Sub-verwerkersovereenkomst

Een Sub-verwerkersovereenkomst kan gebruikt worden door een verwerker en een sub-verwerker om afspraken vast te leggen over de verwerking van persoonsgegevens.

Dit document is van toepassing op de situatie waarin een verwerker, die is ingeschakeld door een verwerkingsverantwoordelijke, op zijn beurt een sub-verwerker inschakelt voor de verwerking van de persoonsgegevens.

Indien sprake is van een verwerkingsverantwoordelijke die een verwerker inschakelt voor de persoonsgegevensverwerking, kan gebruik gemaakt worden van de Verwerkingsovereenkomst.

Persoonsgegevensverwerking

Verwerking van persoonsgegevens is iedere soort handeling (bv. verzamelen, opslaan, analyseren) met gegevens die een bepaald persoon kunnen identificeren. Een persoon kan direct geïdentificeerd worden indien bijvoorbeeld de naam wordt verwerkt, maar een persoon kan ook indirect geïdentificeerd worden, door bijvoorbeeld een telefoonnummer te verwerken. Alle informatie die gebruikt wordt op enige wijze, waarmee direct of indirect een persoon geïdentificeerd kan worden, valt dus onder gegevensverwerking van persoonsgegevens.

Om de persoonsgegevens die verwerkt worden zo goed mogelijk te beschermen in Europa, geldt in heel Europa dezelfde wetgeving, ook wel bekend als de Algemene verordening gegevensbescherming (AVG).

Indien de verwerking van persoonsgegevens plaatsvindt in het kader van een website, kan gebruik gemaakt worden van de Privacyverklaring voor een website, ook wel een privacybeleid genoemd. Dit is informatie die wordt gegeven aan de gebruikers van de website, om hen te informeren over de verwerking van hun persoonsgegevens. Indien ook cookies (kleine hoeveelheden data die op de browser van de bezoeker worden geplaatst) geplaatst worden op de website, kan tevens de Cookieverklaring gebruikt worden om de bezoekers van de website op de hoogte te brengen van het gebruik van cookies.

Verwerkingsverantwoordelijke en (sub-)verwerker

In de AVG wordt onderscheid gemaakt tussen de verwerkingsverantwoordelijke en de (sub)verwerker.

Een verwerkingsverantwoordelijke is de persoon, bedrijf of overheidsinstantie die/dat beslist dat persoonsgegevens verwerkt worden, en met welkt doel van de gegevensverwerking en welke middelen de verwerking plaatsvindt.

Een verwerker is de persoon, bedrijf of overheidsinstantie die/dat de persoonsgegevensverwerking in opdracht van de verwerkingsverantwoordelijke daadwerkelijk uitvoert. Bijvoorbeeld: een werkgever besteedt de personeelsadministratie uit. De werkgever is dan de verwerkingsverantwoordelijke, want hij beslist dat gegevens van zijn werknemers verwerkt worden en met welk doel en middel, en de onderneming die de personeelsadministratie doet, is de verwerker die ten behoeve van de verwerkingsverantwoordelijke de gegevensverwerking uitvoert.

Sub-verwerkers zijn derden die door de verwerker worden ingeschakeld om de persoonsgegevens te verwerken. De verwerker moet hiervoor toestemming krijgen van de verwerkingsverantwoordelijke.

(Sub-)verwerkersovereenkomst

In het geval dat er sprake is van een verwerkingsverantwoordelijke en een verwerker, is het verplicht dat zij een Verwerkersovereenkomst sluiten, om de afspraken over de gegevensverwerking vast te leggen. De verwerkingsverantwoordelijke blijft altijd verantwoordelijk voor de gegevensverwerking, tenzij de verwerker bepaalde gegevens verwerkt of op een eigen wijze verwerkt, zonder dat dit was opgedragen door de verantwoordelijke. In de verwerkersovereenkomst wordt daarom uitgesloten dat de verwerker de persoonsgegevens voor eigen bepaalde doeleinden gebruikt. Het is de verwerkingsverantwoordelijke die dit bepaalt.

Indien de verwerker een sub-verwerker inschakelt voor de verwerking van de persoonsgegevens, moet eenzelfde overeenkomst tussen de verwerker en de sub-verwerker worden gesloten: een sub-verwerkersovereenkomst.

Hoe dit document te gebruiken

Deze overeenkomst dient te worden ingevuld met de gegevens van de verwerker en de sub-verwerker.

Het is verplicht om aan de overeenkomst een bijlage toe te voegen met de volgende informatie met betrekking tot de persoonsgegevensverwerking:

• onderwerp en de duur van de verwerking;
• de aard en het doel van de verwerking;
• het soort persoonsgegevens die verwerkt worden;
• de categorieën van betrokkenen;
• de rechten en verplichtingen van de verwerkingsverantwoordelijke.

Voort moeten in de sub-verwerkersovereenkomst bepalingen staan betreffende:

• de instructies van de verwerker aan de sub-verwerker over het gebruik van de persoonsgegevens;
• een verplichting voor de sub-verwerker en zijn werknemers om de persoonsgegevens die verwerkt worden vertrouwelijk te behandelen en geheim te houden;
• de beveiligingsmaatregelen die de sub-verwerker moet treffen om ervoor te zorgen dat de persoonsgegevens niet in handen van anderen kunnen komen of verloren worden;
• de regels omtrent het inschakelen van derden die de verwerking van de persoonsgegevens uitvoeren in opdracht van de sub-verwerker;
• de hulp van de sub-verwerker in het geval dat een betrokkene van wie gegevens verzameld zijn, zijn privacy rechten wil uitoefenen (het inzien, verwijderen, wijzigen etc. van de gegevens);
• de hulp van de sub-verwerker bij andere verplichtingen;
• wanneer de gegevens door de sub-verwerker gewist of teruggegeven moeten worden aan het einde van de verwerking door de sub-verwerker, en op welke wijze;
• de medewerking van de sub-verwerker aan inspecties en dergelijken om te controleren of hij zich aan zijn verplichtingen als verwerker houdt.

De overeenkomst wordt door de verwerker en de sub-verwerker getekend en beiden krijgen een exemplaar.

Toepasselijk recht

• Verordening (EU) 2016/679 van het Europees Parlement en de Raad (algemene verordening gegevensbescherming)
• Uitvoeringswet Algemene verordening gegevensbescherming
• Burgerlijk Wetboek Boek 6

Het model bewerken

U vult een formulier in. Het document wordt naargelang uw antwoorden per sectie opgemaakt.

Aan het einde ontvangt u het in de formaten Word en PDF. U kunt het bewerken en het opnieuw gebruiken.