De overeenkomst moet de daadwerkelijke verwerking beschrijven
Een gegevensverwerkingsovereenkomst, vaak een DPA genoemd, vormt een aanvulling op de dienstverleningsovereenkomst. Deze wordt relevant wanneer een dienstverlener persoonsgegevens verwerkt namens zijn klant. Dit kan het geval zijn bij hosting, support, het versturen van nieuwsbrieven of een cloudapplicatie. De doorslaggevende factor is het daadwerkelijke gebruik van de gegevens, niet de titel van het document.
De overeenkomst moet de verantwoordelijkheden verduidelijken. Daarin wordt onder andere uitgelegd welke verwerkingsactiviteiten worden uitgevoerd, welke instructies van toepassing zijn en hoe de aanbieder de gegevensbescherming waarborgt. Een lange standaardtekst is niet effectief als deze een totaal ander product beschrijft. Kopers dienen daarom de algemene voorwaarden samen met de offerte, de technische documentatie en het beoogde gebruik te bekijken.
Of er sprake is van gegevensverwerking namens een verwerkingsverantwoordelijke en welke overeenkomst vereist is, hangt af van de specifieke relatie en de toepasselijke wetgeving. Een algemene checklist kan deze juridische classificatie niet vervangen. Deskundig advies dient te worden ingewonnen in gevallen van onduidelijke rollen, gevoelige gegevens of ongebruikelijke verwerkingsactiviteiten. Duidelijk omschreven gegevenspaden, verantwoordelijkheden en contractuele details bieden hiervoor een betrouwbare feitelijke basis.
Verantwoordelijken en verwerkers hebben verschillende rollen
De verantwoordelijke bepaalt de doeleinden en de essentiële middelen van de verwerking. De verwerker verwerkt persoonsgegevens namens de verantwoordelijke en volgens de gedocumenteerde instructies. Deze termen beschrijven de rollen in de gegevensbescherming en leggen geen algemene hiërarchie vast tussen bedrijven. Een grote platformaanbieder kan een verwerker zijn, terwijl een kleine klant de verantwoordelijke is voor de betreffende verwerking.
Rollen kunnen variëren afhankelijk van de functie. Een aanbieder kan klantgegevens verwerken namens een andere partij, maar bepaalde contract- of factuurgegevens voor eigen doeleinden gebruiken. In dergelijke gevallen moet de aanbieder uitleggen welke rol hij voor welke processen vervult. Een algemene verklaring dat alle gegevens alleen namens een andere partij worden verwerkt, is niet erg nuttig als productbeschrijvingen of privacyverklaringen ook melding maken van eigen gebruik.
Een contract kan de feitelijke rollen niet veranderen door simpelweg het label aan te passen. Daarom moet vóór ondertekening duidelijk zijn wie beslist over het gebruik van de gegevens. Als de dienstverlener onafhankelijk van de klant een nieuw doel definieert, kan dit buiten de reikwijdte van de overeengekomen gegevensverwerkingsovereenkomst vallen. Dergelijke grenzen vereisen een begrijpelijke uitleg, zodat verantwoordelijkheden, informatie voor betrokkenen en andere rechtsgrondslagen correct kunnen worden beoordeeld.
Het onderwerp, de duur en de soorten gegevens vereisen specifieke details.
De overeenkomst moet duidelijk aangeven welke dienst met welke persoonsgegevens wordt geleverd. Algemene formuleringen zoals "levering van de overeengekomen diensten" zijn vaak onvoldoende om de gegevensstroom te begrijpen. In een ondersteuningssysteem kunnen contactgegevens, berichtinhoud en technische gebruiksgegevens worden verwerkt. De categorieën betrokkenen, zoals klanten, werknemers of sollicitanten, moeten ook overeenkomen met het daadwerkelijke gebruik.
Het type en het doel van de verwerking zijn even belangrijk. Opslaan, verzenden, evalueren en verwijderen beschrijven verschillende processen. Het doel verklaart waarom ze plaatsvinden, bijvoorbeeld om ondersteuningsverzoeken te verwerken of een klantplatform te beheren. Hoe preciezer dit verband wordt beschreven, hoe gemakkelijker het later is om te bepalen of een nieuwe productfunctie nog onder het contract valt of een nieuwe beslissing vereist.
