Verwerkersovereenkomst: wanneer heb je hem nodig, en wat moet erin?
Je hebt een verwerkersovereenkomst nodig met elke partij die persoonsgegevens voor jou en in jouw opdracht verwerkt, zoals je cloudsoftware, je salarisverwerker of een AI-dienst. De AVG verplicht dat, en zonder overeenkomst zijn jullie allebei aansprakelijk. Erin staat onder meer wat de partij met de gegevens mag doen, hoe ze worden beveiligd, welke andere partijen meekijken en wat er gebeurt als je stopt.
Wanneer je hem nodig hebt.
Verwerkt een partij persoonsgegevens voor jou en in jouw opdracht, dan is ze verwerker en heb je een overeenkomst nodig.
De AVG eist van zowel de verwerkingsverantwoordelijke als de verwerker dat er een verwerkersovereenkomst is12. Ontbreekt die, dan kunnen beide partijen aansprakelijk worden gesteld, en heeft de verwerker eigenlijk geen recht om de gegevens te verwerken1.
Verwerkt de partij persoonsgegevens van je klanten, medewerkers of andere mensen?
Opslaan, lezen, analyseren of doorsturen telt allemaal als verwerken.
Ja: ga naar Doet ze dat in jouw opdracht en alleen voor jouw doelen?. Nee: ga naar Geen verwerkersovereenkomst nodig.
Doet ze dat in jouw opdracht en alleen voor jouw doelen?
Bijvoorbeeld: je CRM slaat klantgegevens op zodat jij ze kunt gebruiken; een AI-dienst leest mails zodat jij sneller kunt antwoorden.
Ja: ga naar Verwerker: een verwerkersovereenkomst is verplicht. Nee: ga naar Waarschijnlijk geen verwerker.
Geen verwerkersovereenkomst nodig
Zonder persoonsgegevens is er geen verwerking. Andere afspraken, zoals geheimhouding van bedrijfsinformatie, kunnen wel verstandig zijn.
Verwerker: een verwerkersovereenkomst is verplicht
Voorbeelden: hosting, cloudsoftware, een salarisverwerker, een mailingdienst, een AI-dienst die voor jou mails of documenten verwerkt2.
Waarschijnlijk geen verwerker
Bepaalt de partij zelf waarvoor en hoe ze de gegevens gebruikt, dan is ze zelf verwerkingsverantwoordelijke2. Een verwerkersovereenkomst past dan niet; wel kunnen andere afspraken nodig zijn. Bij twijfel: vraag het een privacyjurist.
Wat erin moet.
Volgens de Autoriteit Persoonsgegevens. Gebruik het als checklist bij de overeenkomst die je leverancier je stuurt.
- Wat en wie. Onderwerp, duur, aard en doel van de verwerking, welke soorten persoonsgegevens en van welke groepen mensen1.
- Alleen op jouw instructie. De verwerker gebruikt de gegevens niet voor eigen doelen1.
- Geheimhouding voor iedereen die bij de verwerker met de gegevens werkt1.
- Beveiliging, zoals versleuteling, pseudonimisering en regelmatig testen1.
- Subverwerkers alleen met jouw voorafgaande schriftelijke toestemming, met dezelfde plichten; de verwerker blijft aansprakelijk1.
- Hulp bij rechten van betrokkenen, zoals inzage, correctie en verwijdering1.
- Hulp bij datalekken en bij een DPIA1. Een datalek meld jij binnen 72 uur; de verwerker moet jou dus snel inlichten2.
- Einde van de dienst: gegevens en kopieën verwijderen of teruggeven, tenzij de wet bewaren verplicht1.
- Audits: medewerking aan controle door jou of een derde1.
Extra vragen bij een AI-dienst.
Een AI-dienst is een verwerker als elke andere, met een paar vragen die bij gewone software niet spelen.
Wordt er getraind op onze gegevens?
