Ja, u kunt zelf een verwerkersovereenkomst opstellen. De AVG schrijft geen verplicht format voor: er is geen officieel model dat u moet gebruiken, alleen een reeks onderwerpen die de overeenkomst sowieso moet regelen. Voor een eenvoudige relatie met één duidelijk omschreven dienst, zonder onderaannemers en zonder gegevens die naar buiten de EU gaan, is zelf opstellen vaak een haalbare klus van een middag.
De vraag is niet zozeer of het mag, maar of de situatie eenvoudig genoeg is om zonder hulp goed te doen. Zodra er meerdere partijen in de keten zitten, gevoelige gegevens verwerkt worden, of de andere partij een eigen conceptovereenkomst stuurt die afwijkt van wat u nodig heeft, wordt zelf opstellen lastiger te overzien. Dan is juridisch advies, of op zijn minst een gestructureerde toets, verstandiger dan een sjabloon invullen en hopen dat het klopt.
Wat er sowieso in moet staan
Ongeacht wie de overeenkomst opstelt, regelt een verwerkersovereenkomst een vaste set onderwerpen. Daarin staat wat het onderwerp en de duur van de verwerking zijn, welke categorieën persoonsgegevens en betrokkenen het gaat, en wat het doel van de verwerking is. Daarnaast legt de overeenkomst vast dat de verwerker alleen werkt op instructie van de verwerkingsverantwoordelijke, dat medewerkers van de verwerker tot geheimhouding verplicht zijn, welke beveiligingsmaatregelen gelden, hoe onderaannemers worden ingeschakeld en gemeld, hoe de verwerker meewerkt aan verzoeken van betrokkenen en aan datalekmeldingen, en wat er met de gegevens gebeurt na afloop van de overeenkomst. Deze onderdelen staan letterlijk in de verordening zelf; wie ze mist in een concept, mist iets dat er hoort te staan.
Wanneer zelf opstellen praktisch werkt
Zelf opstellen werkt goed wanneer de relatie overzichtelijk is: u bent zelf de verwerkingsverantwoordelijke, u schakelt één leverancier in voor één afgebakende dienst, er zijn geen bekende onderaannemers buiten de EU, en de gegevens zijn niet bijzonder gevoelig. Denk aan een boekhoudpakket, een mailingtool of een planningssysteem waarvan de leverancier al een standaardversie aanbiedt. In dat geval is uw werk vooral controleren of de standaardtekst de vaste onderdelen dekt, en of de gemaakte afspraken kloppen met wat de tool feitelijk doet. Wie dat overzicht wil hebben voor de tools die dagelijks gebruikt worden, vindt in de kennisbank met de vaste onderdelen per situatie een structuur om tegen aan te leggen.
Wanneer uitbesteden verstandiger is
De grens verschuift zodra de keten complexer wordt: meerdere onderaannemers, doorgifte naar landen buiten de EU, verwerking van gezondheidsgegevens, biometrische gegevens of gegevens over minderjarigen, of een tegenpartij die een eigen concept aanlevert dat afwijkt van wat u had verwacht. In die gevallen is het risico niet dat u geen overeenkomst heeft, maar dat u er een tekent of opstelt die niet dekt wat er werkelijk gebeurt. Een jurist of gespecialiseerd adviseur kan dan beoordelen of de afspraken passen bij de daadwerkelijke gegevensstroom, iets wat een sjabloon niet voor u doet.
Sjabloon gebruiken is iets anders dan zelf opstellen
Er zit verschil tussen een sjabloon als startpunt gebruiken en een overeenkomst volledig zelf schrijven. Een sjabloon dwingt u om de vaste onderdelen langs te lopen, maar vult ze niet automatisch correct in voor uw situatie. Andersom geldt hetzelfde voor een overeenkomst die een klant of leverancier u toestuurt: die kan er compleet uitzien en toch een onderdeel missen, of een afspraak bevatten die niet aansluit bij wat er in de praktijk gebeurt. Antwoorden op veelgestelde vragen daarover, zoals wat een klant redelijkerwijs mag eisen en wat niet, staan verzameld in de veelgestelde vragen over verwerkersafspraken.
Wat gdpria.eu daarin doet
Het controleren van een verwerkersovereenkomst die iemand u stuurt, en het opzoeken van de vaste onderdelen in de kennisbank, is gratis en zonder account. Het systeem eromheen — de documentenset met sjablonen, de bewaking van lopende overeenkomsten en de termijnen die eraan hangen — zit in het abonnement. Wat erin zit, staat overzichtelijk in het overzicht van de abonnementsvormen. Wij geven daarbij duiding en structuur, geen juridisch advies: u beslist zelf of u zelf opstelt, een sjabloon gebruikt, of een jurist inschakelt.
Wilt u eerst zien hoe dat er in de praktijk uitziet voordat u iets aanmaakt? Lees de onderwerpen in de kennisbank door, of maak een zakelijk account aan om het register en de bewaking voor uw eigen verwerkersovereenkomsten in te richten.