De duur moet passend zijn voor de dienst en het verwijderingsproces. Soms loopt de verwerking door gedurende de gehele contractperiode, terwijl back-upkopieën gedurende een beperkte tijd bewaard blijven. Dit mag niet worden verhuld door een onbeperkte bewaartermijn. Kopers moeten een realistisch beeld hebben van wanneer actieve gegevens worden verwijderd, hoe lang technische kopieën bewaard blijven en welke wettelijke verplichtingen onmiddellijke verwijdering kunnen belemmeren.
Instructies moeten in de praktijk werken.
Gegevensverwerkers dienen persoonsgegevens te verwerken volgens gedocumenteerde instructies, tenzij een wettelijke verplichting anders vereist. In standaardsoftware is een groot deel van deze instructie al opgenomen in de hoofdovereenkomst, productselectie en instellingen. De gegevensverwerkingsovereenkomst (AVG) dient hierop afgestemd te zijn. Een algemene clausule over willekeurige individuele instructies is van weinig nut als niemand weet via welk contact en binnen welk technisch kader deze kunnen worden uitgevoerd.
Verduidelijk welke wijzigingen als nieuwe instructies worden beschouwd. Het activeren van een analysefunctie, een nieuwe opslaglocatie of langere bewaartermijnen kunnen de verwerking wijzigen. Sommige instellingen worden door de klant beheerd, andere uitsluitend door de aanbieder. Kopers dienen te begrijpen welke opties beschikbaar zijn en wat de gevolgen daarvan zijn. Een contract kan ontbrekende of misleidende productinstellingen niet compenseren met abstracte rechten.
Volgens de Algemene Verordening Gegevensbescherming (AVG) moet de aanbieder de klant informeren als hij een instructie als onrechtmatig beschouwt. De overeenkomst dient een praktische procedure voor dit geval te beschrijven. Wie wordt er geïnformeerd, wat gebeurt er totdat de zaak is opgehelderd en welke verwerkingsactiviteiten kunnen worden opgeschort? Duidelijk omschreven contactpersonen en escalatiekanalen zijn waardevoller dan een formulering die slechts het juridische beginsel herhaalt.
Vertrouwelijkheid en beveiliging moeten in verhouding staan tot het risico.
Personen die gegevens verwerken voor de aanbieder moeten gebonden zijn aan geheimhoudingsovereenkomsten of onderworpen zijn aan een overeenkomstige wettelijke verplichting. Het is ook belangrijk dat kopers begrijpen hoe de toegang in het dagelijks gebruik wordt beperkt. Vereist ondersteuning standaardtoegang tot de inhoud, of wordt toegang alleen verleend in specifieke gevallen? Rollen, machtigingen en logboekregistratie moeten aansluiten op de beloofde dienstverlening.
De technische en organisatorische maatregelen beschrijven de bescherming van de gegevensverwerking. Deze kunnen bestaan uit toegangscontrole, encryptie, back-ups, herstel en regelmatige audits. Een simpele opsomming van bekende beveiligingstermen zegt weinig over de toepassing ervan. Kopers moeten kunnen begrijpen welke gegevens worden beschermd en wanneer, wie de sleutels of toegang beheert en welke maatregelen daadwerkelijk van toepassing zijn op het gekozen product.
Beveiliging is geen statisch gegeven. Systemen en risico's evolueren naarmate aanbieders hun infrastructuur aanpassen. De overeenkomst moet zinvolle verbeteringen mogelijk maken zonder het overeengekomen beschermingsniveau subtiel te verlagen. Klanten moeten voldoende informatie hebben over belangrijke wijzigingen. Wat een belangrijke wijziging inhoudt, hangt af van de dienst, maar kan bijvoorbeeld nieuwe opslaglocaties, andere toegangsmethoden of het verwijderen van een centrale beveiligingsmaatregel omvatten.
Andere dienstverleners mogen niet onzichtbaar blijven.
Veel aanbieders leveren hun diensten niet alleen. Ze maken gebruik van datacenters, e-maildiensten of ondersteunende bedrijven die als extra gegevensverwerkers kunnen optreden. De gegevensverwerkingsovereenkomst (DPA) moet duidelijk maken of er sprake is van specifieke of algemene toestemming. Bij algemene toestemming moeten klanten op de hoogte worden gesteld van eventuele voorgenomen wijzigingen en een reële mogelijkheid krijgen om bezwaar te maken.
