Wat is Verwerkersovereenkomst?

De verwerkersovereenkomst is geregeld in artikel 28 van de AVG. Zodra je een externe partij inschakelt die namens jouw organisatie persoonsgegevens verwerkt (denk aan een salarisadministrateur, cloudleverancier, e-mailmarketingplatform of IT-beheerder) ben je verplicht een verwerkersovereenkomst te sluiten.

De overeenkomst regelt minimaal: het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het type persoonsgegevens en de categorie betrokkenen, en de rechten en plichten van de verwerkingsverantwoordelijke. Daarnaast bevat het afspraken over beveiliging, geheimhouding, inschakeling van subverwerkers, meldplicht bij datalekken, en het teruggeven of vernietigen van gegevens bij beeindiging van de overeenkomst.

In de praktijk bieden veel SaaS-leveranciers een standaard verwerkersovereenkomst aan als bijlage bij hun algemene voorwaarden. Controleer altijd of deze voldoet aan jouw specifieke situatie: welke gegevens verwerk je precies, worden er bijzondere persoonsgegevens verwerkt (medische gegevens, BSN), en waar worden de gegevens opgeslagen?

Voor de zorgsector gelden aanvullende eisen: medische persoonsgegevens zijn bijzondere persoonsgegevens waarvoor strengere beveiligingseisen gelden. De verwerkersovereenkomst moet expliciet ingaan op de aard van deze gegevens en de aanvullende maatregelen die de verwerker treft.

Een veelgemaakte fout is het vergeten van subverwerkers. Als jouw verwerker een derde partij inschakelt (bijvoorbeeld een hostingprovider), moet dit in de verwerkersovereenkomst zijn geregeld inclusief een goedkeuringsprocedure.

De Autoriteit Persoonsgegevens kan boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor het ontbreken van een verwerkersovereenkomst. Maar het financiele risico is niet het enige probleem: zonder verwerkersovereenkomst ontbreekt de contractuele basis voor beveiligingseisen, meldplicht bij datalekken en het teruggeven van gegevens bij beeindiging.

Voor MKB-bedrijven in de zorg en IT is dit bijzonder relevant: zij verwerken vaak gevoelige gegevens via meerdere externe partijen. Een ontbrekende verwerkersovereenkomst bij een van die schakels maakt de hele keten kwetsbaar.