Verwerkerscontracten

Verwerkerscontracten, in het Nederlands vaak verwerkersovereenkomsten genoemd, zijn contracten tussen een verwerkingsverantwoordelijke en een verwerker. Zij regelen dat persoonsgegevens door de verwerker in opdracht van de verantwoordelijke worden verwerkt en waarborgen dat die verwerking voldoet aan de Algemene verordening gegevensbescherming (AVG/GDPR). Het uitgangspunt is dat de verantwoordelijke de doeleinden en middelen van verwerking bepaalt, en de verwerker deze uitsluitend uitvoert volgens diens instructies.

Een verwerkersovereenkomst is verplicht zodra een partij persoonsgegevens verwerkt namens iemand anders, ook als subverwerkers worden ingezet. De overeenkomst bevat onder meer: de aard en het doel van de verwerking, de duur, de soort persoonsgegevens en de categorieën betrokken personen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke en de verwerker. Daarnaast beschrijft zij de beveiligingsmaatregelen en geheimhouding, en de vereiste assistentie van de verwerker bij verzoeken van betrokkenen, bij beveiligingsincidenten en bij het verwijderen of terugleveren van data aan het eind van de verwerking. Ook regelt zij het gebruik van eventuele subverwerkers en de voorwaarden waaronder internationale transfers mogen plaatsvinden. De overeenkomst bepaalt daarnaast de accountability en de rapportage van verwerkingen.

Verder regelt de overeenkomst doorgaans de naleving van artikel 28 van de AVG: verwerking uitsluitend op schriftelijke instructies, beveiligingsmaatregelen, en de hulp van de verwerker bij de naleving van de verontschuldigingen en rechten van betrokkenen. Transferten naar derde landen vereisen passende waarborgen. Het contract bevat vaak auditrechten en de mogelijkheid tot inspectie door de verantwoordelijke of een toezichthouder.

Tot slot kan worden verwezen naar standaardverwerkersovereenkomsten of modelcontracten die door toezicht- en brancheorganisaties worden aanbevolen, ter bevordering van consistente naleving.