Op deze pagina
Jij beslist, je leverancier voert uit
Elke keer dat een leverancier persoonsgegevens van jouw klanten of personeel in handen krijgt, moet je met hem vastleggen wat hij ermee mag. De AVG noemt jou de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe gegevens gebruikt worden. De leverancier is de verwerker: hij doet het werk voor jou. Denk aan je webbouwer die je site host en de aanvragen uit je formulier doorstuurt, de tool waarmee je je nieuwsbrief verstuurt of het SaaS-pakket waarin je planning en klantgegevens zitten.
Zonder zo'n overeenkomst weet niemand wat de leverancier met die gegevens mag doen, hoe lang hij ze bewaart, wie er nog meekijkt en wat er gebeurt bij een datalek. Met de overeenkomst blijf jij aansprakelijk, maar heb je op papier wat je leverancier belooft.
Artikel 28 van de AVG
De verplichting staat in artikel 28 van de Algemene Verordening Gegevensbescherming, de AVG of GDPR: verordening (EU) 2016/679 van 27 april 2016, van toepassing sinds 25 mei 2018. Artikel 28 zegt dat je alleen werkt met verwerkers die afdoende garanties bieden, en dat je de verwerking regelt in een overeenkomst, op papier of elektronisch. Op 4 juni 2021 publiceerde de Europese Commissie standaardbepalingen voor zo'n overeenkomst (uitvoeringsbesluit (EU) 2021/915), die je gratis kan gebruiken. In België houdt de Gegevensbeschermingsautoriteit (GBA) toezicht; ze biedt op haar site onder meer een model van register voor verwerkers.
Wie is wie: verantwoordelijke, verwerker, subverwerker
- BetrokkeneJe bezoekerVult je offerteformulier in: naam, telefoon, postcode, zijn vraag.
- VerwerkerJe webbouwerHost de site en stuurt de aanvraag door, alleen op jouw schriftelijke instructie.
- SubverwerkerHosting en mailserviceKrijgt dezelfde plichten opgelegd, en alleen met jouw toestemming.
Verwerkersovereenkomst tussen jou en je webbouwer
Dezelfde plichten, doorgegeven aan de subverwerker
Wat de overeenkomst minstens omschrijft
- Onderwerp: hosting van de site en doorsturen van aanvragen
- Duur: zolang het onderhoudscontract loopt
- Aard: opslaan, doorsturen per mail, back-up
- Doel: offerteaanvragen beantwoorden
- Soort gegevens: naam, telefoon, e-mail, postcode, bericht
- Betrokkenen: bezoekers en klanten die een aanvraag sturen
Het contract volgt de gegevens: elke schakel die meekijkt, staat op papier.
Wanneer je er een nodig hebt, en wanneer niet
Zodra een leverancier persoonsgegevens voor jou opslaat, bekijkt, doorstuurt of bewerkt, en dat doet omdat jij hem die opdracht geeft. Persoonsgegevens zijn ruimer dan je denkt: een naam, een e-mailadres, een telefoonnummer of een IP-adres volstaat.
| Leverancier | Wat hij met gegevens doet | Verwerker? |
|---|---|---|
| Je webbouwer of hoster | Bewaart de site, ontvangt en verstuurt de aanvragen uit je formulier, maakt back-ups | Ja, voor alles wat hij namens jou doet |
| Je nieuwsbrief- of mailingtool | Bewaart je lijst en verstuurt mails in jouw naam | Ja |
| Je planning-, CRM- of boekhoudpakket in de cloud | Bewaart klant- en personeelsgegevens op zijn servers | Ja, de overeenkomst zit vaak in de voorwaarden |
| Een koppeling of automatisering tussen tools | Stuurt gegevens van het ene pakket naar het andere, bijvoorbeeld met Make, Zapier of n8n | Ja, ook de koppeltool |
| Een AI-assistent die je mails of klantvragen leest | Verwerkt de inhoud van berichten, zoals bij AI-klantenservice | Ja, controleer ook waar de gegevens heen gaan |
| Een partij die zelf beslist wat hij met de gegevens doet | Gebruikt ze voor eigen doelen | Nee, die is zelf verantwoordelijke |
De laatste rij is de grens. Bepaalt een leverancier zelf waarom en hoe hij gegevens gebruikt, dan is hij geen verwerker maar zelf verwerkingsverantwoordelijke; artikel 28, lid 10, zegt dat ook een verwerker die op eigen houtje gaat beslissen, zo behandeld wordt. Advertentiepixels en analysetools hebben vaak hun eigen regels; daarover gaat cookiebanner verplicht?, en wat Europa daaraan wil veranderen staat in nieuwe cookieregels.
