wat gebeurt er als ik geen verwerkersovereenkomst heb met mijn leverancier

Zonder verwerkersovereenkomst voldoet u niet aan artikel 28 AVG

Als een leverancier persoonsgegevens verwerkt namens u en er is geen verwerkersovereenkomst, dan is dat op zichzelf al een overtreding van de AVG — los van de vraag of er verder iets misgaat met die gegevens. Artikel 28 AVG schrijft voor dat de inschakeling van een verwerker vastgelegd wordt in een overeenkomst of andere rechtshandeling; zonder die vastlegging ontbreekt de wettelijke basis voor de samenwerking, ook als de leverancier zelf zorgvuldig met de gegevens omgaat.

Dit speelt bijvoorbeeld bij software waarin klantgegevens, personeelsgegevens of factuurgegevens terechtkomen: boekhoudpakketten, mailingtools, hostingpartijen. Wie niet zeker weet of een bepaalde tool onder deze verplichting valt, kan dat aan de hand van hoe weet ik of de software die ik gebruik voldoet aan de AVG nagaan; en de vraag of dit ook voor een boekhouder geldt komt terug bij moet ik een verwerkersovereenkomst afsluiten met mijn boekhouder. Het ontbreken van een overeenkomst is meestal niet iets dat vanzelf aan het licht komt, totdat er een datalek, een klacht van een klant of een controle is — en dan blijkt dat de afspraken er niet zijn.

Waar dit uit artikel 28 AVG volgt

Artikel 28 AVG bepaalt dat de verwerking door een verwerker geregeld wordt door een overeenkomst die een aantal onderwerpen verplicht vastlegt, zoals het doel van de verwerking, de duur, en de verplichtingen van de verwerker; welke onderwerpen dat precies zijn staat beschreven bij wat moet er in een verwerkersovereenkomst staan. De verplichting om deze overeenkomst te hebben ligt zowel bij de verwerkingsverantwoordelijke als bij de verwerker, en geldt in de hele EU rechtstreeks vanuit de verordening; wie moet toezien op de naleving verschilt wel per land — in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten de toezichthouder van dat land. Meer over de toezichthouder is te vinden via de Autoriteit Persoonsgegevens.