Sub-verwerkersovereenkomst

Sub-verwerkersovereenkomst: Uw AVG-compliance Gids

Bij het uitbesteden van de verwerking van persoonsgegevens komt veel kijken. Wanneer uw verwerker vervolgens ook weer een derde partij inschakelt, komt een specifiek document in beeld: de sub-verwerkersovereenkomst. Dit contract is essentieel om de AVG-compliance in de hele verwerkingsketen te waarborgen. Het legt de verplichtingen vast tussen de verwerker en de door hem ingeschakelde sub-verwerker. Een goed model sub-verwerkersovereenkomst biedt houvast en juridische zekerheid.

Wat is een sub-verwerkersovereenkomst?

Een sub-verwerkersovereenkomst, ook wel overeenkomst subverwerker genoemd, is een contract tussen een verwerker en een sub-verwerker. Onder de AVG is een verwerker een partij die persoonsgegevens verwerkt in opdracht van de verwerkingsverantwoordelijke (de organisatie die het doel en de middelen van de verwerking bepaalt). Wanneer die verwerker bepaalde taken uitbesteedt aan een andere partij, wordt die andere partij een subverwerker genoemd.

Deze overeenkomst is een verlengstuk van de hoofdovereenkomst tussen de verwerkingsverantwoordelijke en de verwerker (de verwerkersovereenkomst). In de sub-verwerkersovereenkomst worden dezelfde AVG-verplichtingen doorgegeven aan de sub-verwerker. Zonder een dergelijke overeenkomst loopt de verwerker het risico dat de sub-verwerker niet voldoet aan de vereiste beveiligings- en privacystandaarden, wat kan leiden tot datalekken en mogelijke sancties van de Autoriteit Persoonsgegevens.

Wanneer is een sub-verwerkersovereenkomst nodig?

De behoefte aan een sub-verwerkersovereenkomst ontstaat altijd wanneer een verwerker een sub-verwerker wil inschakelen. De AVG stelt hier duidelijke voorwaarden aan. Allereerst mag een verwerker alleen een sub-verwerker gebruiken met de voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Die toestemming kan in de hoofd-verwerkersovereenkomst zijn opgenomen.

Vervolgens is de verwerker verplicht om via een contract – de sub-verwerkersovereenkomst – dezelfde verplichtingen op te leggen aan de sub-verwerker als die welke op hemzelf van toepassing zijn vanuit de overeenkomst met de verwerkingsverantwoordelijke. Dit geldt voor elk type sub-verwerking, of het nu gaat om cloudopslag, salarisadministratie, marketingautomatisering of IT-ondersteuning. Zonder een dergelijk contract subverwerker is de inzet van een sub-verwerker niet AVG-proof.

Belangrijke onderdelen van een sub-verwerkersovereenkomst

Een degelijk contract subverwerker bevat een aantal cruciale clausules die direct voortvloeien uit de AVG-eisen. Deze zorgen ervoor dat de persoonsgegevens ook bij de sub-verwerker adequaat worden beschermd.

• Verwerkingsinstructies: Het doel en de details van de verwerking moeten exact worden omschreven. De sub-verwerker mag alleen handelen volgens de schriftelijke instructies van de verwerker (en indirect van de verwerkingsverantwoordelijke).
• Vertrouwelijkheid: Een verplichting voor het personeel van de sub-verwerker om strikte geheimhouding in acht te nemen.
• Technische en organisatorische beveiligingsmaatregelen: De sub-verwerkersovereenkomst moet specifiek maken welke maatregelen worden getroffen om de gegevens te beveiligen, zoals encryptie, toegangsbeheer en beveiligingsprotocollen.
• Ondersteuning bij rechten van betrokkenen: De sub-verwerker moet de verwerker helpen bij het honoreren van verzoeken van betrokkenen (zoals het inzien, corrigeren of verwijderen van hun gegevens).
• Datalekmelding: Duidelijke afspraken over hoe en binnen welke termijn de sub-verwerker een datalek bij de verwerker moet melden.
• Audits en inspecties: De verwerker moet het recht hebben om audits uit te voeren of inspectierapporten op te vragen om de compliance van de sub-verwerker te controleren.
• Doorgifte buiten de EER: Als de sub-verwerker gegevens buiten de Europese Economische Ruimte verwerkt, moeten er aanvullende garanties zijn, zoals Standard Contractual Clauses (SCC's). Deze SCC's zijn modelcontracten die de AVG biedt om een adequaat beschermingsniveau te waarborgen bij internationale gegevensoverdrachten.
• Einde van de verwerking: Afspraken over het verwijderen of retourneren van de gegevens na beëindiging van de overeenkomst.