Staat in de overeenkomst dat je invoer niet wordt gebruikt om modellen te trainen? Bij zakelijke diensten is dat vaak de standaard3, bij gratis versies niet.
Waar wordt het verwerkt, niet alleen opgeslagen?
Data kan in de EU staan terwijl het model elders draait. Doorgifte buiten de EU mag alleen onder voorwaarden2.
Wie levert het model?
Veel AI-diensten gebruiken een model van een andere partij. Die moet als subverwerker op de lijst staan.
Hoe lang blijft invoer bewaard?
Ook als er niet op wordt getraind, kunnen gesprekken een tijd worden bewaard, bijvoorbeeld voor misbruikcontrole. Vraag hoe lang.
Tekenen zonder lezen
De standaardovereenkomst van een leverancier is in zijn voordeel geschreven. Lees in elk geval de paragrafen over subverwerkers, locatie en beëindiging.
Een lijst die niemand bijhoudt
Houd per leverancier bij of er een overeenkomst is en wanneer je hem hebt gecontroleerd. Nieuwe tools komen er sneller bij dan je denkt.
Persoonlijke accounts
Een medewerker die zelf een AI-tool afsluit, sluit geen verwerkersovereenkomst namens je bedrijf. Spreek af welke diensten wel mogen; zie AI-afspraken met medewerkers.
Vergeten wat er bij stoppen gebeurt
Zonder afspraak over verwijderen of teruggeven blijven je gegevens bij de leverancier staan, of krijg je ze niet terug in een bruikbaar formaat.
Ook Traze is voor zijn klanten verwerker, dus ook daar hoort een verwerkersovereenkomst bij. Details staan bij veiligheid en AVG.
Veelgestelde vragen
Wanneer is een verwerkersovereenkomst verplicht?
Als een andere partij persoonsgegevens verwerkt in jouw opdracht en voor jouw doelen. Denk aan een hostingpartij, een cloud-CRM, een salarisverwerker, een mailingdienst of een AI-dienst. Bepaalt die partij zelf waarvoor ze de gegevens gebruikt, dan is ze geen verwerker.
Wat moet er in een verwerkersovereenkomst staan?
Onder meer: om welke gegevens en welke mensen het gaat, dat de verwerker alleen op jouw instructie werkt, geheimhouding, beveiligingsmaatregelen, regels voor subverwerkers, hulp bij rechten van betrokkenen en datalekken, verwijderen of teruggeven bij het einde, en medewerking aan audits.
Wie stelt de verwerkersovereenkomst op?
Meestal de leverancier, als standaarddocument of als bijlage bij de voorwaarden. Dat is prima, maar lees hem: jij blijft verantwoordelijk voor de gegevens. Let vooral op subverwerkers, de locatie van de verwerking en wat er bij stoppen gebeurt.
Heb ik een verwerkersovereenkomst nodig voor ChatGPT?
Als je er persoonsgegevens in verwerkt, ja. OpenAI biedt voor zakelijke klanten een Data Processing Addendum. Voor gratis en persoonlijke accounts heb je als bedrijf geen overeenkomst, en daar horen dus geen persoonsgegevens in.
Bronnen
- Autoriteit Persoonsgegevens, Verwerkersovereenkomst (wanneer verplicht en wat erin moet): www.autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/verwerkersovereenkomst
- Verordening (EU) 2016/679, de AVG: artikel 4 (definities verwerkingsverantwoordelijke en verwerker), 28 (verwerker), 33 (datalek) en 44 tot en met 46 (doorgifte buiten de EU): eur-lex.europa.eu/eli/reg/2016/679/oj
- OpenAI, Business data privacy, security, and compliance (Data Processing Addendum beschikbaar voor zakelijke klanten): openai.com/business-data/
Lees verder
Zie wat AI voor
jouw bedrijf doet.
In een demo van 15 of 45 minuten laten we Traze zien met jullie eigen voorbeelden: welke collega's, welke taken, hoeveel uur.