Van bewerkersovereenkomst naar verwerkersovereenkomst

Nog vier maanden en dan zal de Wet bescherming persoonsgegevens worden vervangen door de Algemene verordening gegevensbescherming (AVG, soms ook wel GDPR genoemd – de afkorting van de Engelse benaming General data protection regulation). Het zal u vast niet zijn ontgaan, want bedrijven worden van alle kanten bestookt met informatie over de nieuwe regelgeving. Niet zelden wordt daarbij de indruk gewekt dat de regels over gegevensbescherming volledig op de schop gaan. Wij kiezen hier voor een wat realistischer insteek: in de basis gaat er namelijk helemaal niet zo heel veel veranderen. Dat wil overigens zeker niet zeggen dat u niets hoeft te doen: het is bijvoorbeeld vrijwel zeker dat u uw privacybeleid en bewerkersovereenkomsten moet herzien, en het is goed mogelijk dat u gegevens over uw verwerkingen moet gaan vastleggen.

In deze blog zullen we de wijzigingen op het vlak van de verwerkersovereenkomst belichten. Inderdaad verwerkersovereenkomst, want de auteurs van de Nederlandstalige versie van de AVG hebben ervoor gekozen om wat onder de Wbp nog bewerker (een partij die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt) heet, verwerker te gaan noemen. Er valt wat te zeggen voor die keuze: ook in andere talen wordt de term “verwerken” (processing, Verarbeitung, traitement) gebruikt als verzamelnaam voor alle handelingen met persoonsgegevens (zoals verzamelen, opslaan en raadplegen), en de term “verwerker” voor de partij die ten behoeve van een verantwoordelijke gegevens verwerkt (processor, Verarbeiter, traitant). Daar staat tegenover dat de term ook verwarring kan wekken: niet iedereen die persoonsgegevens verwerkt, is verwerker. De verantwoordelijke, die in de AVG overigens verwerkingsverantwoordelijke heet, kan zelf immers ook verwerken, maar is daarmee uiteraard nog geen verwerker. Wat dat betreft is de term “bewerker” duidelijker.

De wijzigingen beperken zich niet tot de terminologie – de AVG stelt veel uitgebreidere eisen aan de verwerkersovereenkomst dan de Wbp deed. Waar onder de huidige wetgeving alleen afspraken over beveiliging en melding van datalekken schriftelijke hoeven te worden vastgelegd, vereist de AVG dat ook afspraken over andere onderwerpen op schrift worden gesteld. Hieronder vindt u een aantal verplichtingen die gelden voor de verwerker, en die vanaf 25 mei in alle verwerkersovereenkomsten moeten zijn opgenomen. Voor alle duidelijkheid, dit is een selectie – de AVG bepaalt ook voor enkele andere afspraken dat deze schriftelijk moeten worden vastgelegd.

De verwerker moet (evenals de verantwoordelijke) de personen die de verwerking namens hem verrichten, zoals werknemers, binden aan geheimhoudingsvoorschriften.
De verwerkersovereenkomst moet bepalen dat de verwerker uitsluitend op grond van schriftelijke instructies van de verwerkingsverantwoordelijke gegevens verwerkt.
Als de verwerker gebruik maakt van de diensten van andere verwerkers, moet hij daarvoor schriftelijke toestemming van de verwerkingsverantwoordelijke hebben.
De verwerker kan verplicht zijn om de verantwoordelijke te ondersteunen bij de nakoming van diens verplichtingen met betrekking tot onder andere beveiliging van gegevens, het melden van datalekken en het uitvoeren van een gegevensbeschermingseffectbeoordeling.
De verwerker moet de verantwoordelijke helpen om de rechten van betrokkenen te waarborgen, zoals het recht van betrokkenen op inzage van de persoonsgegevens die over hen verwerkt worden.
Als de verwerkingsdienst eindigt moet de verwerker, naar keuze van de verantwoordelijke, de verwerkte gegevens wissen of teruggeven aan de verantwoordelijke.
De verwerker is verplicht mee te werken aan controles van de naleving van de afspraken door de verantwoordelijke zelf of een door hem aan te wijzen auditeur.

Veel van bovenstaande verplichtingen zijn op zichzelf niet nieuw: ook onder de Wbp is de verwerker verplicht tot geheimhouding en moet hij de verantwoordelijke in staat stellen om te voldoen aan de verplichtingen van de Wbp. Wel nieuw is dat al deze verplichtingen in de verwerkersovereenkomst moeten worden opgenomen, waardoor de verwerker ook contractueel gehouden is om deze (wettelijke) verplichtingen na te komen. Twijfelt u of uw huidige verwerkersovereenkomsten voldoen aan de eisen van de AVG? Wij kijken graag even vrijblijvend met u mee! Mocht aanpassing nodig blijken, dan kunnen wij u daarvoor een mooi aanbod doen.