Zit de leverancier waarmee u een verwerkersovereenkomst sluit buiten de Europese Unie of de Europese Economische Ruimte, dan verandert de verwerkersovereenkomst zelf niet wezenlijk. Dezelfde onderdelen die de AVG voorschrijft — het onderwerp en de duur van de verwerking, de aard en het doel, het soort gegevens, de categorieën betrokkenen, en de verplichtingen en rechten van u als verwerkingsverantwoordelijke — moeten er nog steeds in staan, ongeacht waar de leverancier is gevestigd.
Wat er wél bijkomt, is een aparte laag regels: de AVG stelt extra voorwaarden aan het doorgeven van persoonsgegevens naar een land buiten de EU of de EER. Die laag dwingt u om na te gaan of voor dat specifieke land een waarborg nodig is bovenop de gewone afspraken in de verwerkersovereenkomst, en zo ja, welke.
Wat blijft hetzelfde
De kern van een verwerkersovereenkomst gaat over de relatie tussen u en de partij die namens u gegevens verwerkt: wie doet wat, met welk doel, hoe lang, en wat er gebeurt bij een datalek of bij beëindiging van de samenwerking. Die afspraken gelden voor elke verwerker, of die nu in Rotterdam, Dublin of San Francisco zit. Een leverancier buiten de EU ontslaat u dus niet van de gewone toets op een verwerkersovereenkomst; die toets blijft nodig, alleen komt er iets bovenop.
De doorgifteregels: de extra laag
De AVG regelt afzonderlijk onder welke voorwaarden persoonsgegevens het grondgebied van de EU of de EER mogen verlaten. Het uitgangspunt is dat het beschermingsniveau van de gegevens niet mag verwateren doordat ze naar een ander land gaan. Voor een aantal landen heeft de Europese Commissie vastgesteld dat het beschermingsniveau daar voldoende is; dat heet een adequaatheidsbesluit, en het geldt niet automatisch voor een heel land maar soms alleen voor een bepaalde sector of regeling. Is er geen adequaatheidsbesluit, dan is een veelgebruikt mechanisme de standaardcontractbepalingen die de Europese Commissie publiceert: een vastgesteld model dat als aanvulling naast of als bijlage bij de verwerkersovereenkomst wordt gebruikt. Welke variant van toepassing is en of die actueel is, verandert weleens; de vindplaats van de actuele lijsten en modellen staat bij de Europese Commissie en bij de Autoriteit Persoonsgegevens, niet in een vaste tekst die u kunt onthouden.
De cloud maakt het lastiger dan het lijkt
Bij veel SaaS-tools voelt de vraag "zit mijn leverancier binnen de EU" eenvoudiger dan hij is. Een leverancier kan een Europees hoofdkantoor hebben en toch gebruikmaken van sub-verwerkers, datacenters voor back-up, of supportmedewerkers buiten de EU. Ook dat telt mee als doorgifte, ook al staat de hoofdvestiging in Nederland of Duitsland. De vraag is dus niet alleen waar de leverancier gevestigd is, maar waar de gegevens daadwerkelijk terechtkomen, inclusief de schakels erachter.
Wat u praktisch kunt navragen
Een leverancier die zijn zaken op orde heeft, kan meestal aangeven waar gegevens worden verwerkt en opgeslagen, of er sub-verwerkers buiten de EU worden ingeschakeld, en welk doorgiftemechanisme daarvoor is toegepast. Dit soort vragen hoort thuis in dezelfde beoordeling als de rest van de verwerkersovereenkomst: niet als aparte exercitie achteraf, maar als onderdeel van het lezen van de overeenkomst zelf. Wie hier structuur in zoekt, vindt in de kennisbank per onderwerp uitgelegd hoe de verschillende situaties zich tot elkaar verhouden.
Waarom de vindplaats hier extra belangrijk is
Omdat lijsten met adequaatheidsbesluiten en modellen voor standaardcontractbepalingen door de tijd heen wijzigen, is het risico van een verouderde aanname hier groter dan bij de meeste andere AVG-onderwerpen. Een tekst die vandaag klopt, hoeft dat over een jaar niet meer te doen. Daarom werken wij bij dit soort onderwerpen altijd met een directe verwijzing naar de bron in plaats van met een samenvatting die op zichzelf moet blijven staan; hoe dat er precies uitziet, leest u op de pagina over waar onze informatie vandaan komt.
Wat dit betekent voor uw register en uw overeenkomsten
Als u bijhoudt welke leveranciers u gebruikt en waar die gevestigd zijn, ziet u in één oogopslag bij welke verwerkersovereenkomsten de doorgifteregels een rol spelen en bij welke niet. Dat is precies waarom vestigingsland een vast onderdeel is van de manier waarop wij een leverancier in het systeem opnemen. Vragen die vaker terugkomen over dit thema staan verzameld bij de veelgestelde vragen over leveranciers en gegevens buiten Nederland.
Of voor uw situatie daadwerkelijk een aanvullende waarborg nodig is, en welke, is uiteindelijk aan uzelf of aan uw jurist om te beoordelen; wij geven duiding en structuur, geen juridisch advies. Bij twijfel over de toepassing in een concreet geval kunt u ook terecht bij de Autoriteit Persoonsgegevens.
Wilt u overzichtelijk krijgen welke van uw leveranciers binnen en welke buiten de EU zitten, en of daar een verwerkersovereenkomst met de juiste waarborgen bij hoort? Doe de gratis check op een verwerkersovereenkomst of open een zakelijk account om het bij te houden in uw register.