Wat is een bewerkersovereenkomst? Uitleg en gebruik

Wat is een bewerkersovereenkomst: het is de schriftelijke overeenkomst tussen een organisatie die persoonsgegevens laat verwerken en de partij die dat werk voor haar uitvoert. De term komt uit de oude Wet bescherming persoonsgegevens (Wbp), die sprak over een “bewerker”. Sinds 25 mei 2018 geldt de AVG en heet hetzelfde contract officieel een verwerkersovereenkomst. Inhoudelijk gaat het om dezelfde afspraak: wie mag wat met de gegevens doen, hoe worden ze beveiligd en wat gebeurt er als het misgaat. De verplichte inhoud staat in artikel 28 AVG. Hieronder de uitleg, het gebruik in de praktijk en de punten waar het bij mkb-bedrijven vaak misgaat.

Het korte antwoord

• Wat: een verplicht contract tussen de verwerkingsverantwoordelijke en de verwerker over het verwerken van persoonsgegevens.
• Naam: “bewerkersovereenkomst” is de oude Wbp-term, onder de AVG heet het een verwerkersovereenkomst.
• Grondslag: artikel 28 AVG, met een verplichte inhoud in lid 3 sub a tot en met h.
• Wanneer: zodra een externe partij persoonsgegevens verwerkt in jouw opdracht, zoals een hostingpartij, salarisverwerker of CRM-leverancier.
• Vorm: schriftelijk, elektronisch mag ook (artikel 28 lid 9 AVG).
• Risico: ontbreekt de overeenkomst, dan overtreden beide partijen de AVG en kan de Autoriteit Persoonsgegevens handhaven.

Wat is een bewerkersovereenkomst precies?

Een bewerkersovereenkomst legt vast dat een externe partij persoonsgegevens uitsluitend verwerkt volgens jouw instructies en niet voor eigen doeleinden. Denk aan een boekhoudkantoor dat je salarisadministratie draait, een IT-partij die je servers beheert, of een softwareleverancier die je klantgegevens in de cloud opslaat. Zonder zo’n overeenkomst weet niemand wie waarvoor verantwoordelijk is als er gegevens uitlekken.

De overeenkomst is geen formaliteit. De AVG maakt hem verplicht en koppelt er concrete plichten aan: instructiegebondenheid, geheimhouding, beveiliging, teruggave of vernietiging na afloop en het toestaan van controle. Bij een schending van artikel 28 kan de Autoriteit Persoonsgegevens een boete opleggen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet (artikel 83 lid 4 AVG).

Bewerkersovereenkomst of verwerkersovereenkomst?

Dit verschil zorgt voor veel verwarring, dus even helder. Onder de Wbp heetten de partijen “verantwoordelijke” en “bewerker”, en het contract dus een bewerkersovereenkomst. De AVG heeft die begrippen vervangen door “verwerkingsverantwoordelijke” en “verwerker”. Het juiste woord is sinds 2018 dus verwerkersovereenkomst, ook wel data processing agreement of DPA genoemd.

Veel ondernemers zoeken nog steeds op de oude term, en dat is niet erg. Zolang het document inhoudelijk aan artikel 28 AVG voldoet, is de naam op de eerste pagina juridisch niet doorslaggevend. Toch is het verstandig om nieuwe contracten “verwerkersovereenkomst” te noemen. Een document dat nog de oude Wbp-terminologie en de oude artikelverwijzingen gebruikt, is meestal ook inhoudelijk verouderd en mist onderdelen die de AVG voorschrijft.

Verwerkingsverantwoordelijke of verwerker?

Voordat je iets tekent, moet je weten welke rol je hebt. Artikel 4 AVG definieert het zo:

• Verwerkingsverantwoordelijke (artikel 4 sub 7): de partij die het doel en de middelen van de verwerking bepaalt. Jij besluit welke klantgegevens je vastlegt en waarom.
• Verwerker (artikel 4 sub 8): de partij die de gegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke, zonder eigen zeggenschap over doel en middelen.

De rol volgt uit de feiten, niet uit het etiket in het contract. Bepaalt een leverancier zelf doel en middelen, dan geldt hij voor die verwerking als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG) en is een verwerkersovereenkomst het verkeerde instrument. Bepalen twee partijen samen het doel, dan zijn ze gezamenlijk verwerkingsverantwoordelijke en volgt uit artikel 26 AVG een andere regeling. Een accountant die zelf wettelijke bewaarplichten heeft, is voor dat deel bijvoorbeeld geen verwerker.

Wat moet er wettelijk in staan?