Een lijst van extra gegevensverwerkers is alleen nuttig als deze begrijpelijk blijft. De naam, rol en verwerkingslocatie helpen bij het beoordelen welk deel van de dienst het bedrijf afhandelt. Een simpele opsomming van bedrijfsnamen zonder functie vertroebelt de gegevensstroom. Het moet ook duidelijk zijn waar actuele informatie te vinden is en hoe klanten op de hoogte worden gesteld van nieuwe of vervangen aanbieders.
De primaire aanbieder blijft verantwoordelijk voor het opleggen van in wezen dezelfde verplichtingen inzake gegevensbescherming aan zijn extra gegevensverwerkers. Kopers hoeven niet zelf over elk onderaannemingscontract te onderhandelen, maar hebben wel voldoende zekerheid nodig in de hele keten. Een bezwaar tegen een nieuwe aanbieder mag niet puur theoretisch zijn. De contractuele gevolgen, mogelijke alternatieven en eventuele opzeggingsrechten moeten duidelijk worden uitgelegd in de hoofdovereenkomst.
Ondersteuning moet direct beschikbaar zijn voor de rechten van de betrokkene en bij incidenten.
Personen kunnen hun rechten met betrekking tot hun persoonsgegevens uitoefenen. De verwerkingsverantwoordelijke blijft verantwoordelijk voor de verwerking, maar heeft vaak ondersteuning nodig van de dienstverlener. De overeenkomst moet beschrijven hoe gegevens kunnen worden gevonden, gecorrigeerd, geëxporteerd of verwijderd. Voor een zelfservicefunctie is het belangrijk om te verduidelijken of deze alle relevante gegevens omvat of dat aanvullende verzoeken aan de dienstverlener nodig zijn.
In geval van een datalek moet de gegevensverwerker de verwerkingsverantwoordelijke onmiddellijk na kennisname hiervan informeren. Voor de koper is de informatie die hij ontvangt en de manier waarop hij deze ontvangt cruciaal. Een moeilijk te vinden ondersteuningsformulier kan kostbare tijd verspillen. Aangewezen contactpersonen voor noodgevallen en continue updates helpen bij het inschatten van de impact, de getroffen gegevens en de genomen maatregelen.
Ondersteuning kan ook nodig zijn voor gegevensbeschermingseffectbeoordelingen en vragen van toezichthoudende autoriteiten. De reikwijdte en praktische beperkingen hangen af van de dienst en de beschikbare informatie. Daarom moeten algemene ondersteuningsbeloftes worden afgestemd op de ondersteuningsvoorwaarden en de mogelijke kosten. Kopers moeten kunnen zien welk bewijsmateriaal standaard wordt verstrekt en wanneer een speciaal onderzoek of deskundige hulp afzonderlijk zal worden overeengekomen.
Verwijdering, teruggave en beoordeling vereisen een realistische aanpak.
Na beëindiging van de dienst moeten persoonsgegevens naar keuze van de verwerkingsverantwoordelijke worden verwijderd of teruggegeven, mits er geen wettelijke verplichting bestaat om deze te bewaren. Deze keuze moet technisch haalbaar zijn. Kopers moeten weten in welk gegevensformaat zij de gegevens ontvangen, hoe lang een export beschikbaar blijft en wanneer actieve systemen worden leeggehaald. Een onleesbaar exportformaat maakt een formeel recht op teruggave praktisch waardeloos.
Back-upkopieën kunnen vaak niet direct individueel worden verwijderd. Daarom zijn beperkte bewaartermijn, bescherming tegen normaal gebruik en een traceerbare verwijderingsprocedure noodzakelijk. Verklaringen over latere verwijdering binnen de reguliere cyclus moeten een begrijpelijke termijn specificeren. Het moet ook duidelijk zijn of logbestanden, ondersteunende bijlagen en testkopieën dezelfde regels volgen of langer worden bewaard vanwege andere verplichtingen.
