Module 9 · 9.2
Nederlands
De verwerkersovereenkomst en subverwerkers
Module 9: Mensen en regels · Leestijd: 11 minuten
Leerdoel: Na deze les kun je een verwerkersovereenkomst lezen en controleren op de punten die de AVG eist, en een lijst met subverwerkers beoordelen.
Kernbegrippen: verwerkersovereenkomst (VWO, DPA), art. 28 lid 3 AVG, schriftelijke instructies, geheimhouding, beveiligingsmaatregelen, subverwerker, algemene of specifieke toestemming, recht van bezwaar, bijstand, teruggeven of verwijderen, audit, doorgifte buiten de EER, meldtermijn datalek, standaardcontractbepalingen voor verwerkers
Waarom een verwerkersovereenkomst?
In les 1.2 zag je de rollen: Bakkerij De Korrel is verwerkingsverantwoordelijke, de clouddienst is verwerker. Artikel 28 lid 3 van de AVG eist dat de verwerking door een verwerker wordt geregeld in een overeenkomst (of een andere rechtshandeling) die schriftelijk is vastgelegd. Elektronisch mag ook. Dat is de verwerkersovereenkomst, afgekort VWO; in het Engels Data Processing Agreement (DPA) of Data Processing Addendum.
Bij grote clouddiensten teken je niet zelf een document: de VWO is onderdeel van de voorwaarden waarmee je akkoord gaat, of je zet een vinkje in het beheerscherm. Bij kleinere aanbieders download je soms een document, vul je je gegevens in en onderteken je het. Hoe dan ook: als verantwoordelijke moet je kunnen laten zien dat er een VWO is en wat erin staat.
Dit is uitleg, geen juridisch advies. Bij twijfel over je eigen contracten vraag je een jurist of je functionaris gegevensbescherming.
Wat er volgens de AVG in moet staan
Artikel 28 lid 3 noemt eerst de onderwerpen die de overeenkomst moet beschrijven: het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens, de categorieën betrokkenen, en de rechten en plichten van de verantwoordelijke. Daarna volgen acht verplichtingen van de verwerker (sub a tot en met h). Hieronder in gewone taal, met de vraag die jij stelt bij het lezen:
| Art. 28 lid 3 | Wat de verwerker moet | Jouw controlevraag |
|---|---|---|
| a | Alleen verwerken op jouw schriftelijke instructies, ook wat betreft doorgifte buiten de EER | Staat erin dat de aanbieder de gegevens niet voor eigen doelen gebruikt? |
| b | Zorgen dat medewerkers geheimhouding hebben | Is er een geheimhoudingsplicht voor personeel? |
| c | Passende beveiligingsmaatregelen nemen (art. 32) | Staan de maatregelen erin, of is er een verwijzing naar een actueel document? |
| d | Subverwerkers alleen met jouw toestemming, en met dezelfde plichten | Is er een lijst en mag je bezwaar maken? |
| e | Helpen bij verzoeken van betrokkenen (inzage, verwijdering) | Kan de aanbieder gegevens van één persoon vinden en verwijderen? |
| f | Helpen bij beveiliging, datalekken en DPIA's (art. 32 tot en met 36) | Hoe snel meldt de aanbieder een datalek? |
| g | Na afloop alle gegevens teruggeven of verwijderen, naar jouw keuze | Hoe lang na opzeggen kun je je gegevens ophalen, en wanneer worden ze verwijderd? |
| h | Informatie geven en audits mogelijk maken | Zijn er auditrapporten of certificaten, en mag je een audit laten doen? |
De Europese Commissie heeft ook standaardcontractbepalingen voor verwerkers gepubliceerd (Uitvoeringsbesluit (EU) 2021/915). Die mag je gebruiken als VWO; ze bevatten alle verplichte punten. Veel kleinere aanbieders gebruiken een eigen model, in Nederland vaak gebaseerd op het model van brancheorganisaties.
Subverwerkers: wie zit er achter je aanbieder?
Je clouddienst doet niet alles zelf. Een subverwerker is een partij die de verwerker inschakelt en die bij je gegevens kan, bijvoorbeeld:
- het datacenter (als dat niet van de aanbieder zelf is);
- een leverancier van back-upopslag;
- een bedrijf dat de mail filtert op spam of virussen;
- een supportpartij of een ontwikkelaar die op afstand meekijkt;
- een AI-dienst als de aanbieder een AI-functie aanbiedt.
Artikel 28 lid 2 zegt: een verwerker schakelt geen subverwerker in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke. Bij algemene toestemming moet de verwerker je informeren over nieuwe of vervangen subverwerkers, zodat je bezwaar kunt maken. In de praktijk werkt het zo: de aanbieder publiceert een lijst, meldt wijzigingen (per mail of op een pagina die je kunt volgen), en je hebt een termijn om bezwaar te maken. Maak je bezwaar en komt er geen oplossing, dan kun je vaak opzeggen.
