Bewerkersovereenkomst

Met de bewerkersovereenkomst wordt ook de verwerkersovereenkomst bedoeld. Vaak wordt dit ook de Data Processing Agreement (PDA) genoemd. De Algemene Verordening Persoonsgegevens is op 25 mei 2018 ingegaan en regelt hoe je met persoonsgegevens om moet gaan en waarvoor je persoonsgegevens mag gebruiken.

Met ingang van die datum vervalt de oude Wet Bescherming Persoonsgegevens en treedt de Algemene Verordening Persoonsgegevens in werking. De bewerkersovereenkomst heeft betrekking op het werken met persoonsgegevens door een derde partij of via software van een derde partij.

Denk bijvoorbeeld aan het uitbesteden van je personeelsadministratie (of in een bredere context persoonsgegevens). De bewerker of processor is dan de partij die je personeelsadministratie doet. De controller is de onderneming die personeelsgegevens vastlegt om er een personeels- en loonadministratie mee te voeren.

In de bewerkersovereenkomst tussen controller en bewerker maak je afspraken hoe de bewerker met de persoonsgegevens moet omgaan. Het is de verantwoordelijkheid van het bedrijf dat de persoonsgegevens ter beschikking stelt, dat deze overeenkomst wordt aangegaan.

Omdat het omgaan met persoonsgegevens een gevoelig onderwerp is, is het van belang dat je als ondernemer je hierin goed verdiept en afspraken op papier zet.

Je hebt een bewerkersovereenkomst nodig wanneer je persoonsgegevens, van welke aard dan ook laat bewerken door een derde partij, heb je. Dat zal je dus moeten doen als je de salarisadministratie laat uitbesteden maar dit heb je ook al nodig als je een dochteronderneming hebt die gegevens krijgt van de onderneming.

De bewerkersovereenkomst overziet het verzamelen, bewaren en raadplegen van de persoonsgegevens. Als er geen bewerkersovereenkomst is gesloten tussen partijen, kan de Autoriteit Persoonsgegevens een dwangsom of boete opleggen. Dan heb je als ondernemer nog de tijd om alsnog die overeenkomst tot stand te brengen.

Als je persoonsgegevens laat verwerken door een andere partij, zal je moeten zorgen dat er voldoende veiligheidswaarborgen zijn voorzien. In de praktijk is het niveau van veiligheid gebonden aan de aard van gegevens die door een derde partij wordt bewerkt.

Voor medische gegevens zoals het elektronisch patiëntendossier zal er een hoge veiligheid nodig zijn terwijl dit voor personeelsgegevens voor de verwerking van de salarisadministratie een ander passend niveau heeft. Het niveau van bescherming is dus per situatie verschillend.

Laat je hierin dus goed voorlichten door deskundige juristen.

Je legt duidelijk vast wat het doel is voor het bewerken van persoonsgegevens. Je beschrijft dan gelijk welke bewerking van jouw persoonsgegevens plaats gaat vinden door de verwerker.  Daarnaast leg je vast welke veiligheidsmaatregelen zijn getroffen om de persoonsgegevens veilig te houden bij de verwerker van die persoonsgegevens.

Daarnaast moet je als ondernemer die de persoonsgegevens ter beschikking stelt van de verwerker, de mogelijkheid hebben om controles uit te voeren op jouw persoonsgegevens bij de verwerker. Wellicht is het nodig om op te nemen dat de personen die bij de verwerker toegang hebben tot jouw persoonsgegevens, te binden aan geheimhouding.

De veiligheidsmaatregelen is misschien een algemene term maar hiermee wordt bedoeld dat de persoonsgegevens worden beschermd door middel van versleuteling, hashing of pseudonimisering. Let er daarnaast op dat er ook afspraken moeten worden gemaakt als je verwerker andere partijen inschakelt om jouw persoonsgegevens te verwerken!

Tot slot moet je in de bewerkersovereenkomst afspraken maken over de verantwoordelijkheid. De  Algemene Verordening Persoonsgegevens schrijft voor dat je de verantwoordelijke kan aanspreken op het moment dat schade wordt geleden. Daarnaast kan er schade ontstaan doordat de verwerker nalatig is.

Maak hier duidelijke afspraken over in de overeenkomst hoe deze aansprakelijkheid wordt verdeeld. Denk hierbij bijvoorbeeld aan datalekken die vaak zijn terug te leiden op onvoldoende beveiliging aan de kant van de verwerker. Als dat gebeurt, liggen jouw persoonsgegevens op straat en dit zal zeker schade voor je onderneming op gaan leveren.

Als laatste moet je ook afspraken maken wat er gebeurt op het moment dat de samenwerking wordt beëindigd. Is het dan de bedoeling dat de gegevens worden vernietigd of dat de (verwerkte) persoonsgegevens worden teruggegeven aan de verantwoordelijke of worden de gegevens overgedragen aan een andere verwerker? Wie betaalt de kosten die met de opzegging zijn gemoeid.

Het zorgvuldig omgaan met persoonsgegevens is voor een onderneming erg belangrijk en niet alleen omdat er veel aandacht voor is. Je toont goed ondernemerschap op het moment dat je zorgvuldig met dit soort gegevens omgaat. Dat houdt in dat je ze veilig hebt vastgelegd en als je ze ter beschikking stelt van derden dat je alle zorgvuldigheid in acht neemt.

Of je nu als ondernemer persoonsgegevens ter beschikking gaat stellen aan een andere partij (bijvoorbeeld voor het uitbesteden van je personeelsadministratie met persoonsgegevens) of dat je zelf de verwerker van persoonsgegevens bent, het is heel belangrijk dat je hierover goede afspraken maakt en die vast laat leggen in een bewerkersovereenkomst.

Dit is in de meeste gevallen maatwerk omdat iedere onderneming anders is en bepaalde omstandigheden een andere behandeling verlangen. Als je dit niet goed regelt, kun je later een hoop ellende krijgen doordat persoonsgegevens niet goed worden verwerkt of gewoonweg op straat komen te liggen.

Juristen van MKBrecht helpen je bij het opstellen van een goede bewerkersovereenkomst die de risico’s, belangen en verantwoordelijkheden goed beschrijven en afdekken. De boetes die op grond van de Algemene Verordening Persoonsgegevens worden opgelegd, kunnen oplopen tot tienduizenden euro's. Alleen dat is al een reden om te zorgen voor een goede bewerkersovereenkomst.

Doe je dit niet, dan wordt de dwangsom of boete aan je opgelegd. Raadpleeg een deskundig jurist voor het controleren en opstellen van je bewerkersovereenkomst controleren of opstellen!