AVG: wat moet je regelen met je leveranciers?

Let op als je persoonsgegevens doorgeeft aan externe partijen, zoals een websitebouwer, CRM-leverancier of administratiekantoor. De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat je vanaf 25 mei 2018 alleen nog gegevens mag doorsturen als je een verwerkersovereenkomst hebt afgesloten. Hierin regel je wat de leverancier wel én niet met de data mag doen. Het is belangrijk om de afspraken goed vast te leggen, anders riskeer je een boete.

Veel voorkomende verwerkersovereenkomsten worden afgesloten met:

• de websitebouwer

• de software-aanbieder van de digitale nieuwsbrief

• de drukker die adresbestanden krijgt

• de CMS-leverancier

• de Office-softwareleverancier

• de CRM-leverancier

• de SaaS-leverancier

• de accountant

• het salarisverwerkingsbedrijf

• verzekeraars van uw organisatie

Inhoud verwerkersovereenkomst

In een verwerkersovereenkomst legt u onder andere vast:

• het onderwerp en de duur van de verwerking

• de aard en het doel van de verwerking

• het soort persoonsgegevens

• de categorieën van betrokkenen

• de rechten en verplichtingen van de verwerkingsverantwoordelijke

De verwerkersovereenkomst is niet helemaal nieuw. Onder de Wet bescherming persoonsgegevens moest dit ook al, daarin heet het een bewerkersovereenkomst. Wel zijn er extra verplichte onderwerpen die je aan de verwerkersovereenkomst moet toevoegen. Nieuw is bijvoorbeeld dat je afspraken maakt over bewaartermijnen, vernietiging, geheimhouding en aansprakelijkheid.

Voorbeelddocument en checklist

In de BOVAG Privacytool kun je een standaard verwerkersovereenkomst downloaden. Aan de hand van een extra checklist kun je controleren of je verwerkersovereenkomst met een derde partij voldoende is ‘dichtgetimmerd’. De BOVAG Privacytool helpt je in 16 stappen je bedrijf klaar te maken voor de AVG. De tool is speciaal ontwikkeld voor ondernemers in de mobiliteitsbranche. Gebruik ervan is gratis voor leden.