Wanneer je samenwerkt met een opdrachtgever of als je een opdracht uitvoert voor een klant, is de kans groot dat je persoonsgegevens verwerkt. Dat is ook het geval als de opdracht eigenlijk helemaal niks te maken heeft met de verwerking van persoonsgegevens. Voor dergelijke incidentele en beperkte verwerkingen, is het natuurlijk niet altijd noodzakelijk om een uitgebreide verwerkersovereenkomst op te stellen. Het is ook mogelijk om afspraken op te nemen in de algemene voorwaarden of in het contract. Dat doe je door middel van een privacyclausule, ook wel eens een GDPR-clausule of een AVG-clausule genoemd.
Waarom heb ik een privacyclausule of een GDPR-clausule nodig?
In Europa zijn er strenge regels verbonden aan het verwerken van persoonsgegevens. Dat kan enkel als er een geldige grondslag voor is. Een voorbeeld van zo’n grondslag is de toestemming van de betrokkene. Daarnaast mag er niet meer worden verwerkt dan nodig is of dan waarvoor de toestemming is verkregen. Er moeten ook maatregelen worden getroffen om te voorkomen dat persoonsgegevens uitlekken, ook bij samenwerkingsverbanden. Wie zich niet aan de regels houdt, kan hoge boetes krijgen opgelegd. Een privacyclausule, een AVG-clausule of een GDPR-clausule helpt je om aan de regels te voldoen.
Inhoud van de privacyclausule of AVG-clausule
In de praktijk zal een privacyclausule of een AVG-clausule steeds uit verschillende onderdelen bestaan. In de eerste plaats wordt er dan aangegeven wie welke persoonsgegevens ontvangt, wat de grondslag voor de verwerking is en wat men al dan niet met deze persoonsgegevens mag doen. Deze afspraken hebben niet alleen betrekking op de verwerking van de persoonsgegevens tijdens de uitvoering van de overeenkomst, maar ook nadien. Er kan bijvoorbeeld worden gevraagd om de persoonsgegevens binnen een bepaalde tijd na de uitvoering van de overeenkomst te verwijderen. Men is dan verplicht om deze uiterste bewaartermijn te respecteren.
Daarnaast kunnen er afspraken worden gemaakt omtrent het inschakelen van subverwerkers en omtrent hoe de persoonsgegevens moeten worden beveiligd. Denk verder ook aan afspraken over hoe er moet worden omgegaan met verzoeken, bijvoorbeeld verzoeken om persoonsgegevens te verwijderen of aan te passen.
Verder kan een privacyclausule afspraken bevatten omtrent de aansprakelijkheid en de vrijwaring. Degene die de toestemming verkreeg, is namelijk de verantwoordelijke ten opzichte van de persoon die zijn toestemming gaf. Als de derde-contractspartner iets fout doet met de persoonsgegevens, moet degene die de toestemming verkreeg de schade vergoeden. Dat is natuurlijk niet zo fijn. Met een vrijwaringsbeding kom je overeen dat de derde-contractspartij, degene die de fout heeft gemaakt, de betaalde schadevergoeding moet terugbetalen. Een vrijwaringsbeding kan bijvoorbeeld ook betrekking hebben op boetes die door de Autoriteit Persoonsgegevens worden opgelegd.
Een privacyclausule of een AVG-clausule opstellen
Het opstellen van een privacyclausule of een AVG-clausule is altijd maatwerk. Het is een van de clausules waarvoor er eigenlijk geen standaardbeding mogelijk is. Onder meer de vraag welke gegevens er worden verwerkt, de grondslag voor de verwerking, de praktische situatie en de reden waarom de gegevens worden verwerkt, zijn bepalend voor de inhoud van een privacyclausule of een AVG-clausule. Omdat de Autoriteit Persoonsgegevens nauwgezet toezicht houdt en flinke boetes oplegt, terwijl het opstellen van deze clausule bijzonder complex is, raden we aan om dit over te laten aan een specialist. Wij helpen je bij privacyvragen en zullen deze clausule voor je opstellen.
