Verplichting tot het sluiten verwerkersovereenkomst

Bepaalt u het doel en de middelen voor een verwerking van persoonsgegevens? Dan kwalificeert u op grond van de Algemene verordening gegevensbescherming (‘AVG’) als verwerkingsverantwoordelijke. Verwerkt u persoonsgegevens ten behoeve en onder instructie van een verwerkingsverantwoordelijke? Dan bent u een verwerker. Zie voor de achtergrond bij dit kwalificatievraagstuk ook een van onze andere blogs.

Wanneer een verwerker wordt ingeschakeld is het sluiten van een verwerkersovereenkomst verplicht. In een verwerkersovereenkomst leggen beide partijen afspraken vast over de verwerking van persoonsgegevens die de verwerker ten behoeve van de verwerkingsverantwoordelijke zal gaan uitvoeren. De AVG stelt allerlei eisen aan de daarin vast te leggen ‘verwerkersafspraken’. De verwerkersovereenkomst dient bijvoorbeeld een omschrijving te bevatten van:

- het onderwerp en de duur van de gegevensverwerking die door de verwerker wordt uitgevoerd;

- de aard en het doel ervan;

- het soort persoonsgegevens en de categorieën van de betrokkenen, en;

- de rechten en verplichtingen van de verwerkingsverantwoordelijke die de verwerker inschakelt.

Verwerkersafspraken in algemene (inkoop)voorwaarden

Het integreren van verwerkersafspraken in de algemene (inkoop)voorwaarden zal voor partijen in de regel gemakkelijk zijn. Zij hoeven dan immers niet met iedere klant of leverancier afzonderlijk een specifieke, separate, verwerkersovereenkomst te sluiten. De vraag is echter of dat wel in alle gevallen mogelijk is.

De AVG stelt niet dat de verwerkersovereenkomst per se een separaat, getekend document moet zijn. Bovendien verbiedt de AVG nergens het integreren van verwerkersafspraken in de algemene (inkoop)voorwaarden. Sterker nog, op grond van de AVG kunnen de verwerkersafspraken worden vastgelegd in ‘een overeenkomst’ of door een ‘andere rechtshandeling’. De AVG biedt hiermee expliciet de mogelijkheid om de verwerkersafspraken ook op een andere manier vast te leggen dan in een specifieke overeenkomst. Dat zou bijvoorbeeld in algemene (inkoop)voorwaarden kunnen zijn.

Hoewel in de juridische literatuur ook weleens het tegendeel betoogd wordt, is het formeel juridisch gezien verdedigbaar om een verwerkersovereenkomst te integreren in algemene (inkoop)voorwaarden. De AVG biedt immers – al dan niet impliciet - die mogelijkheid.

Aandachtspunten verwerkersovereenkomst in algemene (inkoop)voorwaarden

Bij het integreren van verwerkersafspraken in algemene (inkoop)voorwaarden gelden er in ieder geval de volgende aandachtspunten:

1. De algemene (inkoop)voorwaarden moeten op een correcte (juridische) wijze ter hand worden gesteld om ook daadwerkelijk van toepassing te zijn op de rechtsverhouding tussen beide partijen. Hoe algemene voorwaarden ter hand gesteld moeten worden laten wij in deze blog voor het overige buiten beschouwing. Indien u er toch meer informatie over wilt vernemen wij dat uiteraard graag.

2. De verwerkersafspraken in de algemene (inkoop)voorwaarden dienen onverminderd te voldoen aan de eisen die de AVG daaraan stelt. Dit betekent dat in de algemene (inkoop)voorwaarden tenminste de afspraken moeten worden vastgelegd die door de AVG worden voorgeschreven.

Maar…

Formeel juridisch kunnen de verwerkersafspraken wellicht geïntegreerd worden in algemene (inkoop)voorwaarden. De vraag is echter of het integreren van verwerkersafspraken in algemene (inkoop)voorwaarden wel altijd handig is. Kan men bovendien wel in alle gevallen voldoen aan de eisen die de AVG aan de verwerkersafspraken stelt?

Meestal zullen de geleverde diensten per klant of leverancier verschillen. In de meeste gevallen worden er dan ook per klant of leverancier verschillende soorten persoonsgegevens verwerkt van verschillende categorieën betrokkenen. De AVG verplicht u om het soort verwerkingen, het soort persoonsgegevens en de categorieën van betrokkenen te specificeren in de te maken verwerkersafspraken. Logisch gevolg daarvan is die afspraken per klant of leverancier specifiek moet worden vastgelegd. In een dergelijke situatie is het de facto niet mogelijk om de – verplicht gespecificeerde – verwerkersafspraken te integreren in algemene (inkoop)voorwaarden. Een model verwerkersovereenkomst zal in een dergelijk geval voor u bruikbaarder zijn. Een model overeenkomst kunt u immers op bepaalde onderdelen op de specifieke situatie met de betreffende klant of leverancier toesnijden. Algemene voorwaarden daarentegen zijn – het woord zegt het al – algemeen en voor elke klant/leverancier gelijk. Deze zijn bij uitstek ook bedoeld voor het vastleggen van generieke afspraken voor soortgelijke situaties.

Het integreren van verwerkersafspraken in de algemene (inkoop)voorwaarden heeft volgens ons derhalve alleen praktisch nut indien u:

- een standaarddienst verleent die exact hetzelfde is voor al uw klanten of leveranciers, en;

- telkens hetzelfde soort verwerkingen uitvoert (met hetzelfde soort persoonsgegevens van dezelfde categorieën betrokkenen).

Gedacht kan worden aan een ICT-dienstverlener die een specifieke standaarddienst aan al haar klanten verleent, bijvoorbeeld een hostingprovider. Uiteraard alleen indien zij in het kader van haar dienstverlening steeds hetzelfde soort verwerkingen uitvoert. Meestal is hier echter geen sprake van en dient men zijn heil te zoeken in de separate – meer specifieke – verwerkersovereenkomsten.

Kort en goed

Alhoewel niet ondenkbaar, zullen verwerkersafspraken zich zelden lenen voor een plekje in de algemene voorwaarden. Het zijn dan immers geen echte afspraken meer en dat doet afbreuk aan de verhouding tussen de verwerkingsverantwoordelijke en de verwerker en de achtergrond van de afspraken die zij op grond van de AVG samen moeten maken.

Meer informatie?

Twijfelt u? Wij adviseren u graag over het gebruik van verwerkersovereenkomsten. Uiteraard ondersteunen wij u ook graag bij het opstellen van (model) verwerkersovereenkomsten. Neemt u gerust contact met ons op.