Verwerkersovereenkomst
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst is een schriftelijke afspraak tussen jou en een partij die persoonsgegevens voor jou verwerkt, zoals je hoster. Daarin staat wat die partij met de gegevens mag doen, welke beveiligingsmaatregelen gelden en hoe de samenwerking verloopt.
De plicht komt uit de AVG, specifiek uit artikel 28. Het begrip rust op twee rollen. Jij bent meestal de verantwoordelijke, omdat jij bepaalt waarvoor de gegevens dienen. De hoster is de verwerker: hij voert de opslag uit in jouw opdracht.
Hoe werkt dat bij webhosting?
Zodra je persoonsgegevens op een server zet, zoals klantgegevens, contactformulieren of accounts, verwerkt de hoster die gegevens voor jou. Je tegenkomt de overeenkomst bij hosters, maar ook bij e-mailproviders en andere online diensten die gegevens voor je bewaren.
De overeenkomst beschrijft het doel van de verwerking, de soorten gegevens, de maatregelen die de hoster neemt en de manier waarop hij onderaannemers inschakelt. Veel hosters hebben zo'n overeenkomst klaarliggen, vaak op aanvraag of via hun voorwaarden. Vraag er gerust naar voordat je persoonsgegevens op de server zet.
Welke begrippen horen erbij?
Een verwerkersovereenkomst staat niet op zichzelf. Een onderverwerker, ook wel onderaannemer, is een partij die de verwerker zelf inschakelt, zoals een datacenter of een back-upleverancier. Ook daarover moet de overeenkomst duidelijk zijn.
Let daarnaast op de datalocatie. Gegevens die binnen de Europese Unie blijven, vallen onder dezelfde AVG-regels. Worden gegevens buiten de EU opgeslagen of ingezien, dan gelden extra eisen. Ook dat hoort in de afspraken te staan. Afspraken over beschikbaarheid staan vaak apart in de SLA.
Waarom is de overeenkomst belangrijk?
De overeenkomst geeft je houvast. Je weet dan wat de hoster met de gegevens mag doen en welke beveiliging hij moet regelen. Zonder duidelijke afspraken is het lastig om aan te tonen dat je zorgvuldig met persoonsgegevens omgaat.
Bij een datalek is de overeenkomst ook belangrijk. De hoster moet een incident aan jou melden, maar de melding aan de Autoriteit Persoonsgegevens blijft jouw verantwoordelijkheid. Ook back-ups vallen onder de gegevens die je hoster verwerkt. Lees hoe die werken bij back-ups bij webhosting.
Veelgestelde vragen
Moet mijn hoster een verwerkersovereenkomst aanbieden?
Ja, als je hoster persoonsgegevens voor jou verwerkt, is volgens de AVG een verwerkersovereenkomst verplicht. Vraag de overeenkomst op voordat je persoonsgegevens op de server zet. Een hoster die er geen kan geven, is een reden om verder te kijken.
Heb ik als website-eigenaar zelf nog verplichtingen?
Ja. De overeenkomst verdeelt de taken, maar neemt je verantwoordelijkheid niet weg. Jij bepaalt welke gegevens je verzamelt, waarvoor en hoe lang je ze bewaart. Een duidelijk privacybeleid op je site hoort daarbij. Die keuzes kan de hoster niet voor je maken.