Volgens lid 4 moet de subverwerker dezelfde plichten krijgen, en blijft de verwerker tegenover jou volledig aansprakelijk.
Waar je bij een Europese overstap extra op let
Bij een overstap naar een Europese dienst kijk je in de subverwerkerslijst vooral naar twee dingen:
- Waar zitten de subverwerkers? Een Europese aanbieder die zijn mail laat filteren door een Amerikaanse dienst, of zijn back-ups bij een Amerikaanse cloud zet, brengt je gegevens alsnog onder de CLOUD Act (les 1.3). Kijk naar het land én het moederbedrijf van elke subverwerker.
- Wat doen ze? Een domeinregistry die alleen je naam en adres als domeinhouder kent, is iets anders dan een partij die je mailboxen opslaat.
Lees ook het artikel over doorgifte. Een goede Europese VWO zegt dat gegevens binnen de EU of EER worden verwerkt, en dat doorgifte daarbuiten alleen mag met jouw voorafgaande toestemming. Staat er "wij mogen gegevens wereldwijd verwerken met passende waarborgen", dan weet je dat doorgifte mogelijk is.
Signalen om op te letten
- Geen VWO beschikbaar bij een dienst voor zakelijk gebruik: geen goede keuze.
- Een verouderde lijst met subverwerkers die niet klopt met wat de aanbieder elders vertelt (bijvoorbeeld een ander datacenter): vraag om opheldering.
- Een meldtermijn voor datalekken die zo lang is dat jij je eigen termijn van 72 uur (art. 33) niet meer haalt. Veel VWO's noemen 24 of 48 uur.
- Aansprakelijkheid die volledig is uitgesloten. Dat is gebruikelijk tot op zekere hoogte, maar het zegt iets over hoe zeker de aanbieder van zichzelf is.
- Geen regeling voor het einde: wat gebeurt er met je gegevens na opzegging, en krijg je een bevestiging van verwijdering?
Wie tekent, en waar bewaar je hem?
Bij De Korrel tekent Sanne als eigenaar. Ze bewaart de VWO bij het verwerkingsregister (les 9.3), met de datum en de versie. Wijzigt de aanbieder de VWO of de subverwerkers, dan bewaart ze ook die melding. Bij een controle van de toezichthouder, of bij een vraag van een klant ("hoe gaan jullie met mijn gegevens om?"), kan ze het zo laten zien.
In de praktijk: zo ziet het eruit bij een aanbieder
WebOké heeft een standaard verwerkersovereenkomst met een bijlage met ingeschakelde derden, waarin staat dat verwerking binnen de EU plaatsvindt en doorgifte daarbuiten alleen met schriftelijke toestemming mag. In de veelgestelde vragen van de Nextcloud-handleiding staat wanneer je hem nodig hebt. Bij andere aanbieders heet het document vaak "Data Processing Agreement" en staat de subverwerkerslijst op een aparte pagina ("Subprocessors"). Vergelijk die lijst met wat de aanbieder op zijn website zegt over datacenters en support.
Samenvatting
- Artikel 28 lid 3 AVG eist een schriftelijke verwerkersovereenkomst met vaste onderwerpen en acht verplichtingen van de verwerker.
- Controleer vooral: geen eigen doelen, beveiliging, subverwerkers, hulp bij datalekken, teruggeven of verwijderen na afloop, en audits.
- Subverwerkers alleen met jouw toestemming; bij algemene toestemming moet je wijzigingen te horen krijgen en bezwaar kunnen maken.
- Bij een Europese overstap kijk je in de subverwerkerslijst naar land en moederbedrijf van elke partij.
- Bewaar de VWO en wijzigingsmeldingen bij je verwerkingsregister.
Quiz
Opdracht
Opdracht E9.2: Controleer een verwerkersovereenkomst. Neem de verwerkersovereenkomst van je huidige of nieuwe clouddienst. Loop de acht punten a tot en met h na en noteer per punt: staat het erin (ja, nee, onduidelijk) en waar. Beoordeel de subverwerkerslijst: noteer per subverwerker land, moederbedrijf en wat hij doet.
Opdracht E9.2: Controleer een verwerkersovereenkomst
Neem de verwerkersovereenkomst van je huidige of nieuwe aanbieder en loop de punten uit de les na.
Een meldtermijn langer dan 72 uur maakt het lastig om je eigen meldplicht (art. 33 AVG) te halen.
Een clouddienst zonder enige subverwerker is zeldzaam: vraag de lijst op als die er niet bij staat.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
- Nextcloud handleiding 14.8: AI Assistent in je Nextcloud
- Verordening (EU) 2016/679 (AVG), artikel 28, op EUR-Lex
- Uitvoeringsbesluit (EU) 2021/915 (standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers), op EUR-Lex
- Autoriteit Persoonsgegevens, onderwerp "Verwerkersovereenkomst": https://www.autoriteitpersoonsgegevens.nl