Welke documenten heeft u nodig om privacy aan te tonen bij een aanbesteding of verzekeraar?
Als een aanbestedende dienst of een verzekeraar vraagt om aan te tonen dat u zorgvuldig omgaat met persoonsgegevens, komt dat meestal neer op een vast pakket: een verwerkingsregister, de verwerkersovereenkomsten met uw eigen leveranciers, een privacyverklaring, een overzicht van de beveiligingsmaatregelen die u toepast, en een korte beschrijving van hoe u omgaat met een datalek of een verzoek van een betrokkene. Bij een aanbesteding komt daar vaak een ingevulde vragenlijst of een verklaring bij; bij een verzekeraar is dat eerder een intakeformulier voor een cyberpolis.
De reden dat dit pakket steeds terugkomt, is dat de AVG een verantwoordingsplicht kent: een organisatie moet niet alleen persoonsgegevens zorgvuldig verwerken, maar dat ook kunnen aantonen. Een aanbesteder of verzekeraar toetst dus niet of u "iets aan privacy doet", maar of u dat op papier kunt laten zien. Dat is precies het detail waar het bij dit koopmoment om draait: niet de intentie, maar het bewijs.
Het verwerkingsregister als ruggengraat
Het verwerkingsregister is meestal het eerste stuk waar naar gevraagd wordt, en ook het stuk waar de rest op voortbouwt. Daarin staat welke persoonsgegevens u verwerkt, met welk doel, wie ze ontvangt en hoe lang u ze bewaart. Een aanbestedende dienst herkent hierin snel of een organisatie structureel heeft nagedacht over haar gegevensstromen, of dat het register er speciaal voor de aanvraag bij is gemaakt. Wat er precies in moet staan en hoe gedetailleerd, leest u in de kennisbank met uitleg per onderwerp.
Verwerkersovereenkomsten met uw eigen leveranciers
Het tweede stuk dat vrijwel altijd gevraagd wordt, is het overzicht van verwerkersovereenkomsten: de overeenkomsten die u zelf heeft gesloten met de SaaS-tools en dienstverleners die namens u persoonsgegevens verwerken. Denk aan een salarisadministratiepakket, een CRM-systeem of een clouddienst voor bestanden. Een aanbesteder of verzekeraar wil hier niet alleen zien dát die overeenkomsten er zijn, maar ook dat ze actueel zijn en aansluiten bij de tools die daadwerkelijk gebruikt worden. Een register dat drie leveranciers noemt terwijl er in de praktijk acht actief zijn, valt bij een grondige toets snel op.
Beveiliging en de omgang met incidenten
Naast het register en de overeenkomsten wordt vaak gevraagd naar de organisatorische en technische maatregelen die getroffen zijn: wie heeft toegang tot welke systemen, hoe wordt data versleuteld, is er een back-upstrategie. Verzekeraars vragen dit vaak expliciet uit in een vragenlijst voor de premieberekening. Een overzicht van de genomen maatregelen leest u terug op de pagina over beveiliging van persoonsgegevens. Daarnaast wordt regelmatig gevraagd hoe een organisatie een datalek herkent en afhandelt: is er een procedure, weet iemand wie waarschuwt en binnen welke termijn. De beslisboom die bepaalt of een incident meldingsplichtig is, kunt u in een paar vragen doorlopen om te zien waar u ongeveer staat.
Wat een lijst niet oplost
Het is verleidelijk om deze documenten te zien als een checklist die je in één middag afvinkt. Dat werkt niet goed, en dat is meteen de valkuil bij dit koopmoment. Een verwerkingsregister dat niet aansluit bij de werkelijke tools, of een verwerkersovereenkomst die nooit is nagelezen, houdt bij een grondige beoordeling geen stand. Toezichthouders en ook aanbestedende diensten kijken naar samenhang: sluiten de stukken op elkaar aan, en is aannemelijk dat ze levend worden bijgehouden in plaats van eenmalig opgesteld.
Daarom is het nuttiger om deze documenten te zien als een doorlopend geheel dat meebeweegt met de tools en processen die u gebruikt, in plaats van als een eenmalige set papieren voor één aanvraag. Hoe die opbouw eruitziet en waar de informatie vandaan komt, staat toegelicht op de pagina hoe het systeem is opgebouwd.
Wanneer schakelt u een jurist in
Een aanbestedingsvoorwaarde of een polisvoorwaarde kan specifieke eisen stellen die verder gaan dan de AVG zelf, bijvoorbeeld een verplichte ISO-certificering of een aansprakelijkheidsclausule. Of uw stukken daaraan voldoen, is een juridische afweging die bij de betreffende opdracht of polis hoort, en die kunt u het beste laten beoordelen door een jurist of, bij twijfel over de AVG zelf, door de Autoriteit Persoonsgegevens te raadplegen.
Wilt u zien welke documenten voor uw situatie al op orde zijn en welke nog ontbreken? Doe de gratis quick-scan of lees de andere onderwerpen in de kennisbank om te bepalen waar u nu staat.