verwerkersovereenkomst

Een verwerkersovereenkomst (VVO) is een contract tussen de verwerkingsverantwoordelijke en de verwerker onder de Algemene Verordening Gegevensbescherming (AVG). Het regelt hoe persoonsgegevens worden verwerkt door de verwerker in opdracht van de verantwoordelijke, met aandacht voor het doel van de verwerking en de noodzakelijke beveiligingsmaatregelen. Een VVO is vereist wanneer een verwerker namens de controller persoonsgegevens verwerkt.

De overeenkomst beschrijft de kerngegevens: onderwerp, duur en aard van de verwerking, de typen persoonsgegevens en de categorieën betrokkenen, alsook de instructies van de verantwoordelijke. Daarnaast regelt zij de geheimhouding, de technische en organisatorische beveiligingsmaatregelen (TOMs) en de verplichting om inbreuken onverwijld te melden.

Verder bepaalt de VVO de verplichtingen van de verwerker: uitsluitend verwerken op basis van schriftelijke instructies, zorgen voor vertrouwelijkheid van medewerkers, en het treffen van passende beveiligingsmaatregelen. De verwerker moet de verantwoordelijke helpen bij onder meer rechten van betrokkenen, DPIAs waar nodig, en bij de verwijdering of teruggave van gegevens na afloop.

Subprocessing: de verwerker mag subprocessors inschakelen alleen met toestemming van de verantwoordelijke en op basis van een overeenkomst die dezelfde data bescherming waarborgt. De verwerker blijft aansprakelijk voor de handelingen van de subprocessors.

Internationale doorgifte: als persoonsgegevens buiten de Europese Economische Ruimte worden overgedragen, moet de VVO zorgen voor passende waarborgen, zoals standaardcontractbepalingen of een adequaat beschermingsniveau.

Toezicht en naleving: de controller behoudt doorgaans het recht om audits of inspecties uit te voeren of laten uitvoeren, binnen redelijkheid, om naleving te controleren. De VVO vormt een belangrijk instrument om AVG-naleving te waarborgen en legt de verantwoordelijkheden van beide partijen vast.