Verwerkersovereenkomst (DPA) – model

Presentatie

De verwerkersovereenkomst legt de verplichtingen vast tussen een verwerkingsverantwoordelijke (de organisatie die het doel en de middelen van een gegevensverwerking bepaalt) en een verwerker (de dienstverlener die namens en in opdracht van de verantwoordelijke persoonsgegevens verwerkt). Zij is verplicht op grond van art. 28 lid 3 AVG, dat bepaalt dat de verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling die partijen bindt en die de verwerker onder meer verplicht uitsluitend op basis van schriftelijke instructies van de verantwoordelijke te handelen. Verplichte inhoud (art. 28 lid 3 AVG): de overeenkomst moet het onderwerp en de duur van de verwerking, de aard en het doel ervan, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verantwoordelijke omschrijven. Daarnaast moet de verwerker onder meer: passende technische en organisatorische maatregelen treffen (art. 32 AVG), geheimhouding waarborgen bij zijn personeel, subverwerkers slechts inschakelen met voorafgaande toestemming van de verantwoordelijke, de verantwoordelijke bijstaan bij verzoeken van betrokkenen en bij de melding van datalekken (art. 33-34 AVG), en na afloop van de dienstverlening alle persoonsgegevens wissen of teruggeven. Subverwerkers: schakelt de verwerker een subverwerker in (bijvoorbeeld een cloudhostingprovider), dan moet deze subverwerker aan dezelfde verplichtingen worden onderworpen via een schriftelijke overeenkomst, en blijft de hoofdverwerker volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de nakoming door de subverwerker (art. 28 lid 4 AVG). Doorgifte buiten de EER: voor zover persoonsgegevens worden doorgegeven aan een land buiten de Europese Economische Ruimte zonder adequaatheidsbesluit van de Europese Commissie, is een passende waarborg vereist, doorgaans de Standard Contractual Clauses (SCC) van de Europese Commissie, eventueel aangevuld met een transfer impact assessment. Aansprakelijkheid en boetes: niet-naleving van art. 28 AVG kan leiden tot een boete van de Autoriteit Persoonsgegevens tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, en beide partijen kunnen jegens betrokkenen aansprakelijk zijn voor schade als gevolg van een inbreuk op de AVG (art. 82 AVG). Wanneer te gebruiken: telkens wanneer een organisatie een externe dienstverlener inschakelt die namens haar persoonsgegevens verwerkt, bijvoorbeeld een SaaS-leverancier, een salarisadministratiekantoor, of een marketingbureau met toegang tot een klantenbestand. Partijen: de verwerkingsverantwoordelijke en de verwerker. Essentiële bedingen: onderwerp, duur, aard en doel van de verwerking, categorieën van persoonsgegevens en betrokkenen, beveiligingsmaatregelen, subverwerking, bijstand bij datalekken en verzoeken van betrokkenen, en de regeling bij het einde van de dienstverlening. Veelgemaakte fouten: het ontbreken van een verwerkersovereenkomst terwijl er feitelijk wel sprake is van verwerking namens een derde, een te vage omschrijving van de beveiligingsmaatregelen, en het niet regelen van doorgifte buiten de EER wanneer de verwerker (sub)verwerkers buiten Europa inschakelt.