Verwerkersovereenkomst

Een verwerkersovereenkomst is de schriftelijke afspraak tussen een organisatie die bepaalt wat er met persoonsgegevens gebeurt en een partij die dat voor haar uitvoert. De AVG verplicht die afspraak; zonder overeenkomst is de verwerking niet rechtmatig.

Wanneer u er een nodig heeft

Zodra een andere partij persoonsgegevens verwerkt in uw opdracht, en niet voor eigen doeleinden. Denk aan uw hostingpartij, uw salarisverwerker, uw CRM-leverancier of uw ICT-beheerder.

U heeft er géén nodig als de andere partij zelf bepaalt wat er met de gegevens gebeurt. Uw accountant en uw advocaat zijn zelf verantwoordelijke, geen verwerker. Dat onderscheid wordt vaak verkeerd gemaakt, met overeenkomsten die nergens over gaan als gevolg.

Wat erin moet staan

De AVG schrijft de onderwerpen voor. Deze horen er in elk geval in:

• het onderwerp, de duur, de aard en het doel van de verwerking
• welke soorten persoonsgegevens en welke categorieën betrokkenen
• dat de verwerker alleen handelt op uw instructie
• geheimhouding door iedereen die toegang heeft
• welke beveiligingsmaatregelen de verwerker treft
• of en hoe onderaannemers mogen worden ingeschakeld
• hulp bij verzoeken van betrokkenen, zoals inzage of verwijdering
• melding van datalekken aan u, met een termijn
• wat er bij beëindiging met de gegevens gebeurt
• dat u audits mag laten uitvoeren

De twee punten die er echt toe doen

De meeste overeenkomsten worden ondertekend zonder gelezen te worden. Als u er maar twee dingen uit haalt, laat het deze zijn.

De meldtermijn bij een datalek. Staat er "onverwijld", dan heeft u niets. U moet zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en valt u onder de Cyberbeveiligingswet dan zelfs binnen 24 uur bij het CSIRT. Spreek daarom een concrete termijn af, bij voorkeur 24 uur.

Onderaannemers. Mag uw leverancier zonder overleg partijen inschakelen? Dan kan uw keten veranderen zonder dat u het weet, terwijl u die keten volgens NIS2 moet beoordelen. Spreek af dat wijzigingen vooraf gemeld worden.

Verhouding tot de NIS2-keteneisen

De verwerkersovereenkomst regelt de privacykant, de keteneis uit NIS2 regelt de beveiligingskant. Die twee overlappen maar zijn niet hetzelfde: NIS2 gaat ook over leveranciers die helemaal geen persoonsgegevens verwerken, bijvoorbeeld een partij die uw netwerk beheert.

Praktisch: gebruik de verwerkersovereenkomst waar persoonsgegevens spelen, en een leveranciersverklaring voor de bredere beveiligingsbeoordeling. Vaak heeft u beide nodig bij dezelfde leverancier.

Wie stelt hem op

Meestal de verwerker, want die heeft een standaardversie. Dat is praktisch maar betekent wel dat de tekst in zijn voordeel is opgesteld. Controleer in elk geval de meldtermijn, de onderaannemers en de exitregeling; op die drie punten valt vrijwel altijd te onderhandelen.

Bent u zelf verwerker, dan is een goede standaardversie een verkoopargument. Klanten die hem niet hoeven te herschrijven, tekenen sneller.

Onderhoud

Een verwerkersovereenkomst is geen document dat u eenmalig tekent. Houd een overzicht bij van alle overeenkomsten met hun einddatum, en controleer jaarlijks of de beschreven verwerking nog klopt. Verlopen of achterhaalde overeenkomsten zijn een van de meest gevonden bevindingen bij audits.

Vier situaties waar de vraag vaak over gaat

De verwerkersovereenkomst van de VNG

Gemeenten werken vrijwel allemaal met het standaardmodel van de Vereniging van Nederlandse Gemeenten. Levert u aan een gemeente, dan krijgt u dat model voorgelegd en is er weinig ruimte om erover te onderhandelen: het is bedoeld om alle gemeenten dezelfde afspraken te laten maken. Lees hem wel goed op de meldtermijn bij datalekken en op de bepalingen over onderaannemers, want die gelden onverkort voor u. Het model staat openbaar op de site van de VNG.

AFAS en andere softwareleveranciers

Grote softwareleveranciers zoals AFAS hanteren hun eigen verwerkersovereenkomst, die u als klant accepteert bij het afsluiten van het contract. U sluit dus niet uw eigen model met hen, maar het hunne. Dat is toegestaan en gebruikelijk. Wat u wel doet: die overeenkomst opnemen in uw eigen overzicht van verwerkers, en controleren of de meldtermijn erin past bij uw eigen meldplicht van 72 uur, en bij 24 uur als u onder de Cyberbeveiligingswet valt.

