Verwerkersovereenkomst

Een verwerkersovereenkomst (in het Engels Data Processing Agreement of DPA) is het verplichte contract tussen een verwerkingsverantwoordelijke en zijn verwerker. Artikel 28 van de GDPR somt op welke afspraken erin moeten staan. Zonder zo'n overeenkomst mag je een externe partij eigenlijk geen persoonsgegevens laten verwerken.

Verplichte onderwerpen

• Onderwerp, duur, aard en doel van de verwerking.
• De soorten gegevens en categorieën van betrokkenen.
• Beveiligingsmaatregelen en geheimhouding.
• Voorwaarden voor het inschakelen van subverwerkers.
• Bijstand bij verzoeken van betrokkenen en bij datalekken.
• Teruggave of wissing van de gegevens na afloop.

Zo pak je het aan

Inventariseer eerst welke leveranciers klantgegevens zien. Vraag bij elk van hen de verwerkersovereenkomst op of aanvaard die online. De meeste Belgische en internationale SaaS-leveranciers stellen een standaardovereenkomst ter beschikking, vaak als onderdeel van hun algemene voorwaarden. Bewaar een kopie of een bevestiging in je administratie.

Waar je op let

Controleer altijd of de zes artikel 28-punten effectief gedekt zijn en of er een actuele lijst van subverwerkers bij hoort. Let ook op doorgifte buiten de Europese Economische Ruimte: staat de leverancier op servers buiten de EER, kijk dan welk doorgiftemechanisme, zoals standaardcontractbepalingen, hij hanteert.

Let op: een verwerkersovereenkomst is iets anders dan je gewone klantcontract. Het regelt specifiek de bescherming van de persoonsgegevens, niet de commerciële afspraken.

Hoe regel je een verwerkersovereenkomst?

Schakel je een externe partij in die persoonsgegevens voor je verwerkt, regel dan in vier stappen een verwerkersovereenkomst.

1. Inventariseer je leveranciers. Maak een lijst van alle tools en partijen die klantgegevens zien: hosting, mail, CRM, boekhouding en support.
2. Bepaal of het een verwerker is. Verwerkt de partij gegevens in jouw opdracht zonder zelf het doel te bepalen? Dan is het een verwerker.
3. Sluit de overeenkomst. Vraag de standaard verwerkersovereenkomst op of accepteer die online; de meeste SaaS-leveranciers hebben er een klaarliggen.
4. Controleer de verplichte afspraken. Check dat de art. 28-onderwerpen erin staan: doel, beveiliging, sub-verwerkers, hulp bij verzoeken en datalekken, en teruggave na afloop.