Het verschil tussen een privacyverklaring en een verwerkersovereenkomst is het verschil tussen een mededeling en een contract. Met de privacyverklaring informeert u klanten, websitebezoekers en sollicitanten over wat u met hun gegevens doet (artikel 13 en 14 AVG). De verwerkersovereenkomst sluit u met een leverancier die persoonsgegevens in uw opdracht verwerkt, zoals uw hostingpartij of boekhoudsoftware (artikel 28 AVG). De meeste bedrijven hebben beide nodig.
In het kort
- Een privacyverklaring is een openbare, eenzijdige mededeling; niemand hoeft hem te ondertekenen.
- Een verwerkersovereenkomst is een schriftelijke afspraak tussen u en een verwerker. Elektronisch vastleggen telt ook als schriftelijk.
- Iedere verwerker met wie u een verwerkersovereenkomst heeft, hoort als ontvanger in uw privacyverklaring.
- Een leverancier die gegevens voor eigen doelen gebruikt, is geen verwerker. Dan is er geen verwerkersovereenkomst nodig, maar hij hoort wel als ontvanger in uw privacyverklaring.
Wat is het verschil tussen een privacyverklaring en een verwerkersovereenkomst?
De twee documenten hebben een andere lezer, een andere wettelijke basis en een andere vorm:
| Privacyverklaring | Verwerkersovereenkomst | |
|---|---|---|
| Wat is het | Informatie aan betrokkenen | Contract tussen verwerkingsverantwoordelijke en verwerker |
| Voor wie | Klanten, bezoekers, sollicitanten, medewerkers | U en uw leverancier |
| Wettelijke basis | Artikel 12–14 AVG | Artikel 28 AVG |
| Verplicht wanneer | Zodra u persoonsgegevens verwerkt | Zodra een andere partij gegevens in uw opdracht verwerkt |
| Ondertekenen | Niet nodig | Schriftelijk vastleggen, ook elektronisch (artikel 28 lid 9 AVG) |
| Openbaar | Ja, makkelijk vindbaar | Nee |
| Aantal | Eén, of één per groep betrokkenen | Eén per verwerker |
| Wie stelt het op | U | Meestal de leverancier, soms u |
Twee begrippen uit de tabel: de verwerkingsverantwoordelijke is de organisatie die bepaalt waarom en hoe gegevens worden verwerkt. Voor uw eigen klanten bent u dat. De verwerker voert de verwerking uit in uw opdracht en gebruikt de gegevens niet voor zichzelf.
Wanneer heeft u een verwerkersovereenkomst nodig?
U heeft een verwerkersovereenkomst nodig met elke partij die persoonsgegevens voor u opslaat of bewerkt, zonder ze voor eigen doelen te gebruiken. Bij een gemiddeld mkb-bedrijf gaat het om:
- de hostingpartij van uw website en e-mail;
- uw boekhoud- en facturatiesoftware;
- CRM- en offertesoftware;
- uw nieuwsbriefdienst;
- een extern salarisadministratiekantoor;
- planning-, formulier- of sollicitatiesoftware;
- een IT-beheerder met toegang tot uw systemen.
Niet elke partij die gegevens van u krijgt, is een verwerker. Een bank, een vervoerder die pakketten bezorgt of een overheidsinstantie bepaalt zelf wat er met de gegevens gebeurt en is daarmee zelf verwerkingsverantwoordelijke. Met hen sluit u geen verwerkersovereenkomst. De Autoriteit Persoonsgegevens legt uit dat het erom gaat wie feitelijk het doel en de middelen van de verwerking bepaalt.
Wat moet er in een verwerkersovereenkomst staan?
Artikel 28 lid 3 AVG schrijft voor dat de overeenkomst beschrijft om welke gegevens, betrokkenen, doelen en duur het gaat. Daarnaast moet de verwerker zich onder meer verplichten om:
- gegevens alleen te verwerken volgens uw schriftelijke instructies;
- te zorgen dat zijn medewerkers geheimhouding in acht nemen;
- passende beveiligingsmaatregelen te nemen (artikel 32 AVG);
- alleen met uw toestemming subverwerkers in te schakelen;
- u te helpen bij verzoeken van betrokkenen, zoals inzage of verwijdering;
- u te helpen bij beveiliging, datalekken en risicobeoordelingen;
- de gegevens na afloop te verwijderen of terug te geven;
- u de informatie te geven die nodig is om naleving te controleren, en audits mogelijk te maken.
