De meestgemaakte fout bij het beoordelen van een verwerkersovereenkomst is dat bedrijven het document tekenen zonder te controleren wie in die relatie welke rol heeft. Een verwerkersovereenkomst regelt de afspraken tussen een verwerkingsverantwoordelijke, die bepaalt waarom en hoe gegevens worden verwerkt, en een verwerker, die dat in opdracht doet. Wordt die rolverdeling niet gecontroleerd, dan tekent u soms een document dat op uw situatie helemaal niet van toepassing is, of mist u juist een overeenkomst die er wel had moeten zijn.
Daarnaast gaat het vaak mis op drie andere punten: subverwerkers die niet genoemd staan, beveiligingsmaatregelen die alleen in algemene termen zijn omschreven, en geen enkele afspraak over wat er met de gegevens gebeurt zodra de samenwerking stopt. Dit zijn geen kleine details maar de kern van waar een verwerkersovereenkomst voor dient: vastleggen wie waarvoor verantwoordelijk is, zolang de samenwerking duurt en ook daarna.
De rolverdeling niet controleren
Een verwerkersovereenkomst gaat uit van een vaste verdeling: de ene partij bepaalt het doel en de middelen van de verwerking, de andere voert die verwerking uit volgens instructie. In de praktijk wisselen die rollen soms per opdracht. Een boekhoudkantoor is verwerker voor de salarisadministratie van een klant, maar verwerkingsverantwoordelijke voor de eigen personeelsgegevens. Wie een overeenkomst tekent zonder deze rol te bepalen, weet niet zeker of het juiste document ondertekend wordt. De AVG zelf beschrijft deze rolverdeling, en de richtsnoeren van de EDPB gaan er uitgebreid op in.
Subverwerkers die onbenoemd blijven
Veel SaaS-tools schakelen op hun beurt weer andere partijen in, bijvoorbeeld voor hosting of voor klantenservice. Een verwerkersovereenkomst hoort te vermelden of dat mag, onder welke voorwaarden, en of u daarover vooraf wordt geïnformeerd. Ontbreekt die bepaling, dan weet u simpelweg niet welke partijen in de praktijk toegang hebben tot de gegevens die u aanlevert. Dat is precies het soort informatie dat u in de kennisbank per onderwerp kunt naslaan voordat u een handtekening zet.
Beveiliging die alleen in algemene termen staat
Een zin als "passende technische en organisatorische maatregelen worden getroffen" zegt op zichzelf weinig. Een overeenkomst die verder gaat, benoemt concreet wat die maatregelen inhouden: versleuteling, toegangsbeheer, back-ups, meldprocedures bij een incident. Hoe specifieker dat is vastgelegd, hoe duidelijker het is wat een leverancier daadwerkelijk doet. Ter vergelijking: op de pagina over hoe wij zelf met gegevens en beveiliging omgaan ziet u hoe zo'n toelichting er in de praktijk uit kan zien.
Geen afspraak over het einde van de samenwerking
Wat gebeurt er met de gegevens zodra het contract stopt? Worden ze teruggegeven, vernietigd, of blijven ze nog ergens staan? Dit is een van de punten die het vaakst ontbreekt, terwijl het juist na afloop van een samenwerking lastig is om alsnog afspraken te maken. Een verwerkersovereenkomst die hier niets over zegt, laat u achter met een gat in de administratie precies op het moment dat u die het minst kunt gebruiken.
Hoe u dit voorkomt
De meeste van deze fouten ontstaan niet uit onwil maar uit tijdgebrek: een verwerkersovereenkomst wordt gezien als hamerstuk terwijl het inhoudelijk om vier of vijf concrete punten gaat. Loop die punten na voordat u tekent, en vraag door bij de leverancier als iets ontbreekt of vaag geformuleerd is. Twijfelt u over een specifieke bepaling, raadpleeg dan een jurist of, bij vragen over de uitleg van de AVG zelf, de Autoriteit Persoonsgegevens. Antwoorden op veelgestelde vragen over dit soort documenten vindt u ook onder de veelgestelde vragen over verwerkersovereenkomsten.
Deze uitleg is bedoeld om u wegwijs te maken in wat er in een verwerkersovereenkomst hoort te staan, niet om te beoordelen of een specifiek document dat u ontving voldoet. Hoe wij tot deze informatie komen en welke bronnen daaraan ten grondslag liggen, leest u op de pagina over hoe het werkt.
Wilt u snel zien waar uw bedrijf staat? Doe de gratis quick-scan of blader door de onderwerpen in de kennisbank om te zien welke stap voor uw situatie relevant is.