegevens buiten de EU en de EER worden verwerkt, gelden aanvullend de artikelen 44 en volgende AVG. Een doorgifte heeft dan een eigen grondslag nodig: een adequaatheidsbesluit van de Commissie voor het betreffende land, of passende waarborgen volgens artikel 46, in de praktijk meestal standaardbepalingen inzake gegevensbescherming.
Voor jou is dat geen juridisch onderzoek maar één vraag aan de aanbieder, en die luidt: waar liggen de gegevens, en wie kan er vanaf welke plek bij? Ook een supporttoegang vanuit een derde land is een doorgifte. Het antwoord hoort in je dossier – het is meteen een van de gegevens die artikel 30 lid 1 voor het register verlangt.
Loop de facturen van één jaar door en markeer elke dienstverlener die daarbij met klantgegevens in aanraking komt. Voor elk daarvan geldt een van twee antwoorden: eigen verantwoordelijke – dan heb je een grondslag voor de verstrekking nodig – of verwerker, dan heb je de overeenkomst nodig. Die lijst is in een uur klaar en legt bijna altijd twee tot drie posten bloot waar niemand aan had gedacht. Wat er bij het einde van het contract met de gegevens gebeurt, hoort in het verwijderbeleid; welke gegevens er überhaupt naar buiten mogen, klaart Welke klantgegevens je mag bewaren.
Klantgegevens op één plek, niet in vier lijsten
Met alles in één systeem beantwoord je een inzageverzoek in minuten en verwijder je wat weg moet. Gehost in Duitsland.
