Verwerkersovereenkomst: wat moet erin als je software laat bouwen?

Wanneer heb je een verwerkersovereenkomst nodig?

Volgens de AVG ben jij de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe persoonsgegevens worden gebruikt. Een partij die namens jou persoonsgegevens verwerkt, is een verwerker. Met elke verwerker moet je een verwerkersovereenkomst sluiten.

Bij software laten bouwen is de bouwer vaak verwerker. Dat is zo als hij:

• de software host of beheert, met jouw klant- of personeelsgegevens erin;
• bij storingen of vragen in de productiedatabase kijkt;
• gegevens overzet van je oude naar je nieuwe systeem;
• koppelingen beheert waar persoonsgegevens doorheen gaan.

Bouwt iemand alleen software en komt hij nooit bij echte gegevens, dan is een verwerkersovereenkomst niet nodig. In de praktijk is dat zelden zo, zeker niet als dezelfde partij ook het beheer doet.

Wat moet er volgens de AVG in staan?

Artikel 28 van de AVG noemt wat een verwerkersovereenkomst minimaal moet regelen:

1. 01Onderwerp, duur, aard en doel van de verwerking.
2. 02Welke persoonsgegevens het gaat om, en van wie: klanten, medewerkers, patiënten.
3. 03Dat de verwerker alleen werkt op jouw schriftelijke instructie.
4. 04Geheimhouding voor iedereen die bij de gegevens kan.
5. 05Passende beveiliging, zoals versleuteling, toegangsrechten en back-ups.
6. 06Regels voor subverwerkers: de verwerker schakelt alleen andere partijen in met jouw toestemming, en legt hen dezelfde plichten op.
7. 07Hulp bij rechten van betrokkenen, zoals een verzoek om inzage of verwijdering.
8. 08Hulp bij beveiliging en datalekken, en bij een privacy-risicoanalyse (DPIA) als die nodig is.
9. 09Wat er na afloop gebeurt: de gegevens worden teruggegeven of verwijderd.
10. 10Informatie en audits: je mag laten controleren of de afspraken worden nageleefd.

Waar moet je bij software extra op letten?

Naast de verplichte punten zijn er afspraken die bij software het verschil maken:

• Waar de gegevens staan. Hosting in de EU houdt het eenvoudig. Gaan gegevens naar buiten de EU, dan zijn extra waarborgen nodig.
• Welke subverwerkers er zijn. Vraag om een lijst: hostingpartij, database, e-mail, monitoring, en eventuele AI-diensten.
• Hoe snel een datalek wordt gemeld. Jij moet een ernstig datalek binnen 72 uur bij de Autoriteit Persoonsgegevens melden. Spreek dus af dat de verwerker het je ruim daarvoor laat weten, bijvoorbeeld binnen 24 uur.
• Wie er toegang heeft tot productiegegevens, en of dat wordt gelogd.
• Testgegevens. Spreek af dat er bij ontwikkeling en testen geen echte persoonsgegevens worden gebruikt, tenzij het niet anders kan.
• AI-diensten. Gaan er gegevens naar een AI-dienst, leg dan vast welke, waarvoor, en dat de dienst ze niet gebruikt om modellen te trainen.

Wie stelt de verwerkersovereenkomst op?

Dat mag allebei. Veel organisaties gebruiken een eigen model. Een goede bouwer heeft ook een model klaarliggen en een actuele lijst van subverwerkers. Lees het hoe dan ook goed, en zorg dat wat er staat klopt met hoe de software echt is gebouwd. Dit artikel is algemene informatie en geen juridisch advies; twijfel je over je situatie, vraag dan een privacyjurist om mee te kijken.