Verwerkersovereenkomst en de AVG

Verwerkingsverantwoordelijke en verwerker

Je bent verwerkingsverantwoordelijke als jij bepaalt welke persoonsgegevens je verwerkt, waarvoor en hoe. Een verwerker verwerkt die gegevens in jouw opdracht en gebruikt ze niet voor eigen doelen.

De Autoriteit Persoonsgegevens (AP) noemt als voorbeelden het uitbesteden van je boekhouding en een clouddienst die persoonsgegevens opslaat.

Wat eist de AVG?

Werk je met een verwerker, dan moeten jullie samen een verwerkersovereenkomst hebben (artikel 28, derde lid, AVG). Ontbreekt die, dan zijn jullie allebei in overtreding.

Vaak neemt de verantwoordelijke het initiatief, maar de overeenkomst mag ook van de verwerker komen. Je blijft wel zelf verantwoordelijk voor de verwerking.

Wat staat erin?

Volgens de AP leg je in de verwerkersovereenkomst onder meer vast:

• Een beschrijving: onderwerp, duur, aard en doel van de verwerking, welke persoonsgegevens en van wie.
• Dat de verwerker alleen werkt op jouw schriftelijke instructies en de gegevens niet voor eigen doelen gebruikt.
• Een geheimhoudingsplicht voor wie bij de verwerker met de gegevens werkt.
• Passende technische en organisatorische beveiliging.
• Dat de verwerker geen subverwerker inschakelt zonder jouw voorafgaande schriftelijke toestemming.