AVG: wat moet u regelen met uw leveranciers?
Let op als u persoonsgegevens doorgeeft aan externe partijen, zoals een websitebouwer, CRM-leverancier of administratiekantoor. De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat u vanaf 25 mei 2018 alleen nog gegevens mag doorsturen als u een verwerkersovereenkomst heeft afgesloten. Hierin regelt u wat de leverancier wel én niet met de data mag doen. Het is belangrijk om de afspraken goed vast te leggen, anders riskeert u een boete.
Veel voorkomende verwerkersovereenkomsten worden afgesloten met:
- de websitebouwer
- de software-aanbieder van de digitale nieuwsbrief
- de drukker die adresbestanden krijgt
- de CMS-leverancier
- de Office-softwareleverancier
- de CRM-leverancier
- de SaaS-leverancier
- de accountant
- het salarisverwerkingsbedrijf
- verzekeraars van uw organisatie
Inhoud verwerkersovereenkomst
In een verwerkersovereenkomst legt u onder andere vast:
- het onderwerp en de duur van de verwerking
- de aard en het doel van de verwerking
- het soort persoonsgegevens
- de categorieën van betrokkenen
- de rechten en verplichtingen van de verwerkingsverantwoordelijke
De verwerkersovereenkomst is niet helemaal nieuw. Onder de Wet bescherming persoonsgegevens moest dit ook al, daarin heet het een bewerkersovereenkomst. Wel zijn er extra verplichte onderwerpen die u aan de verwerkersovereenkomst moet toevoegen. Nieuw is bijvoorbeeld dat u afspraken maakt over bewaartermijnen, vernietiging, geheimhouding en aansprakelijkheid.
Voorbeelddocument en checklist
In de BOVAG Privacytool kunt u een standaard verwerkersovereenkomst downloaden. Aan de hand van een extra checklist kunt u controleren of uw verwerkersovereenkomst met een derde partij voldoende is ‘dichtgetimmerd’. De BOVAG Privacytool helpt u in 16 stappen om uw bedrijf klaar te maken voor de AVG. De tool is speciaal ontwikkeld voor ondernemers in de mobiliteitsbranche. Gebruik ervan is gratis voor leden.