De aanbieder moet informatie beschikbaar stellen om aan te tonen dat hij aan zijn verplichtingen voldoet en om audits mogelijk te maken. Bij gangbare clouddiensten worden hiervoor vaak onafhankelijke rapporten, certificaten en gestandaardiseerde openbaarmakingen gebruikt. Deze kunnen informatief zijn als de reikwijdte, de tijdsperiode en de betreffende dienst passend zijn. Een uitgebreider recht op audit blijft belangrijk, maar moet rekening houden met de veiligheid van andere klanten, vertrouwelijkheid en een proportioneel proces.
Een gegevensverwerkingsovereenkomst (DPA) lost internationale gegevensoverdrachten niet automatisch op.
Als gegevens buiten de Europese Economische Ruimte (EER) worden verwerkt of van daaruit toegankelijk worden gemaakt, ontstaan er aanvullende vragen. Een DPA op grond van artikel 28 is hiervoor niet automatisch de volledige basis. Kopers moeten zich bewust zijn van de verwerkingslocaties, mogelijke toegang op afstand en de betrokken bedrijven. Het volstaat niet om simpelweg te vermelden dat de gegevens binnen de EU worden gehost als ondersteuning of beheer regelmatig vanuit een derde land kan worden uitgevoerd.
Afhankelijk van het land en de specifieke omstandigheden kunnen een adequaatheidsbesluit, standaardcontractbepalingen of andere instrumenten relevant zijn. Voor elke individuele overdracht moet worden beoordeeld welke rechtsgrondslag passend is en welke aanvullende maatregelen nodig zijn. Het contract mag geen verschillende documenten met vergelijkbare afkortingen combineren. Een gegevensverwerkingsovereenkomst (DGA) regelt de gegevensverwerking namens een verwerkingsverantwoordelijke, terwijl standaardcontractbepalingen verschillende overdrachtsvraagstukken behandelen, afhankelijk van hun toepassing.
Ook wijzigingen moeten in overweging worden genomen. Een nieuwe onderaannemer of ondersteuningslocatie kan een eerdere beoordeling wijzigen. Klanten hebben daarom informatie nodig voordat de nieuwe verwerking begint en voldoende tijd voor een goede beoordeling. Juridisch advies is met name aan te raden bij complexe gegevensoverdrachtsketens. Duidelijke en beknopte contractdetails leggen de feitelijke basis vast, maar vervangen niet de noodzakelijke juridische beoordeling.
Een goede overeenkomst kan worden uitgelegd met behulp van het product.
Voordat een overeenkomst wordt ondertekend, moet een deskundige de gegevensstroom in eenvoudige bewoordingen kunnen beschrijven. Welke gegevens bereiken de provider, waarvoor worden ze gebruikt, wie heeft er toegang toe en wanneer worden ze verwijderd? De antwoorden moeten consistent zijn voor het product, de hoofdovereenkomst, de gegevensverwerkingsovereenkomst (DPA) en de beveiligingsdocumentatie. Inconsistenties vereisen verduidelijking, niet de aanname dat een meer specifieke bijlage alles automatisch zal oplossen.
Betrek de afdelingen gegevensbescherming, informatiebeveiliging, inkoop en de verantwoordelijke afdeling, afhankelijk van het risico. Elk perspectief brengt verschillende lacunes aan het licht: wettelijke rollen, waarborgen, contractuele implicaties of een ongeschikte producteigenschap. Voor een kleine dienst met een laag risico kan de beoordeling beheersbaar blijven. Uitgebreide of gevoelige verwerking vereist een diepgaandere analyse. De sleutel is een passende beoordeling, niet dezelfde hoeveelheid documentatie voor elke aanbieder.
Een duidelijke en begrijpelijke gegevensverwerkingsovereenkomst (DVA) garandeert op zichzelf geen veiligheid, maar maakt wel controleerbare verwachtingen transparant. Het koppelt de opdracht voor de verwerking aan instructies, bescherming, ondersteuning, onderaannemers en het einde van het gebruik. Wanneer deze verklaringen de daadwerkelijke dienstverlening nauwkeurig weergeven, kunnen afnemers de verantwoordelijkheden beter inschatten en wijzigingen eerder signaleren. Eventuele resterende juridische vragen dienen vervolgens te worden beantwoord met behulp van gekwalificeerd juridisch advies, en niet door te vertrouwen op aannames over standaardclausules.