Hoe vult u een sub-verwerkersovereenkomst template in?

Het invullen van een sub-verwerkersovereenkomst template vraagt om zorgvuldige aandacht. Begin met het nauwkeurig identificeren van de partijen: de verwerker (die de overeenkomst aangaat) en de sub-verwerker. Beschrijf vervolgens het onderwerp van de overeenkomst: welke specifieke verwerkingstaken worden uitbesteed en welke persoonsgegevens en categorieën daarvan zijn betrokken.

De kern ligt in het detailleren van de hierboven genoemde verplichtingen. Wees zo specifiek mogelijk bij de beveiligingsmaatregelen; verwijs eventueel naar het beveiligingsbeleid van de sub-verwerker. Stel realistische termijnen voor datalekmeldingen. Een goede template biedt hiervoor duidelijke velden en keuzemogelijkheden. Het is verstandig om de ingevulde overeenkomst juridisch te laten controleren, vooral bij complexe verwerkingen.

De relatie tussen verwerkingsverantwoordelijke, verwerker en sub-verwerker

Het is cruciaal om het onderscheid tussen een verwerker en een verwerkingsverantwoordelijke te begrijpen. De verwerkingsverantwoordelijke (vaak uw eigen organisatie) bepaalt waarom en hoe persoonsgegevens worden verwerkt. Hij sluit een verwerkersovereenkomst af met een verwerker (bijvoorbeeld een SaaS-provider) die namens hem de verwerking uitvoert.

Wanneer die verwerker op zijn beurt een deel van het werk uitbesteedt aan een andere specialist (zoals een hostingpartij), wordt die laatste een subverwerker. De verwerkingsverantwoordelijke heeft geen direct contract met de sub-verwerker, maar de verwerker blijft volledig verantwoordelijk tegenover de verwerkingsverantwoordelijke voor het handelen van zijn sub-verwerker. Dit onderstreept het belang van een goede sub-verwerkersovereenkomst als een vorm van sub-verwerkersovereenkomst DPA (Data Processing Agreement); het is het instrument waarmee de verwerker zijn contractuele en wettelijke verantwoordelijkheid waarmaakt.

Veelgestelde vragen over sub-verwerkers

Wat is een subverwerker?
Een subverwerker is een derde partij die door een verwerker wordt ingeschakeld om een deel van de verwerking van persoonsgegevens uit te voeren. De verwerker blijft eindverantwoordelijk.

Wat zijn de verplichte elementen van een verwerkersovereenkomst volgens de AVG?
De AVG schrijft voor dat een verwerkersovereenkomst minimaal moet bevatten: het onderwerp en de duur van de verwerking, de aard en het doel ervan, het type persoonsgegevens en categorieën betrokkenen, de plichten en rechten van de verwerkingsverantwoordelijke, en specifieke verplichtingen rond beveiliging, datalekken, sub-verwerking en internationale doorgifte.

Wat zijn de eisen voor een verwerkersovereenkomst?
De overeenkomst moet schriftelijk (inclusief elektronisch) zijn en alle hierboven genoemde verplichte elementen bevatten. Hij moet ervoor zorgen dat de verwerker alleen op instructie van de verwerkingsverantwoordelijke handelt en passende beveiligingsmaatregelen treft.

Het belang van een goede overeenkomst

Een solide sub-verwerkersovereenkomst is meer dan een administratieve verplichting; het is een fundamenteel instrument voor risicobeheer en compliance. Het beschermt alle partijen in de verwerkingsketen: de betrokkenen wiens gegevens worden beschermd, de verwerkingsverantwoordelijke die aan zijn accountability-verplichting voldoet, en de verwerker die zijn aansprakelijkheid kan beheersen. Het biedt duidelijkheid bij incidenten en vormt het bewijs van due diligence richting de Autoriteit Persoonsgegevens.

Door gebruik te maken van een goed gestructureerd model sub-verwerkersovereenkomst kunt u snel en efficiënt een AVG-compliant contract opstellen. Dit bespaart tijd, reduceert juridische risico's en geeft vertrouwen in uw gegevensverwerking.

Sub-verwerkersovereenkomst template: zorg voor AVG-compliance. Vul de essentiële velden in op basis van uw specifieke situatie en leg de verplichtingen met uw sub-verwerker professioneel vast.