Verwerkersovereenkomsten

De vraag

Een leverancier stuurt je zijn verwerkersovereenkomst met het verzoek te tekenen. Een klant vraagt jou de zijne te tekenen. Is die goed genoeg, en wat laat je beter aanpassen?

Artikel 28 AVG vraagt een bindende overeenkomst telkens als een verwerker persoonsgegevens verwerkt voor een verwerkingsverantwoordelijke. Daarin staan het onderwerp, de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen. De verwerker moet beloven om alleen op gedocumenteerde instructies te handelen, de vertrouwelijkheid te waarborgen, de beveiligingsmaatregelen van artikel 32 toe te passen, zich te houden aan de voorwaarden voor het inschakelen van subverwerkers, te helpen bij verzoeken van betrokkenen, datalekmeldingen en gegevensbeschermingseffectbeoordelingen, de gegevens achteraf te wissen of terug te geven en audits toe te laten.

De meeste overeenkomsten op de markt bevatten die bepalingen. De problemen zitten elders: een vage omschrijving van de verwerking, een beveiligingsbijlage die niets zegt, een lijst van subverwerkers die niemand bijhoudt, een doorgiftebepaling die niet meer klopt, of een verkeerd ingeschatte rol. Een verwerker die zelf doeleinden en middelen bepaalt, wordt verwerkingsverantwoordelijke (artikel 28, lid 10). Wie samen beslist, is gezamenlijke verwerkingsverantwoordelijke in de zin van artikel 26, en daar hoort een andere regeling bij.

Onze aanpak

We beginnen bij de relatie, niet bij het document. Wie bepaalt waarom de gegevens verwerkt worden? Welke gegevens, welke systemen, welke subverwerkers, welke landen? Daaruit volgt of je een overeenkomst tussen verantwoordelijke en verwerker nodig hebt, een regeling tussen gezamenlijke verantwoordelijken of een afspraak tussen twee verantwoordelijken.

Daarna stellen we op of kijken we na. Voor je eigen overeenkomsten gebruiken we onze Document Studio. Ze bouwt het document op uit onze clausulebibliotheek en levert een Word-bestand in huisstijl. Een overeenkomst van een leverancier lopen we clausule per clausule na, naast artikel 28, lid 3 en naast wat de leverancier echt doet. We stellen wijzigingen voor in volgorde van belang, zodat je onderhandelt over de punten die tellen.

Verlaten de gegevens de Europese Economische Ruimte? Dan checken we de doorgiftegrond: een adequaatheidsbesluit, de modelcontractbepalingen of een ander instrument, samen met de beoordeling die erbij hoort. Internationale doorgiften legt het kader uit. De overeenkomst moet ook bewaring en wissing zo regelen dat het in de praktijk werkt (zie hoe lang je persoonsgegevens mag bewaren).

Tot slot koppelen we de overeenkomst aan je registers. De verwerker en de overeenkomst komen in jouw register, zoals artikel 30 dat vraagt. Verlengingen en wijzigingen van subverwerkers volgen we op in de compliancekalender. Een jurist leest elke overeenkomst na voordat ze wordt verstuurd of getekend.

Typische aanleidingen zijn een nieuwe SaaS- of cloudleverancier, een grote klant die zijn eigen verwerkersovereenkomst als voorwaarde opstuurt, een leveranciersaudit die laat zien dat voor de helft van je verwerkers overeenkomsten ontbreken, een verhuizing van hosting naar een aanbieder buiten de EER, of de voorbereiding van een financieringsronde of verkoop waarbij de koper je documenten over gegevensbescherming opvraagt.

Wat je mag verwachten

• Een verwerkersovereenkomst met bijlagen die de echte verwerking, de beveiligingsmaatregelen, de subverwerkers en de doorgiften beschrijven.
• Bij overeenkomsten van leveranciers: een check per clausule met een geordende lijst van gevraagde wijzigingen en, waar nuttig, onderhandeling met de andere partij door ons.
• Een korte nota over de rollen van de partijen (verwerkingsverantwoordelijke, verwerker, gezamenlijke verantwoordelijken) en waarom.
• Documenten die we klaarzetten voor je eigen, terugkerend gebruik, zodat je team niet telkens van nul begint.
• De verwerker opgenomen in je register, met de overeenkomst erbij.

Er zijn grenzen. Een overeenkomst kan een verwerking zonder rechtsgrond niet repareren, en een clausule maakt een doorgifte niet rechtmatig als het recht van het bestemmingsland die onderuit haalt. Ligt het antwoord buiten het contract, dan zeggen we dat.

Een softwarebedrijf uit Leuven host klantgegevens bij een cloudaanbieder en gebruikt een ticketingtool van een Amerikaanse leverancier. Beide leveranciers stuurden standaardovereenkomsten. Bij onze check zagen we dat de cloudaanbieder subverwerkers pas achteraf meldde en geen auditrecht gaf, en dat de bijlage van de supportleverancier gegevenscategorieën opsomde die het bedrijf nooit doorstuurt. We stelden voor: voorafgaande kennisgeving met bezwaarrecht, een auditclausule beperkt tot verslagen en certificaten, een gecorrigeerde bijlage en terugval op modelcontractbepalingen. De leveranciers gingen akkoord met het grootste deel, en de definitieve versies kwamen met hun lijsten van subverwerkers in het register.

Volgende stap

Stuur ons de overeenkomst die je moet tekenen, of een lijst van de leveranciers die in jouw opdracht persoonsgegevens verwerken. We laten je weten wat moet veranderen en wat kan blijven.

Plan een gesprek of neem contact op.