Verwerkersovereenkomsten op orde brengen

Zodra een externe partij persoonsgegevens in jouw opdracht verwerkt, verplicht de AVG een verwerkersovereenkomst. Voor het MKB betekent dat: je e-mailmarketingtool, je hostingpartij, je administratiekantoor, je SaaS-planningstool, ze hebben allemaal zo’n overeenkomst nodig. En vaak ontbreken ze, tot een audit of incident het aan het licht brengt.

Wie is verwerker, wie niet?

Een verwerker verwerkt persoonsgegevens in jouw opdracht en voor jouw doel. Niet nodig bij partijen die zelf verantwoordelijke zijn voor hun eigen doel, zoals een accountant in zijn wettelijke controlerol. De doelvraag beslist: wie heeft zeggenschap over de verwerking?

Zo breng je ze op orde

1. Loop je leveranciersregister langs en markeer elke partij die persoonsgegevens voor je verwerkt.
2. Controleer per partij of er een getekende of geaccepteerde overeenkomst is.
3. Beoordeel de inhoud, vooral: de meldtermijn bij datalekken, de subverwerkerslijst, en de exit-afspraken.
4. Bewaar ze centraal en vindbaar.

Wat je bij grote leveranciers doet

Bij grote SaaS-leveranciers teken je hun standaardovereenkomst (vaak onderdeel van de voorwaarden); onderhandelen is zelden mogelijk. Beoordelen wel: leg vast dat je de voorwaarden hebt getoetst en geaccepteerd op basis van risico. Dat bewijs is je invulling.

Let op de meldtermijn

Jij moet binnen 72 uur bij de AP kunnen melden, dus de verwerker moet sneller bij jou melden. Een verwerkersovereenkomst zonder concrete meldtermijn is een gat in je datalekproces.

Tip van Control One: De kruising die zowel de AP als de ISO-auditor controleert: je verwerkingsregister maal je leveranciers maal de overeenkomsten. Elke verwerker in je register zonder overeenkomst is een dubbele bevinding, voor de norm én de AVG. Los dit in één ronde op.

De koppeling met ISO 27001

De verwerkersovereenkomst is de privacyrechtelijke laag bovenop je leveranciersbeheer (5.20) en privacy (5.34). Eén goed leveranciersbeheer dekt beide.

Verwerkersovereenkomsten zijn een vast controlepunt in elke audit. Wil je weten of jouw keten op orde is? Doe de Quickscan of bekijk de ISO 27001-checklist.