Question 1

Wanneer heb ik een verwerkersovereenkomst nodig?

Accepted Answer

Zodra je persoonsgegevens verwerkt in opdracht van iemand anders, zonder zelf te bepalen waarvoor. Een hostingpartij, een salarisadministrateur, een mailingdienst en een ICT-beheerder zijn verwerkers. Artikel 28 AVG maakt de overeenkomst dan verplicht, en de verantwoordelijkheid daarvoor ligt bij de opdrachtgever: die mag geen verwerker inschakelen zonder contract.

Question 2

Wat is het verschil tussen een verwerkingsverantwoordelijke en een verwerker?

Accepted Answer

De verwerkingsverantwoordelijke bepaalt waarvoor en hoe de gegevens worden gebruikt. De verwerker doet dat uitsluitend in diens opdracht en voor diens doel. Bepaal je zelf mee waarvoor de gegevens dienen, dan ben je geen verwerker maar een tweede verantwoordelijke, en dan hoort er een andere afspraak te liggen dan deze.

Question 3

Wat moet er verplicht in een verwerkersovereenkomst staan?

Accepted Answer

Artikel 28 lid 3 AVG somt het op: onderwerp en duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën betrokkenen, verwerken uitsluitend op schriftelijke instructie, geheimhouding van personeel, beveiligingsmaatregelen, voorwaarden voor subverwerkers, bijstand bij verzoeken van betrokkenen, bijstand bij datalekken en effectbeoordelingen, wissen of teruggeven na afloop, en het recht op audit. Alle elf staan in dit document.

Question 4

Binnen hoeveel uur moet een datalek gemeld worden?

Accepted Answer

De verwerkingsverantwoordelijke heeft 72 uur om een datalek bij de Autoriteit Persoonsgegevens te melden, gerekend vanaf het moment dat hij ervan weet. De verwerker moet hem daarom eerder inlichten — vierentwintig of achtenveertig uur is gebruikelijk. Spreek je 72 uur af, dan is de termijn van je klant al verstreken op het moment dat hij het hoort.

Question 5

Mag ik subverwerkers inschakelen?

Accepted Answer

Alleen met toestemming van de verwerkingsverantwoordelijke, en je moet ze dezelfde verplichtingen opleggen als jij hebt. Je blijft zelf aansprakelijk voor wat ze doen. In de praktijk noem je ze bij naam in een bijlage, en meld je een nieuwe of vervangende subverwerker vooraf zodat je klant bezwaar kan maken.

Question 6

Mogen de gegevens buiten Europa staan?

Accepted Answer

Alleen met een geldige grondslag uit hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie, standaardcontractbepalingen, bindende bedrijfsvoorschriften of een uitzondering uit artikel 49. Amerikaanse leveranciers zijn de meest voorkomende reden dat dit speelt, ook als je zelf in Nederland host. Kruis het in het formulier aan, dan komt de grondslag in het document.

Question 7

Kan ik mijn aansprakelijkheid als verwerker beperken?

Accepted Answer

Tegenover je opdrachtgever kun je onderling afspraken maken, bijvoorbeeld in je algemene voorwaarden. Tegenover de betrokkene niet: artikel 82 AVG geeft die een eigen recht op schadevergoeding, ook rechtstreeks tegen de verwerker. Een clausule die dat uitsluit staat er voor de vorm en houdt geen stand, dus dit document neemt er geen op.

Verwerkersovereenkomst maken

Tussen wie loopt de afspraak?

Veelgestelde vragen

Tussen wie loopt de afspraak?