Een verwerkersovereenkomst regelt de afspraken tussen organisaties en bedrijven die persoonsgegevens in opdracht van elkaar verwerken. Bijna iedere onderneming zal te maken hebben met verwerkersovereenkomsten.
Een simpel voorbeeld. Haast ieder bedrijf wel een website, met daarop een contactpagina. Bezoek van de website, en het invullen van de contactpagina, leidt tot een verwerking van persoonsgegevens. Die persoonsgegevens worden niet alleen door het bedrijf achter de website verwerkt, maar ook door bijvoorbeeld de hostingprovider door middel waarvan de website online ter beschikking kan worden gesteld.
In dit geval zal de websitehouder een afspraak moeten maken met de hostingprovider om de zorgvuldige verwerking van persoonsgegevens te waarborgen. Deze afspraken worden neergelegd in een verwerkersovereenkomst. De vereisten voor de verwerkersovereenkomst volgen uit de AVG.
Inhoudsopgave
Persoonsgegevens mogen niet zomaar verwerkt worden. Bedrijven en organisaties die persoonsgegevens willen verwerken moeten voldoen aan de AVG (en de U-AVG). De AVG regelt dat de verwerkingsverantwoordelijke altijd verplicht blijft voor de verwerking van persoonsgegevens.
Het maakt volgens de AVG dus niet uit of de verwerkingsverantwoordelijke de persoonsgegevens zelf verwerkt, of dat zij dit uitbesteedt aan een andere partij – een verwerker. Deze eindverantwoordelijkheid laat echter onverlet dat de verwerker ook verantwoordelijkheden heeft op grond van de AVG. De onderlinge verdeling van verantwoordelijkheid voor de zorgvuldige verwerking van persoonsgegevens moeten partijen regelen in een verwerkersovereenkomst. Doen partijen dat niet, dan zij ze beiden in overtreding van de AVG.
Een verwerkersovereenkomst is niet altijd verplicht.
Zo is een verwerkersovereenkomst enkel verplicht als het bedrijf of de organisatie een andere partij ingeschakelt om in opdracht persoonsgegevens te verwerken. De verantwoordelijke bepaalt echter wat er moet gebeuren met de gegevens, en op welke wijze.
Is dat niet het geval, maar worden de persoonsgegevens toch aan een andere partij verstrekt, die de persoonsgegevens ook zelf verwerkt (en zelf bepaalt wat ermee moet gebeuren, op welke wijze), dan kan het zo zijn dat die andere partij óók (of zelfs mede) verwerkerkingsverantwoordelijke is. In dat geval is een verwerkersovereenkomst niet vereist. Wel zal de verstrekking van de persoonsgegevens aan deze (mede-)verwerkingsverantwoordelijke aan de regels van een (verdere) verwerking moeten voldoen.
De AVG vereist dat de verwerkersovereenkomst schriftelijk de afspraken vastlegt voor de zorgvuldige verwerking van persoonsgegevens.
De verwerkersovereenkomst mag geen afspraken bevatten die in strijd zijn met de AVG. De AVG gaat in dat geval voor op wat er in de verwerkersovereenkomst is geregeld.
Partijen zijn niet verplicht om in te stemmen met de verwerkersovereenkomst van een andere partij. Er bestaat geen contractsdwang. Raken partijen het niet eens over de inhoud van de verwerkersovereenkomst, dan kunnen zij ervoor kiezen om niet samen te werken. Samenwerken zonder verwerkersovereenkomst betekent in ieder geval een schending van de AVG.
De advocaten van Lawfox zijn gespecialiseerd in privacyrecht. Verwerkersovereenkomst hebben we wekelijks onder de neus. We staan zowel verwerkers, verwerkingsverantwoordelijken als betrokkenen bij. We stellen verwerkersovereenkomsten op, zorgen voor het uitonderhandelen van verwerkersovereenkomsten, adviseren bij privacyissues zoals datalekken, verzoeken van betrokkenen en toezicht door de Autoriteit Persoonsgegevens, en assisteren bij conflicten op het gebied van privacyrecht.
9.4 / 10 87 reviews