Verwerkingsovereenkomsten

Een verwerkingsovereenkomst (DPA, verwerkingsovereenkomst) is een contract tussen de verwerkingsverantwoordelijke en de verwerker dat de verwerking van persoonsgegevens regelt die de verwerker namens de verwerkingsverantwoordelijke uitvoert. Volgens de AVG/GDPR is zo’n overeenkomst vereist wanneer een verwerker persoonsgegevens verwerkt voor de verwerkingsverantwoordelijke en op diens instructies handelt.

Doel en reikwijdte zijn centraal: de DPA legt vast wat er precies wordt verwerkt, voor hoe lang, en waarom, evenals het type persoonsgegevens en de betrokken categorieën van personen. Daarnaast beschrijven de partijen hun verantwoordelijkheden en rechten, zodat privacy en beveiliging kunnen worden geborgd.

Belangrijke elementen zijn onder meer: de aard en duur van de verwerking, de soorten persoonsgegevens en de categorieën van betrokkenen, de verplichtingen van de verwerker en de verwerkingsverantwoordelijke, en de verplichtingen van de verwerker om uitsluitend op schriftelijke instructies van de verwerkingsverantwoordelijke te handelen, geheimhouding, passende technische en organisatorische beveiligingsmaatregelen, en de bijstand bij naleving van rechten van betrokkene, meldplicht bij een datalek en ondersteuning bij DPIA’s.

Daarnaast regelt de DPA onderaannemers (subverwerkers) en eventuele doorgifte van persoonsgegevens naar derde landen, met passende waarborgen volgens de relevante wetgeving. Bij beëindiging of voltooiing van de verwerking bepaalt de overeenkomst of persoonsgegevens moeten worden teruggegeven of verwijderd, tenzij wettelijke bewaringsplichten dit verhinderen. Een goede DPA draagt bij aan naleving, transparantie en verantwoorde gegevensverwerking.