Verwerking in opdracht door leveranciers: wat vereist artikel 28 AVG in de praktijk?

Verwerker is wie persoonsgegevens verwerkt in opdracht en volgens de instructies van een verwerkingsverantwoordelijke (artikel 4, punt 8, AVG). Typische gevallen zijn hosting en datacenterdiensten, software as a service, IT-onderhoud met toegang tot gegevens of het versturen van post en e-mails in opdracht.

Er is geen sprake van verwerking in opdracht wanneer een dienstverlener helemaal geen toegang heeft tot persoonsgegevens of zelf beslist over de doeleinden en middelen van de verwerking.

Volgens artikel 28, lid 3, AVG legt de overeenkomst het onderwerp en de duur, de aard en het doel van de verwerking, het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en verplichtingen van de verwerkingsverantwoordelijke vast. De verwerker verbindt zich er in het bijzonder toe gegevens alleen op basis van schriftelijke instructies te verwerken (punt a), de vertrouwelijkheid te waarborgen (punt b), de maatregelen van artikel 32 te nemen (punt c), de regels voor subverwerkers na te leven (punt d), bijstand te verlenen bij de rechten van betrokkenen (punt e) en bij de verplichtingen van de artikelen 32 tot en met 36 (punt f), de gegevens na afloop van de dienstverlening te wissen of terug te bezorgen (punt g) en alle benodigde informatie ter beschikking te stellen en audits mogelijk te maken (punt h).

De overeenkomst moet schriftelijk worden vastgelegd, wat ook in elektronische vorm kan (artikel 28, lid 9). Als basis kunnen de standaardcontractbepalingen van de Europese Commissie dienen (Uitvoeringsbesluit (EU) 2021/915).

Al vóór de overeenkomst moet de opdrachtgever nagaan of de leverancier afdoende garanties biedt (artikel 28, lid 1). Daartoe behoren gedocumenteerde technische en organisatorische maatregelen op grond van artikel 32 – bijvoorbeeld toegangsbeveiliging, versleuteling, back-ups en procedures voor regelmatige toetsing.

Aansluiting bij goedgekeurde gedragscodes of certificeringen op grond van de AVG kan worden gebruikt als element om afdoende garanties aan te tonen (artikel 28, lid 5). De toetsing zelf vervangen ze niet.

Andere verwerkers mag de leverancier alleen inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming (artikel 28, lid 2). Bij een algemene toestemming informeert hij de opdrachtgever over elke voorgenomen wijziging, en de opdrachtgever kan daartegen bezwaar maken.

Aan de subverwerker moeten dezelfde verplichtingen inzake gegevensbescherming worden opgelegd; komt hij die niet na, dan blijft de leverancier tegenover de opdrachtgever aansprakelijk (artikel 28, lid 4).

Vaak ontbreekt de overeenkomst helemaal, of is ze ooit ondertekend en daarna nooit meer bekeken. Even vaak komen verouderde lijsten van subverwerkers voor, technische en organisatorische maatregelen als algemene standaardteksten zonder verband met de dienst en het ontbreken van een regeling voor het wissen van gegevens aan het einde van de overeenkomst.

Overtredingen van de verplichtingen uit artikel 28 kunnen op grond van artikel 83, lid 4, AVG worden bestraft met boetes tot € 10 miljoen of tot 2% van de wereldwijde jaaromzet, al naargelang welk bedrag hoger is.

De catalogus van Vendo4u vraagt de punten uit die bij een toetsing op grond van artikel 28 tellen – of er een verwerkersovereenkomst beschikbaar is, waar de gegevens worden verwerkt, welke subverwerkers worden ingezet – en leveranciers voegen de bijbehorende documenten toe. Inkopers zien deze gegevens voor alle leveranciers in dezelfde structuur en archiveren ze met de export in hun eigen dossier.