Artikel 28 lid 3 AVG schrijft eerst een beschrijving voor van het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën betrokkenen. Daarnaast moeten de volgende acht verplichtingen van de verwerker erin staan:

1. Sub a: alleen verwerken op gedocumenteerde instructies van de verwerkingsverantwoordelijke, ook bij doorgifte naar een derde land.
2. Sub b: waarborgen dat personen met toegang tot de gegevens tot geheimhouding zijn verplicht.
3. Sub c: passende beveiligingsmaatregelen nemen op grond van artikel 32 AVG.
4. Sub d: de voorwaarden voor het inschakelen van subverwerkers naleven (artikel 28 lid 2 en 4).
5. Sub e: bijstand verlenen bij verzoeken van betrokkenen die hun rechten uitoefenen.
6. Sub f: bijstand verlenen bij beveiliging, datalekken en gegevensbeschermingseffectbeoordelingen (artikelen 32 tot en met 36).
7. Sub g: na afloop van de dienst alle gegevens wissen of teruggeven, naar keuze van de verwerkingsverantwoordelijke, en kopieën verwijderen tenzij bewaren wettelijk verplicht is.
8. Sub h: alle informatie beschikbaar stellen om naleving aan te tonen en audits mogelijk maken.

Subverwerkers, doorgifte en datalekken

Drie onderwerpen verdienen extra aandacht, omdat ze in standaardcontracten vaak te dun zijn geregeld.

Subverwerkers. Een verwerker mag alleen een andere partij inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming (artikel 28 lid 2 AVG). Bij algemene toestemming moet hij je informeren over wijzigingen, zodat je bezwaar kunt maken. De subverwerker krijgt dezelfde verplichtingen opgelegd en de hoofdverwerker blijft jegens jou volledig aansprakelijk (artikel 28 lid 4).

Doorgifte buiten de EER. Staan de servers of de helpdesk buiten de Europese Economische Ruimte, dan geldt hoofdstuk V AVG. Doorgifte mag op basis van een adequaatheidsbesluit (artikel 45, bijvoorbeeld het EU-US Data Privacy Framework voor gecertificeerde Amerikaanse partijen), op basis van passende waarborgen zoals de standaardcontractbepalingen van de Europese Commissie (artikel 46), of via een van de beperkte uitzonderingen van artikel 49. Leg vast waar de gegevens staan en welke grondslag geldt.

Datalekken en rechten van betrokkenen. De verwerker moet een inbreuk onverwijld melden aan de verwerkingsverantwoordelijke (artikel 33 lid 2 AVG). Jij hebt daarna 72 uur om te beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is. Spreek daarom een concrete termijn af, bijvoorbeeld 24 uur, en leg vast welke informatie de verwerker meestuurt. Hetzelfde geldt voor verzoeken om inzage, correctie of verwijdering: de verwerker moet je daarbij helpen en het verzoek doorsturen in plaats van zelf te beantwoorden.

Praktijkvoorbeeld

Een installatiebedrijf met veertien medewerkers gebruikt een cloudpakket voor planning en urenregistratie. De leverancier verwerkt daarin namen, adressen en telefoonnummers van klanten en monteurs. Het bedrijf tekent de standaard-DPA van de leverancier zonder die te lezen. Bij een storing blijkt de support te draaien vanuit een land buiten de EER, terwijl daarover niets in het document staat. Na navraag levert de leverancier alsnog een subverwerkerslijst en de standaardcontractbepalingen aan. Een korte controle vooraf had die discussie voorkomen.

Eerlijke aanbeveling

Je hebt lang niet altijd een jurist nodig. Werk je met een gangbare leverancier die een actuele verwerkersovereenkomst aanbiedt, staat daar een subverwerkerslijst en een meldtermijn voor datalekken in, en blijven de gegevens binnen de EER, dan kun je die prima zelf controleren en tekenen. Loop de acht punten van artikel 28 lid 3 langs en kijk of de bijlagen kloppen met wat je feitelijk afneemt.

Laat wel meekijken bij bijzondere persoonsgegevens zoals gezondheids- of strafrechtelijke gegevens, bij grote datavolumes, bij doorgifte buiten de EER, bij twijfel over je rol (verwerker of toch gezamenlijk verantwoordelijke), en wanneer je zelf verwerker bent en een eigen model aan klanten wilt voorleggen. In die gevallen bepaalt de tekst wie het risico draagt als er iets misgaat.

Regel het of lees verder: bewerkersovereenkomst, zelf opstellen via bewerkersovereenkomst opstellen en uitbesteden via bewerkersovereenkomst laten opstellen.

Veelgestelde vragen