Wat moet er in een verwerkersovereenkomst staan?

Wat artikel 28 AVG verplicht stelt

Een verwerkersovereenkomst hoort een vast aantal onderwerpen te regelen, en die volgen rechtstreeks uit de AVG. Vastgelegd hoort te worden waar de verwerking over gaat: het onderwerp en de duur ervan, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën betrokkenen. Daarnaast beschrijft de overeenkomst de rechten en plichten van de verwerkingsverantwoordelijke, en de afspraak dat de verwerker uitsluitend werkt op basis van schriftelijke instructies van die verantwoordelijke — nooit op eigen initiatief.

Verder hoort er iets in te staan over geheimhouding van medewerkers die met de gegevens werken, over de beveiligingsmaatregelen die passen bij het risico van de verwerking, en over de voorwaarden waaronder een verwerker een andere partij mag inschakelen als sub-verwerker. Ook de medewerking van de verwerker aan verzoeken van betrokkenen (zoals inzage of verwijdering), aan het melden van datalekken, en aan eventuele audits horen erin. Tot slot regelt de overeenkomst wat er met de gegevens gebeurt zodra de dienstverlening stopt: teruggeven, vernietigen, of iets anders — en wie dat op dat moment beslist.

De vindplaats: artikel 28, lid 3 AVG

Deze opsomming volgt uit artikel 28 van de AVG, met name lid 3, waarin letterlijk staat welke onderwerpen een verwerkersovereenkomst dient te bevatten. Artikel 28, lid 1 voegt daaraan toe dat een verwerkingsverantwoordelijke alleen met verwerkers werkt die voldoende garanties bieden voor passende technische en organisatorische maatregelen, een eis die teruggrijpt op artikel 32 over beveiliging. De richtsnoeren van de EDPB werken deze onderdelen verder uit met praktijkvoorbeelden en aandachtspunten, bijvoorbeeld over de precisie waarmee instructies en sub-verwerking beschreven horen te worden.