hoe weet ik of de software die ik gebruik voldoet aan de AVG

Een SaaS-tool is AVG-proof als het contract en de praktijk kloppen

Er bestaat geen keurmerk of vinkje dat een SaaS-tool officieel "AVG-proof" verklaart — de AVG toetst niet de software zelf, maar de manier waarop een leverancier met persoonsgegevens omgaat en wat daarover is afgesproken. In de meeste gevallen is een tool bruikbaar zonder noemenswaardig risico als drie dingen kloppen: er ligt een verwerkersovereenkomst met de leverancier, die overeenkomst regelt de verplichte onderdelen zoals het doel van de verwerking en de beveiligingsmaatregelen, en het is duidelijk waar de gegevens fysiek worden verwerkt en opgeslagen.

Die laatste twee punten zijn waar het in de praktijk vaak misgaat. Veel SaaS-tools schakelen zelf weer andere partijen in — een hostingpartij, een supportdesk in een ander land — en dat heet een subverwerker. Ook komt het voor dat gegevens buiten de EU worden verwerkt, wat aan extra voorwaarden is gebonden. Wie twijfelt of een leverancier bij zijn bedrijf de rol van verwerker of van verwerkingsverantwoordelijke heeft, vindt daarover meer bij het onderscheid tussen verwerker en verwerkingsverantwoordelijke. En wie wil weten wat er precies in het contract met de leverancier moet staan, leest dat terug op de pagina over de inhoud van een verwerkersovereenkomst.

Waar dit op is gebaseerd: artikel 28 en 44 AVG

De verplichting om afspraken vast te leggen met een partij die persoonsgegevens verwerkt, volgt uit artikel 28 van de AVG, dat ook aangeeft wat die overeenkomst minimaal moet regelen — waaronder het inschakelen van een subverwerker. Het verwerken van gegevens buiten de EU valt onder artikel 44 van de AVG, dat aan een doorgifte naar een derde land extra voorwaarden stelt. Deze bepalingen gelden rechtstreeks in de hele EU, dus de kern van de beoordeling — is er een verwerkersovereenkomst, en wordt doorgifte buiten de EU op de juiste manier afgedekt — verandert niet per land. De EDPB werkt in haar richtsnoeren verder uit hoe deze artikelen in de praktijk worden ingevuld, bijvoorbeeld bij het beoordelen van subverwerkers en internationale doorgifte.