Zzp'ers en freelancers

Huurt u een zzp'er in die met uw gegevens werkt op uw aanwijzing, bijvoorbeeld een externe beheerder, ontwikkelaar of administratief medewerker, dan is die zzp'er verwerker en heeft u een verwerkersovereenkomst nodig. Bepaalt de zzp'er zelf hoe en waarvoor hij gegevens gebruikt, zoals een accountant of jurist, dan is hij zelf verantwoordelijke en is er geen verwerkersovereenkomst nodig. Het onderscheid zit niet in de rechtsvorm maar in wie de zeggenschap heeft.

ZorgMail en veilige mail in de zorg

Zorgaanbieders die ZorgMail of een vergelijkbare dienst voor veilige e-mail gebruiken, sluiten daarvoor een verwerkersovereenkomst met de aanbieder van die dienst. Die levert doorgaans een eigen model dat aansluit op NEN 7510. Let er bij zorgtoepassingen extra op dat de overeenkomst iets zegt over logging van toegang en over de bewaartermijn, want dat zijn eisen die de zorg bovenop de AVG kent.

Wie is verwerker en wie is verwerkingsverantwoordelijke

Deze vraag komt voor alle andere. Wie het doel en de middelen van de verwerking bepaalt, is verwerkingsverantwoordelijke. Wie alleen uitvoert wat een ander opdraagt, is verwerker. Pas als die rolverdeling vaststaat, weet u of u een verwerkersovereenkomst nodig heeft en wie hem aanbiedt.

In de praktijk gaat het hier het vaakst mis bij partijen die zelf keuzes maken over de gegevens. Een accountant die op grond van zijn eigen beroepsregels bepaalt wat hij bewaart, is geen verwerker maar zelf verantwoordelijke. Hetzelfde geldt voor een arbodienst of een advocaat. Voor die relaties tekent u geen verwerkersovereenkomst, maar leggen beide partijen hun eigen verantwoordelijkheid vast.

De overeenkomst die u krijgt aangeboden

Meestal schrijft u hem niet zelf. De leverancier stuurt zijn standaardversie mee en de vraag is of u die tekent. Vier punten bepalen of dat verstandig is.

• Staat er een lijst van subverwerkers in? Zonder die lijst weet u niet wie er nog meer bij uw gegevens kan. Vraag hem op, ook als de overeenkomst er alleen naar verwijst.
• Mag de leverancier subverwerkers wisselen zonder u te informeren? Dat komt veel voor. Bedingen dat u vooraf bericht krijgt, is een redelijk verzoek.
• Binnen hoeveel tijd meldt de leverancier een incident? Als u zelf binnen 72 uur bij de toezichthouder moet zijn, is "zo spoedig mogelijk" te vaag. Vraag om een termijn in uren.
• Wat gebeurt er met de gegevens als het contract eindigt? Teruggeven of verwijderen, en binnen welke termijn. Dit wordt bijna altijd vergeten en is achteraf lastig te regelen.

Een kleine leverancier past zijn standaardtekst vaak gewoon aan. Bij een grote clouddienst lukt dat niet, en dan is de vraag of u het restrisico accepteert. Leg die afweging vast: een bewust genomen besluit is verdedigbaar, een niet gesteld vraagstuk niet.

Veelgestelde vragen

Heb ik een verwerkersovereenkomst nodig met mijn accountant?

Meestal niet. Een accountant bepaalt vanuit zijn eigen beroepsverplichtingen wat hij met gegevens doet en is daarmee zelf verantwoordelijke.

Wat als een leverancier weigert te tekenen?

Dan kunt u de verwerking niet rechtmatig uitbesteden. Leg vast dat u het gevraagd heeft en zoek een alternatief bij een kritieke leverancier.

Mag een verwerkersovereenkomst digitaal getekend worden?

Ja, de AVG eist schriftelijk en dat omvat elektronisch.

Geldt dit ook binnen mijn eigen concern?

Ja. Ook tussen zustervennootschappen is een verwerkersovereenkomst nodig als de ene voor de andere verwerkt.

Wie moet de verwerkersovereenkomst aanleveren?

Formeel is de verwerkingsverantwoordelijke ervoor verantwoordelijk dat er een overeenkomst is. In de praktijk levert de verwerker meestal zijn eigen model aan, omdat hij dezelfde afspraken met veel klanten maakt. U blijft dan wel degene die moet beoordelen of die tekst voldoet.

Heb ik er een nodig voor een medewerker of uitzendkracht?

Nee. Iemand die onder uw gezag werkt, is geen verwerker maar valt onder uw eigen organisatie. Een uitzendkracht die u aanstuurt, werkt onder uw verantwoordelijkheid. Het uitzendbureau zelf verwerkt wel gegevens van die kracht, maar dan als eigen verantwoordelijke.

Mag een verwerkersovereenkomst digitaal getekend worden?

Ja. De eis is dat de afspraken schriftelijk vastliggen, en een elektronische vorm telt daarbij mee. Bewaar wel wie namens welke partij heeft getekend en wanneer, want dat is het bewijs dat u nodig heeft.