Wat moet er in een verwerkersovereenkomst staan?

Wat een verwerkersovereenkomst in elk geval regelt

Een verwerkersovereenkomst hoort te beschrijven wat de verwerker voor de verwerkingsverantwoordelijke doet met persoonsgegevens, en onder welke voorwaarden. Dat begint met de basis: het onderwerp en de duur van de verwerking, de aard en het doel ervan, het soort persoonsgegevens dat het betreft, en de categorieën betrokkenen om wie het gaat. Zonder die beschrijving is niet vast te stellen of een leverancier zich aan de afspraken houdt.

Daarnaast horen er een aantal verplichtingen in te staan die rechtstreeks uit de AVG komen. De verwerker verwerkt gegevens alleen op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, zorgt dat mensen die de gegevens verwerken tot geheimhouding verplicht zijn, en treft passende beveiligingsmaatregelen. Ook hoort geregeld te zijn wat er gebeurt als de verwerker een andere partij inschakelt (een subverwerker), hoe de verwerker helpt bij verzoeken van betrokkenen en bij het melden van datalekken, en wat er met de gegevens gebeurt zodra de dienstverlening stopt — vernietigen of teruggeven. Vaak staat er ook in dat de verwerkingsverantwoordelijke mag controleren of de afspraken worden nageleefd, bijvoorbeeld door middel van een audit.

Waar dit uit volgt: artikel 28 van de AVG

Deze opsomming volgt rechtstreeks uit artikel 28 van de AVG, dat specifiek beschrijft wat een verwerkersovereenkomst moet bevatten wanneer een verwerkingsverantwoordelijke een verwerker inschakelt. De richtsnoeren van de EDPB geven daarbij verdere duiding over hoe die bepalingen in de praktijk kunnen worden ingevuld, bijvoorbeeld bij het beoordelen van beveiligingsmaatregelen of het inschakelen van subverwerkers. Voor de exacte formulering van elke verplichting blijft de tekst van artikel 28 zelf het uitgangspunt.