Of het nu gaat om een sociaal secretariaat, een extern IT-beheerder of een innovatief cloudgebaseerd CRM-systeem: vrijwel geen enkele onderneming verwerkt al haar data nog uitsluitend intern. Veel organisaties verkeren echter in de veronderstelling dat het uitbesteden van processen ook betekent dat het juridische risico automatisch verschuift naar de externe dienstverlener. Niets is minder waar. De GDPR legt de primaire verantwoordingsplicht (accountability) bij de verwerkingsverantwoordelijke. Een Data Processing Agreement (DPA of verwerkersovereenkomst) is dan ook geen administratief bijvoegsel, maar uw belangrijkste contractuele schild.
Wie is wie? Kwalificatie bepaalt de verplichtingen vaststellen
Vóór er over contractclausules wordt onderhandeld, moet de juridische rolverdeling glashelder zijn:
- Verwerkingsverantwoordelijke (Controller): Bepaalt het doel (‘waarom’) en de essentiële middelen (‘hoe’) van de verwerking.
- Verwerker (Processor): Verwerkt de persoonsgegevens louter ten behoeve van en volgens de bindende schriftelijke instructies van de verantwoordelijke.
Slechts wanneer er sprake is van een echte verwerkersrelatie, verplicht artikel 28 GDPR het sluiten van een DPA. Let op:een leverancier die persoonsgegevens stiekem voor eigen doeleinden gebruikt (bijvoorbeeld voor productontwikkeling of commerciële analyses), kwalificeert wettelijk als zelfstandig verwerkingsverantwoordelijke — met alle directe wettelijke verplichtingen en risico’s van dien.
De verplichte inhoud volgens artikel 28 GDPR
Een DPA die zich beperkt tot de formule “partijen verbinden zich ertoe de GDPR na te leven” is voor de toezichthouder waardeloos. Artikel 28, lid 3 GDPR schrijft dwingend voor wat in het document moet staan:
- Het onderwerp, de aard en de duur van de verwerking;
- De precieze doeleinden en de specifieke categorieën van persoonsgegevens en betrokkenen;
- De expliciete verbintenis van de verwerker om uitsluitend op basis van gedocumenteerde instructies te handelen;
- Waarborgen rond vertrouwelijkheid en verplichte geheimhouding voor het personeel;
- Een concrete opsomming van passende technische en organisatorische maatregelen (TOM’s);
- Ondersteuningsplichten bij verzoeken van betrokkenen (zoals inzage of gegevenswissing) en bij het uitvoeren van een DPIA.
Datalekken: strakke termijnen in plaats van vage intenties
Bij een beveiligingsincident telt elke minuut. De verwerkingsverantwoordelijke moet een relevant datalek binnen 72 uur na ontdekking melden aan de Gegevensbeschermingsautoriteit (GBA).
- Meldtermijn voor de verwerker: De wet verplicht de verwerker om incidenten “zonder onredelijke vertraging” te melden. Maak dit in de DPA contractueel hard: eis een schriftelijke melding binnen 24 tot maximaal 48 uur na ontdekking.
- Informatieverstrekking: Leg vast welke initiële details de verwerker meteen moet aanleveren (de aard van het lek,getroffen categorieën van data, waarschijnlijke gevolgen en reeds genomen maatregelen).
- Kostenverdeling: Bepaal contractueel wie instaat voor de operationele en juridische kosten verbonden aan forensisch onderzoek, externe communicatie en eventuele schadeclaims.
De mythe van het wegcontracteren van aansprakelijkheid
Veel ondernemingen proberen alle risico’s op de verwerker af te wentelen via eenzijdige vrijwaringen. Onder artikel 82 GDPR werkt dat echter anders:
- Hoofdelijkheid tegenover de betrokkene: Een gedupeerde burger of werknemer kan zowel de verantwoordelijke als de verwerker aanspreken voor de volledige schade die voortvloeit uit een inbreuk.
- Intern regres: Pas nadat de schade aan de betrokkene is vergoed, kunnen partijen onderling regres uitoefenen. De verwerker is slechts aansprakelijk voor het deel waarin hij de specifieke verwerkersregels heeft geschonden of buiten de instructies handelde.
- B2B-aansprakelijkheidscaps: Verwerkers hanteren in hun standaardvoorwaarden vaak lage aansprakelijkheidslimieten (bijv. gelijk aan twaalf maanden abonnementsgeld). Het is cruciaal om te onderhandelen over een aparte, verhoogde ‘super-cap’ voor GDPR-inbreuken en datalekken.
Ketenbeheer: toezicht op subverwerkers en internationale doorgifte
Een SaaS-leverancier schakelt vrijwel altijd externe hostingbedrijven, back-upfaciliteiten of analysetools in:
- Toestemming voor subverwerkers: Spreek af of er een specifieke dan wel een algemene schriftelijke toestemming geldt,met het recht voor de verantwoordelijke om binnen een redelijke termijn bezwaar te maken tegen nieuwe subverwerkers.
- Ketenverantwoordelijkheid: De hoofdverwerker moet dezelfde contractuele GDPR-verplichtingen opleggen aan zijn onderaannemer en blijft integraal aansprakelijk voor diens fouten.
- Locatie van de servers: Worden data verwerkt buiten de EER (bijvoorbeeld in de VS)? Dan volstaat een DPA niet en moeten aanvullende waarborgen gelden, zoals een beroep op het EU-US Data Privacy Framework of de officiële Standard Contractual Clauses (SCC’s) van de Europese Commissie.
Het exitscenario: wissen of retourneren
Wat gebeurt er als de samenwerking eindigt? De DPA moet helder vastleggen:
- Binnen welke termijn alle persoonsgegevens volledig en veilig worden geretourneerd (in een gestructureerd, gangbaar digitaal formaat);
- Het onomkeerbaar wissen van resterende data en back-ups, bevestigd via een formeel vernietigingscertificaat;
- De verplichting om eventuele wettelijke bewaartermijnen expliciet te documenteren.
Uw verwerkersovereenkomsten laten opstellen of screenen?
Sluit u een belangrijk IT- of softwarecontract, wilt u de aansprakelijkheidslimieten in een voorgelegde DPA heronderhandelen, of zoekt u een sluitende template op maat van uw organisatie?
De legal counsels en privacy-experts van Nonzerosum begeleiden u bij het opstellen, auditeren en scherp onderhandelen van uw privacyovereenkomsten. Neem contact met ons op voor een pragmatische evaluatie van uw verwerkersrisico’s.
