Moet ik een verwerkersovereenkomst tekenen die mijn klant stuurt?

Tekenen is geen verplichting, controleren wel

Nee, er is geen wettelijke plicht om een verwerkersovereenkomst te tekenen alleen omdat een klant die aanlevert. Een verwerkersovereenkomst is een afspraak tussen twee partijen, en zoals bij elke overeenkomst geldt: je kijkt eerst wat erin staat voordat je een handtekening zet. De klant die de overeenkomst stuurt, bepaalt niet automatisch de inhoud — die inhoud moet aan bepaalde eisen voldoen, en dat is iets anders dan "moet ik dit document accepteren".

Wat wel relevant is: als je als verwerker persoonsgegevens verwerkt in opdracht van die klant, dan schrijft de AVG voor dát er een verwerkersovereenkomst moet zijn, met een aantal verplichte onderdelen. Het gaat er dus niet om of je tekent, maar of de tekst die je krijgt die onderdelen dekt en aansluit bij wat er in de praktijk gebeurt. Een concept dat te ruim is geformuleerd, dingen regelt die niet kloppen met de werkelijke dienstverlening, of onderdelen mist, is een reden om aan te passen of een eigen versie voor te stellen — niet om zonder meer te ondertekenen.

Wat artikel 28 AVG hierover regelt

Artikel 28 van de AVG bepaalt dat de verwerking door een verwerker geregeld moet zijn in een overeenkomst of andere rechtshandeling, en somt op welke onderwerpen daarin aan de orde moeten komen — onder meer het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën van betrokkenen, en de verplichtingen en rechten van de verwerkingsverantwoordelijke. Dat artikel zegt niets over wíe het document opstelt of aanlevert; het zegt alleen wat erin moet staan. Voor de volledige tekst is de verordening zelf de vindplaats, en bij twijfel over een concrete tekst kan de kennisbank van de Autoriteit Persoonsgegevens als achtergrond dienen — al gaat die instantie niet over het beoordelen van individuele contracten.