Gebruik je een cloudleverancier voor mail, bestanden of agenda? Dan verwerkt die partij persoonsgegevens namens jou. Van klanten, van leveranciers en van je eigen medewerkers. De AVG vraagt dan om een verwerkersovereenkomst. Veel bedrijven hebben er ooit een aangeklikt bij het afsluiten van een abonnement. Weinig mensen weten nog wat erin staat.
Waarom een verwerkersovereenkomst
De AVG maakt onderscheid tussen twee rollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Dat ben jij als organisatie. De verwerker doet dat werk namens jou, bijvoorbeeld door je mail te hosten of je bestanden op te slaan. Dat is je cloudleverancier.
Artikel 28 van de AVG schrijft voor dat die verhouding wordt vastgelegd. In de verwerkersovereenkomst staat onder meer dat de verwerker alleen handelt op jouw instructie, hoe de gegevens worden beveiligd, wie er nog meer bij betrokken is en wat er gebeurt als de samenwerking stopt.
Belangrijk om te onthouden: de verantwoordelijkheid blijft bij jou. Je kunt het werk uitbesteden, maar je moet wel weten wat je hebt afgesproken. Dit artikel is geen juridisch advies. Het helpt je wel om de juiste vragen te stellen.
Vraag 1: waar staan onze gegevens, en mag dat ook ergens anders?
Kijk eerst waar de verwerking plaatsvindt. Staat er een land of regio in de overeenkomst? En staat er bij dat het ook ergens anders mag?
Let vooral op doorgifte buiten de Europese Economische Ruimte (EER). Dat mag alleen als daar een grondslag voor is volgens hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Staat er in de overeenkomst dat gegevens “wereldwijd” kunnen worden verwerkt, dan weet je dat het antwoord op deze vraag minder kort is dan je dacht.
Vraag 2: welke andere partijen kijken mee?
Bijna geen leverancier doet alles zelf. Denk aan een datacenter, een back-updienst of een partij voor spamfiltering. Dat zijn subverwerkers. Zij komen ook bij jouw gegevens.
Zoek in de overeenkomst op hoe dat is geregeld. Heb je algemene of specifieke toestemming gegeven? Is er een lijst van subverwerkers? Word je geïnformeerd als er een bij komt of wordt vervangen, en kun je dan bezwaar maken? Een leverancier die subverwerkers wisselt zonder dat jij het hoort, maakt het lastig om je eigen privacyverklaring actueel te houden.
Vraag 3: wat gebeurt er als we opzeggen?
Bij het afsluiten van een dienst denkt niemand aan het einde. Toch is dat het moment waarop het ertoe doet. De AVG vraagt dat de verwerker na afloop de gegevens teruggeeft of verwijdert, naar keuze van de verantwoordelijke.
Kijk wat er in jouw overeenkomst staat. Kun je kiezen tussen teruggave en verwijdering? Wie moet de export doen, en voor welke datum? Wat gebeurt er met gegevens in back-ups? Hoe sneller je dit weet, hoe minder verrassingen bij een overstap.
Een korte checklist
- Zoek de overeenkomst op. Per leverancier die persoonsgegevens voor je verwerkt. Sla hem op een vaste plek op, niet alleen in een mail van drie jaar geleden.
- Noteer de opslaglocatie. En of doorgifte buiten de EER mogelijk is, en op welke grondslag.
- Vraag de lijst van subverwerkers op. En controleer hoe je wordt geïnformeerd over wijzigingen.
- Lees het artikel over beëindiging. Weet wie exporteert, wat er wordt verwijderd en wat er met back-ups gebeurt.
- Zet het in je verwerkingsregister. Dan hoef je het de volgende keer niet opnieuw uit te zoeken.
Kun je de drie vragen niet beantwoorden, dan weet je wat je deze week op je lijstje zet.
Hoe dat bij ENEM Office zit
Bij ENEM Office staan je mail, bestanden en agenda op onze eigen servers in Amsterdam en Ede. Dat maakt de eerste vraag een stuk korter.
Onze verwerkersovereenkomst staat gewoon openbaar op de site: enem.nl/vwovk. Je kunt hem lezen voordat je iets afsluit. Daarin staat onder meer dat we persoonsgegevens in beginsel binnen de EER verwerken (artikel 7), dat we je op redelijke wijze informeren over materiële toevoegingen of vervangingen van subverwerkers en dat je op gegevensbeschermingsgronden bezwaar kunt maken (artikel 6), en dat we bij beëindiging naar jouw keuze persoonsgegevens retourneren of verwijderen, behoudens wettelijke bewaarplichten (artikel 11).
Zelf bekijken
Wil je zien hoe het werkt? Probeer ENEM Office gratis en kijk zelf waar je mail, bestanden en agenda staan.
