Moet ik een verwerkersovereenkomst tekenen die mijn klant stuurt?

Tekenen is niet verplicht, een verwerkersovereenkomst wel

Op de vraag of een document getekend moet worden dat een klant toestuurt, is het antwoord: nee, niet automatisch en niet blind. De AVG schrijft geen vaste tekst voor en verplicht niemand om een document te ondertekenen zonder dat te lezen. Wat de AVG wél vereist, is dat er een verwerkersovereenkomst bestaat tussen een organisatie die persoonsgegevens laat verwerken en de partij die dat namens haar doet, en dat die overeenkomst een aantal onderwerpen dekt. Of dat gebeurt met het document van de klant, een eigen versie, of een combinatie van beide, ligt niet vast.

Een door de klant aangeleverde overeenkomst kan die verplichte onderdelen prima bevatten, maar dat is niet gegarandeerd. Onderwerpen die vaak wringen zijn de omschrijving van de verwerking (welke gegevens, met welk doel, hoe lang), de mogelijkheid om onderaannemers in te schakelen, afspraken over meldingen bij een datalek, en wat er met de gegevens gebeurt na afloop van de samenwerking. Een tekst die deze punten mist, tegenspreekt wat er in de praktijk gebeurt, of verplichtingen oplegt die niet passen bij de eigen rol, is een tekst om eerst te bekijken voordat er een handtekening onder gaat — niet om zonder meer te ondertekenen omdat de klant erom vraagt.

Waar dit uit volgt: artikel 28 van de AVG

Artikel 28 van de AVG (Verordening (EU) 2016/679) beschrijft wat een overeenkomst tussen een verwerkingsverantwoordelijke en een verwerker moet regelen, waaronder het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën van betrokkenen, en de verplichtingen en rechten van beide partijen. De wet schrijft de vorm of herkomst van het document niet voor: het gaat om de inhoud die erin staat, niet om wie de eerste versie heeft opgesteld. De Autoriteit Persoonsgegevens licht op haar website toe hoe deze verplichting in de praktijk wordt uitgelegd.