Wat is een verwerkings- en/of bewerkovereenkomst?

Inleiding
Onder AVG moeten bedrijven beter nadenken over de wijze op én waarom zij persoonsgegevens nodig hebben én verwerken. Op het moment een bedrijf deze gegevens wil delen en/of de verkregen informatie voor anderen inzichtelijk (kan) zijn, dan moet het bedrijf met deze derde een verwerkings- en/of bewerkovereenkomst sluiten. Denkt u bijv. aan uw marketingbureau die inzage heeft in bepaalde (gebruikers)gegevens.

Wat is een verwerkingsovereenkomst?
Simpel uitgelegd betreft het een soort overeenkomst die in beginsel strekt boven alle andere overeenkomsten én die gaat over de uitwisseling van persoonsgegeven tussen bedrijven onderling.

Hoe breng je in kaart wie toegang heeft en waarom?
De moeilijkheidsgraad bij een verwerkingsovereenkomst zit vooral in het feit dat veel ondernemers niet duidelijk hebben wie er allemaal toegang hebben tot hun gegevens en waarom. Zo reageren veel ondernemers nog steeds verrast op het moment dat uit onze analyses blijkt dat meer bedrijven toegang hebben tot hun gegevens dan aanvankelijk aangenomen werd.

Simpele voorbeeld is het marketingbureau dat inzage nodig heeft in de bezoekersgegevens van uw website, maar soms zelfs het softwarebedrijf dat de analysesoftware heeft gemaakt om te bekijken hoe hun software werkt of bijvoorbeeld voor bug analyses. Meer voor de hand liggende partijen zijn uw boekhouder die tal van gevoelige informatie verkrijgt, maar wellicht gebruikt deze boekhouder ook weer software van een derde die in de keten ook weer inzage heeft in de gegevens enzovoorts.

Op het moment u alles goed in kaart heeft gebracht weet u met welke partijen u een verwerkingsovereenkomst moet sluiten en de reden is vrij voor de hand liggend, namelijk bewustwording en bescherming van persoonsgegevens.

Hoe ziet een goede verwerkovereenkomst eruit?
Een goede verwerkovereenkomst omvat in het kort de gronden van de uitwisseling, de redenen voor de uitwisseling alsmede de maatregelen die partijen nemen ter zake de bescherming De verwerkovereenkomst is hiermee dus feitelijk de gehele basis voor de uitwisseling van persoonsgegevens onder bedrijven.

Mag ik zonder verwerkingsovereenkomst gegevens delen?
Nee, dit mag niet, tenzij de wet anders bepaalt.

Welke rollen zijn er binnen een verwerkovereenkomst?
Er zijn een drietal rollen (betrokken partijen). Welke rol (of combinatie van rollen) op uw situatie van toepassing is zal per geval verschillen, de rollen zijn in te delen als volgt: (1) De verantwoordelijke, ofwel in de meeste gevallen de direct verkrijger van toestemming van betrokkene; en (2) de verwerker, ofwel de partij die verantwoordelijk is voor de verwerking; en (3) de (sub)verwerker, de partij die uitsluitend de verwerking van de persoonsgegevens op zich neemt.