Hosting en data
Wat is een verwerkersovereenkomst en wanneer heb je er een nodig?
Kort antwoord
Een verwerkersovereenkomst is een contract tussen jouw organisatie en een leverancier die in jouw opdracht persoonsgegevens verwerkt, zoals een hoster, een salarisverwerker of een ICT-beheerder. De AVG verplicht hem in artikel 28. Er staat in wat de leverancier met de gegevens mag doen, hoe hij ze beveiligt, welke andere partijen hij inschakelt en wat er gebeurt bij een datalek of aan het einde van het contract.
Wanneer is iemand een verwerker?
Als hij persoonsgegevens verwerkt voor jou, volgens jouw instructies en voor jouw doel. Jij bepaalt wat er gebeurt; de leverancier voert uit.
Persoonsgegevens zijn ruimer dan veel mensen denken. Een naam met een e-mailadres is er al een. Een klantenbestand, een personeelsdossier, een mailbox, een lijst met orders: allemaal persoonsgegevens.
| Leverancier | Meestal verwerker? |
|---|---|
| Hostingbedrijf waar je website of mail draait | Ja |
| ICT-beheerder met toegang tot je systemen | Ja |
| Salarisverwerker | Ja |
| Leverancier van boekhoud- of CRM-software in de cloud | Ja |
| Nieuwsbriefprogramma | Ja |
| Advocaat, notaris, bedrijfsarts | Nee, die bepalen zelf hoe ze werken |
| Postbezorger of bank | Nee |
Twijfel je, stel dan de vraag: wie beslist waarvoor de gegevens worden gebruikt? Ben jij dat, dan is de ander verwerker.
Wat moet erin staan?
De AVG schrijft de onderwerpen voor. In gewone taal:
- Wat en waarom. Welke gegevens, van wie, voor welk doel en hoe lang.
- Alleen op instructie. De leverancier doet met de gegevens niets anders dan wat jij opdraagt.
- Geheimhouding. Medewerkers van de leverancier die erbij kunnen, zijn tot geheimhouding verplicht.
- Beveiliging. Welke maatregelen de leverancier neemt. Hoe concreter, hoe beter.
- Subverwerkers. Wie de leverancier inschakelt en hoe jij daarover wordt geïnformeerd.
- Hulp bij verzoeken. Vraagt iemand om inzage of verwijdering, dan helpt de leverancier je daaraan te voldoen.
- Datalekken. De leverancier meldt een lek bij jou, zodat jij op tijd kunt beoordelen of je het moet melden.
- Einde van het contract. De gegevens gaan terug of worden gewist.
- Controle. Jij mag nagaan of de leverancier zich aan de afspraken houdt.
Waar let je op als je er een krijgt?
De meeste leveranciers sturen hun eigen standaard. Die is zelden onredelijk, maar lees vier dingen na.
Waar staan de gegevens? Er hoort een land te staan, liefst een plaats. “In de cloud” of “binnen de EER waar mogelijk” is geen antwoord. Waarom dat uitmaakt, leggen we uit in waar staat je data.
Wie zijn de subverwerkers? Een lijst met namen en landen. Staat er een Amerikaanse partij tussen, dan valt die onder Amerikaanse wetgeving, ook als de servers in Europa staan.
Hoe snel hoor je van een datalek? Jij hebt uiterlijk 72 uur na ontdekking om te melden bij de Autoriteit Persoonsgegevens. De leverancier moet je dus ruim daarbinnen informeren. “Zonder onredelijke vertraging” is de wettelijke formule; een concrete termijn is beter.
Wat gebeurt er als je weggaat? Krijg je je gegevens terug, in welk formaat, en worden ze daarna gewist? Dit is de bepaling waar je pas aan denkt als het te laat is.
Wat ontbreekt er vaak?
Bij organisaties waar we het beheer overnemen, zien we drie dingen terug.
Er is geen overzicht van leveranciers. Niemand weet met wie er overeenkomsten zijn. Een lijst van alle partijen die bij persoonsgegevens kunnen, is het begin, en hij hoort ook in het verwerkingsregister dat de AVG van je vraagt.
De overeenkomst is getekend en nooit meer bekeken. De leverancier is sindsdien overgestapt naar een andere cloud, met andere subverwerkers. Zonder afspraak over wijzigingen weet je dat niet.
De oude leverancier heeft nog alles. Het contract is opgezegd, de gegevens zijn nooit gewist en de toegang is nooit ingetrokken.
Hoe doen wij het?
Voor alles wat we voor klanten hosten of beheren, zijn wij verwerker en sluiten we een verwerkersovereenkomst. Daarin staat waar de gegevens staan, namelijk op onze eigen hardware in een datacenter in Hengelo, en welke partijen we inschakelen. Meer over de locatie staat bij Nederlandse cloud.
Wij zijn geen juristen. Voor de beoordeling van een overeenkomst met een andere leverancier, of voor een bijzondere situatie zoals medische gegevens, hoort een jurist of je functionaris voor gegevensbescherming mee te kijken.