Grote softwareleveranciers bieden hun verwerkersovereenkomst meestal standaard aan, vaak als bijlage bij de algemene voorwaarden of als data processing agreement (DPA). Lees die wel: daarin staat waar de gegevens worden opgeslagen en welke subverwerkers de leverancier gebruikt. Die informatie heeft u nodig voor uw privacyverklaring.
Hoe hangen de twee documenten samen?
De verwerkersovereenkomsten leveren een deel van de inhoud van uw privacyverklaring. Elke verwerker is een ontvanger van persoonsgegevens, en ontvangers moet u in uw privacyverklaring noemen, bij naam of als categorie (artikel 13 lid 1 onder e AVG). Slaat een verwerker of een van zijn subverwerkers gegevens op buiten de Europese Economische Ruimte, dan vermeldt u ook dat, met de waarborgen.
Een praktische controle: leg de lijst van uw verwerkersovereenkomsten naast het onderdeel ontvangers in uw privacyverklaring. Staat er een leverancier in de ene lijst en niet in de andere, dan klopt een van beide niet. Dit onderdeel veroudert snel, omdat bedrijven regelmatig van software wisselen.
Wat er verder in een privacyverklaring hoort, leest u in het overzicht van de verplichte onderdelen van een privacyverklaring.
Bent u zelf verwerker voor uw klanten?
Verwerkt u persoonsgegevens in opdracht van uw klanten, dan bent u voor die gegevens zelf verwerker. Denk aan een IT-bedrijf dat systemen beheert, een marketingbureau dat de nieuwsbrief van een klant verstuurt, of een administratiekantoor dat de salarisadministratie verzorgt. U sluit dan als verwerker verwerkersovereenkomsten met uw klanten.
Uw eigen privacyverklaring gaat in dat geval alleen over de gegevens waarvoor u zelf verantwoordelijk bent: uw eigen klantcontacten, websitebezoekers en medewerkers. De mensen in de bestanden van uw klanten worden door die klanten zelf geïnformeerd. Een veelgemaakte fout is om in de eigen privacyverklaring te beschrijven wat u met klantbestanden doet, alsof u daarvan de verantwoordelijke bent.
Veelgestelde vragen
Moet een verwerkersovereenkomst ondertekend worden?
Een handtekening op papier is niet nodig. Artikel 28 lid 9 AVG eist dat de overeenkomst schriftelijk is vastgelegd, en elektronische vorm telt daarbij mee. Online akkoord geven op de verwerkersovereenkomst van een leverancier volstaat dus, zolang u kunt aantonen dat de overeenkomst geldt en u de tekst kunt terugvinden.
Hoort de verwerkersovereenkomst op mijn website?
Nee. De verwerkersovereenkomst is een afspraak tussen u en uw leverancier en hoeft niet openbaar te zijn. Op uw website staat de privacyverklaring, waarin u vermeldt welke soorten verwerkers u inschakelt. Op verzoek van de Autoriteit Persoonsgegevens moet u de overeenkomsten wel kunnen laten zien.
Kan ik volstaan met de privacyverklaring van mijn leverancier?
Nee. De privacyverklaring van een softwareleverancier gaat over wat die leverancier doet met de gegevens waarvoor hij zelf verantwoordelijk is, zoals uw accountgegevens. Voor de gegevens van uw klanten in zijn systeem blijft u verantwoordelijk. U heeft daarvoor een verwerkersovereenkomst met hem nodig, en uw eigen privacyverklaring.
Wat u nu kunt doen
Maak een lijst van alle software en dienstverleners die persoonsgegevens van uw klanten, bezoekers of medewerkers verwerken. Controleer per partij of er een verwerkersovereenkomst is, en noteer waar de gegevens worden opgeslagen. Vergelijk die lijst daarna met het onderdeel ontvangers in uw privacyverklaring.
Wilt u weten welke andere privacydocumenten een bedrijf nodig heeft, lees dan het verschil tussen privacyverklaring, privacybeleid en privacyreglement. Werft u personeel via software, dan staat in het artikel over de privacyverklaring voor sollicitanten hoe u dat beschrijft. Klopt uw privacyverklaring niet meer met uw leveranciers, dan kunt u hem laten opstellen op basis van uw huidige systemen.
Dit artikel bevat algemene informatie en is geen persoonlijk juridisch advies. Of iets voor uw onderneming geldt, hangt af van uw specifieke situatie.