Acht beloftes die erin moeten
Artikel 28, lid 3, somt het op. De overeenkomst omschrijft het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën van betrokkenen, en jouw rechten en plichten. Daarnaast belooft de verwerker acht dingen, van a tot h. Loop ze na in je eigen contracten:
De acht beloftes van je leverancier
- a. Hij verwerkt alleen op jouw schriftelijke instructie, ook voor doorgifte buiten de EU.
- b. Wie bij hem toegang heeft tot de gegevens, is tot geheimhouding verplicht.
- c. Hij neemt de beveiligingsmaatregelen van artikel 32, zoals versleuteling en back-ups.
- d. Hij schakelt geen andere verwerker in zonder jouw toestemming, en legt die dezelfde plichten op.
- e. Hij helpt je als iemand zijn gegevens wil inzien, verbeteren of laten wissen.
- f. Hij helpt je bij beveiliging, datalekken en een effectbeoordeling.
- g. Na afloop wist hij alles of geeft hij het terug, met kopieën erbij.
- h. Hij geeft je de informatie om dit te controleren en laat audits toe.
Een interieurbouwer met vijf leveranciers
Stel: een interieurbouwer heeft een site met een offerteformulier, een nieuwsbrief met 900 adressen en een planningstool in de cloud. Dat zijn drie verwerkers. Bij de nieuwsbrieftool en de planningstool zit de verwerkersovereenkomst in de voorwaarden: hij downloadt ze, kijkt waar de gegevens staan en welke subverwerkers erbij horen, en noteert dat in zijn register. Met zijn webbouwer tekent hij een eigen overeenkomst, op basis van de Europese standaardbepalingen. Daarin staat wat het figuur hierboven toont: hosting en doorsturen van aanvragen, zolang het onderhoudscontract loopt, met naam, telefoon, e-mail, postcode en bericht van wie een aanvraag stuurt.
Drie punten maakt hij concreet. Een datalek meldt de webbouwer binnen 24 uur, zodat de interieurbouwer zelf binnen de 72 uur van artikel 33 bij de GBA kan melden. De subverwerkers staan bij naam in een bijlage: de hosting en de mailservice die de aanvragen verstuurt. En na het einde van het contract worden de aanvragen binnen 30 dagen gewist of teruggegeven. Wie later van clouddienst wil wisselen, kan dat vanaf 2027 zonder overstapkosten, door de Data Act. Wat hij over die gegevens aan zijn bezoekers moet vertellen, zet hij in zijn privacyverklaring; hoe het verkeer naar zijn site versleuteld wordt, regelt het SSL-certificaat.
Meestal gratis, en een uur nalezen
De standaardbepalingen van de Europese Commissie zijn gratis, en de voorwaarden van grote leveranciers ook. Wat het kost, is tijd: een uur per leverancier om de overeenkomst te zoeken of op te stellen, de subverwerkers na te kijken en je register bij te werken. Wie een advocaat een overeenkomst op maat laat schrijven, betaalt zijn uurtarief. Daartegenover staat artikel 83: een inbreuk op de plichten rond verwerkers kan een boete opleveren tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Valt je klant onder NIS2, dan vraagt hij bovendien naar je beveiliging; dat is een andere wet, met een eigen vragenlijst.
Vier vragen over contracten en gegevens
Is een verwerkersovereenkomst verplicht?
Ja, zodra een leverancier in jouw opdracht persoonsgegevens verwerkt. Artikel 28 van de AVG eist een overeenkomst of een andere bindende rechtshandeling, schriftelijk of elektronisch. Een mondelinge afspraak volstaat niet.
Wie stelt de verwerkersovereenkomst op?
Dat mag elk van beide partijen. Grote leveranciers leggen hun eigen tekst voor in hun voorwaarden. Bij een kleinere leverancier kan jij een tekst voorstellen; de standaardbepalingen van de Europese Commissie van 4 juni 2021 zijn een gratis en erkend vertrekpunt.
Wat is het verschil met een privacyverklaring?
Een privacyverklaring vertelt je bezoekers en klanten wat je met hun gegevens doet. Een verwerkersovereenkomst regelt tussen jou en je leverancier wat hij met die gegevens mag doen. Je hebt meestal beide nodig.
Wat als mijn leverancier buiten de EU zit?
Dan heb je naast de verwerkersovereenkomst een grond voor doorgifte nodig, zoals de Europese standaardcontractbepalingen voor doorgifte. Grote leveranciers zoals AWS nemen die op in hun voorwaarden; bij een kleinere leverancier vraag je ernaar.