Als jouw bedrijf persoonsgegevens verwerkt, ben je verplicht om te voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Een belangrijk onderdeel daarvan is het sluiten van verwerkersovereenkomsten. Eventueel moeten er ook sub-verwerkersovereenkomsten worden opgesteld. In dit artikel leggen we je uit wat een sub-verwerkersovereenkomst is en waarom het belangrijk is voor jouw bedrijf.
Verwerker en sub-verwerker
De verwerker is een partij die in opdracht van een verwerkingsverantwoordelijke (het bedrijf dat de persoonsgegevens verzamelt voor de verdere verwerking) persoonsgegevens verwerkt. Een sub-verwerker is een derde partij die door de verwerker wordt ingeschakeld om (een deel van) deze verwerking uit te voeren. De verwerkingsverantwoordelijke blijft de eindverantwoordelijke en moet zorgen voor een goede verwerkersovereenkomst. De verwerker moet op zijn beurt zorgen voor goede sub-verwerkersovereenkomsten met de partijen die hij of zij inschakelt.
De sub-verwerkersovereenkomst: een noodzakelijke afspraak
Als verwerker ben je verplicht om met subverwerkers een sub-verwerkersovereenkomst te sluiten. Dit is een contract waarin je de afspraken vastlegt over de verwerking van persoonsgegevens door de subverwerker. Hiermee zorg je ervoor dat de subverwerker de persoonsgegevens op een correcte manier verwerkt, conform de regels van de AVG. Het inschakelen van een subverwerker is alleen toegestaan als de verwerkingsverantwoordelijke hiervoor toestemming heeft gegeven. Deze toestemming moet zijn vastgelegd in de verwerkersovereenkomst tussen jouw bedrijf en de verwerker.
Stel, jouw mkb-bedrijf verwerkt persoonsgegevens en is daarmee de verwerkingsverantwoordelijke. Je maakt gebruik van een hostingpartij, die als verwerker optreedt. Deze hostingpartij maakt op haar beurt gebruik van een cloudleverancier voor het beheer van de servers. De cloudleverancier is in dit geval de subverwerker. Het mkb-bedrijf zorgt voor een verwerkersovereenkomst met het hostingbedrijf. Het hostingbedrijf dient dan weer een sub-verwerkersovereenkomst te sluiten met de cloudleverancier.
Inhoud van de sub-verwerkersovereenkomst
In een sub-verwerkersovereenkomst staan de rechten en verplichtingen met betrekking tot het verwerken van de persoonsgegevens door de sub-verwerker. Er worden bindende afspraken gemaakt over welke persoonsgegevens op welke manier mogen (of moeten) worden verwerkt en welke beveiligingsmaatregelen de subverwerker moet treffen. De sub-verwerkersovereenkomst moet goed aansluiten bij de verwerkersovereenkomst en moet ten minste dezelfde bescherming garanderen.
Een sub-verwerkersovereenkomst is niet alleen verplicht volgens de AVG, maar is ook gewoon heel nuttig. Het zorgt ervoor dat alle betrokken partijen precies weten wat ze van elkaar mogen verwachten en het helpt bij het beschermen van de privacy van de betrokkenen.
Sub-verwerkersovereenkomst opstellen of laten opstellen
Het opstellen van een sub-verwerkersovereenkomst kan complex zijn. Bij het opstellen van een sub-verwerkersovereenkomst moet er bijvoorbeeld rekening worden gehouden met de AVG-wetgeving en met de inhoud van de verwerkersovereenkomst, alsook met de praktijksituatie en de afspraken die zijn gemaakt met de personen waarvan de persoonsgegevens worden verwerkt.
Als je zelf een sub-verwerkersovereenkomst opstelt, is het aan te raden om dit te laten controleren door een jurist of een advocaat. Bij MKB Juristen bieden we hiervoor de ContractCheck™ aan. Het is ook mogelijk om de sub-verwerkersovereenkomst meteen te laten opstellen door onze advocaten en bedrijfsjuristen. Zo weet je zeker dat je aan alle vereisten voldoet en dat de persoonsgegevens van op de juiste manier worden beschermd.
