mag een verwerkersovereenkomst ook mondeling of via e-mail worden afgesproken

Mondeling of per mail is niet genoeg

Nee, een mondelinge afspraak of een losse e-mailwisseling voldoet niet als verwerkersovereenkomst. Artikel 28 van de AVG schrijft voor dat de afspraken tussen een verwerkingsverantwoordelijke en een verwerker vastliggen in een overeenkomst of een andere rechtshandeling die schriftelijk is, en dat schriftelijk mag ook elektronisch zijn. Een telefonische toezegging of een mondelinge afspraak tijdens een gesprek valt daarbuiten: die is niet vastgelegd op een manier die achteraf te controleren is.

Een e-mailwisseling zit ergens tussenin. Losse mailtjes waarin partijen wat afspraken over gegevensverwerking noemen, zijn op zichzelf meestal geen volwaardige verwerkersovereenkomst, want de AVG stelt eisen aan de inhoud die in zo'n mailwisseling doorgaans niet compleet terugkomt. Een schriftelijk of elektronisch document dat die inhoud wél volledig regelt — en dat ook per e-mail is uitgewisseld en akkoord bevonden — kan wel als verwerkersovereenkomst gelden. Het gaat dus niet om het medium op zich, maar om de vraag of alle verplichte onderdelen erin staan en of vastligt dat beide partijen daarmee instemmen. Wat daar precies in moet staan, staat beschreven op wat moet er in een verwerkersovereenkomst staan.

Waar dit uit artikel 28 AVG volgt

Artikel 28, lid 3 van de AVG bepaalt dat de verwerking door een verwerker wordt geregeld door een overeenkomst of andere rechtshandeling die de partijen bindt, en dat deze schriftelijk moet worden vastgelegd, waaronder in een elektronische vorm. Deze eis geldt overal in de EU op dezelfde manier, omdat de AVG een verordening is die rechtstreeks werkt; er is op dit punt geen ruimte voor een afwijkende nationale invulling. Wie twijfelt of een bestaande afspraak met een leverancier aan die eis voldoet, kan dat toetsen via de check op of de gebruikte software voldoet aan de AVG; voor achtergrond over de gevolgen van het ontbreken van zo'n overeenkomst bestaat de pagina over wat er gebeurt zonder verwerkersovereenkomst met een leverancier. Voor de officiële tekst van het artikel zelf is de vindplaats de AVG op EUR-Lex, en voor duiding vanuit de Nederlandse toezichthouder is de Autoriteit Persoonsgegevens de aangewezen bron.