Verwerkersovereenkomst nodig? Wat, waarom en wanneer moet dit

Wat is een verwerkersovereenkomst?

De verwerkersovereenkomst heeft sinds de werking van de Wet AVG (Algemene Verordening Gegevensbescherming) in mei 2018 de plaats ingenomen van de bewerkersovereenkomst. Hoewel de verwerkersovereenkomst al geruime tijd is ingevoerd, is het voor veel bedrijven nog onbekend. De AVG legt op dat je op ieder moment aantoonbaar kunt maken dat je de privacywet naleeft. Dit geldt ook voor bedrijven die de verwerking van persoonsgegevens heeft uitbesteed aan een derde partij.

Wanneer een verwerkersovereenkomst?

Als een bedrijf de verwerking van persoonsgegevens uitbesteedt aan een externe partij, dan zegt dat privacywetgeving dat het bedrijf verplicht is schriftelijk afspraken te maken over de verwerking van deze gegevens. De schriftelijke afspraken worden vastgelegd in de verwerkersovereenkomst. De afspraken tussen de partijen mogen ook worden verwerkt in de algemene voorwaarden of hoofdovereenkomst.

Lees ook: "Zelfstandigenaftrek voor zelfstandigen sneller verlaagd vanaf 2021"

Waarom een verwerkersovereenkomst?

Voor de verwerkersovereenkomst hoeft dus niet altijd een separaat document te worden opgesteld. Echter is het wel noodzakelijk de verwerkersovereenkomst hoe dan ook gedocumenteerd te hebben volgens de Wet AVG. Bij het uitblijven van de schriftelijke vastlegging, riskeert een bedrijf een boete van 10 miljoen euro of 2 procent van de wereldwijde omzet.

Conform de wet AVG moet er een verwerkersovereenkomst zijn als een bedrijf:

Persoonsgegevens voor iemand verwerkt;
Persoonsgegevens aan derden ter beschikking stelt.

Lees ook: "Versobering zelfstandigenaftrek ZZP'ers, ook MKB niet ongeschonden"

Verwerkersovereenkomst verwerkingsverantwoordelijke

Wanneer er wordt gekeken of een verwerkersovereenkomst nodig is, wordt er gekeken naar de rolverdeling tussen de partijen. Een bedrijf is verwerkingsverantwoordelijk als het bedrijf het doel en de middelen voor de gegevensverwerking vaststelt. Dat wil zeggen, het bedrijf dat beslist waarom en hoe de persoonsgegevens worden verwerkt, is verwerkingsverantwoordelijke.

Een bedrijf is bijvoorbeeld verwerkingsverantwoordelijke van de persoonsgegevens van de medewerkers. Dit geldt ook voor een winkel die persoonsgegevens van de klanten verzameld en een gemeente die persoonsgegevens van inwoners verwerkt.

Verwerkersovereenkomst verwerker

De verwerker ‘verwerkt persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke’. Het kan lastig zijn om te bepalen wie de verwerker is. Een voorbeeld van een verwerker is een telemarketingbedrijf. Een telemarketingbedrijf voert de dienst uit voor een organisatie ten behoeve van de marketing. Een telemarketingbedrijf gebruikt persoonsgegevens, met als doel dat door een opdrachtgever is bepaald. De opdrachtgever is de verwerkingsverantwoordelijke.

Er wordt altijd gekeken naar de mate van zeggenschap. Is de zeggenschap van een bedrijf hoger dan dat van een ander bedrijf, dan is het bedrijf met de meeste zeggenschap de verwerkingsverantwoordelijke. Bijvoorbeeld bij een bedrijf die de salarisadministratie verzorgt voor een opdrachtgever, wordt de salarisadministratiee gezien als verwerker.

Lees ook: "Dit weten we over besluit nieuw noodpakket 3.0 coronavirus"

Wat staat er in een verwerkersovereenkomst?

Het doel van de verwerking

De overeenkomst moet duidelijk maken met welk doel de persoonsgegevens worden verwerkt.

Wijze van verwerking

De verwerkingsverantwoordelijke moet duidelijk formuleren op welke wijze de verwerking moet plaatsvinden.

Geheimhouding

De verwerker moet privacygevoelige gegevens geheimhouden. De verwerkersovereenkomst bevat een geheimhoudingsverklaring.

Afspraken over potentiële onderaannemers

Bij samenwerkingen komt het voor dat er een externe verwerker aan te pas komt en een deel van de activiteiten wordt uitbesteed.

Beveiligingsmaatregelen

De verwerkingsverantwoordelijke spreekt met de verwerker af welke beveiligingsmaatregelen de verwerker maakt. De verwerkingsverantwoordelijke verzekert hiermee de persoonsgegevens niet door nalatigheid in verkeerde handen terechtkomt.

Duur van de verwerking

Het moet duidelijk zijn in de verwerkersovereenkomst over de looptijd van de verwerking van persoonsgegevens. Als de verwerking niet meer nodig is, moet de verwerker stoppen en de persoonsgegevens wissen.

Het verschil met een bewerkersovereenkomst?

Er is geen verschil tussen een verwerkersovereenkomst en een bewerkersovereenkomst. Sinds de wet AVG van kracht is spreekt men niet meer van ‘bewerkers’ maar ‘verwerkers’. Daarmee is ook de bewerkersovereenkomst veranderd in een verwerkersovereenkomst. De inhoud en bedoeling van het document zijn hetzelfde gebleven.

ZEZ uitkering