AVG verwerker: verplichtingen artikel 28

Verwerker of verwerkingsverantwoordelijke?

Onder de AVG zijn twee rollen cruciaal: de verwerkingsverantwoordelijke (bepaalt het doel en de middelen van de verwerking) en de verwerker (verwerkt gegevens in opdracht van de verantwoordelijke).

Als SaaS-aanbieder, hostingprovider of andere IT-dienstverlener is uw rol afhankelijk van het doel en de middelen van iedere concrete verwerking. Dit brengt specifieke verplichtingen met zich mee die in artikel 28 van de AVG zijn vastgelegd.

Voorbeelden

De 8 kernverplichtingen van artikel 28

1. Alleen verwerken op basis van instructies

U mag persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Eigen gebruik van de gegevens is niet toegestaan, tenzij wettelijk verplicht.

Uitzondering: als een wet u verplicht gegevens te verwerken (bijv. gerechtelijk bevel), moet u de verantwoordelijke hiervan op de hoogte stellen, tenzij de wet dat verbiedt.

2. Geheimhouding

Zorg dat alle personen die toegang hebben tot persoonsgegevens gebonden zijn aan geheimhouding — via arbeidsovereenkomst, NDA of wettelijke verplichting.

3. Passende beveiligingsmaatregelen

Implementeer technische en organisatorische maatregelen die een passend beveiligingsniveau waarborgen, rekening houdend met:

• De stand van de techniek
• De kosten van implementatie
• De aard, omvang en context van de verwerking
• De risico's voor betrokkenen

Concrete maatregelen:

4. Subverwerkers alleen met toestemming

U mag geen subverwerker inschakelen zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke. Er zijn twee opties:

• Specifieke toestemming: per subverwerker afzonderlijk
• Algemene toestemming: met informatieplicht bij wijzigingen en bezwaarrecht

Bij inschakeling van een subverwerker moet u dezelfde verplichtingen contractueel doorleggen.

5. Bijstand aan de verwerkingsverantwoordelijke

U bent verplicht de verantwoordelijke bij te staan bij:

• Verzoeken van betrokkenen — inzage, verwijdering, correctie, portabiliteit
• Datalekken — melding aan AP en betrokkenen
• DPIA's — ondersteuning bij effectbeoordelingen
• Voorafgaande raadpleging — als een DPIA een hoog risico aantoont

6. Gegevens teruggeven of verwijderen na afloop

Na beëindiging van de verwerkersovereenkomst moet u alle persoonsgegevens verwijderen of teruggeven — naar keuze van de verantwoordelijke. Bestaande kopieën moeten worden vernietigd, tenzij wetgeving opslag vereist.

7. Audit-medewerking

U moet de verantwoordelijke alle informatie ter beschikking stellen die nodig is om compliance aan te tonen. Dit omvat medewerking aan audits en inspecties.

Tip: documenteer uw beveiligingsmaatregelen proactief (SOC 2-rapport, ISAE 3402) om individuele audits te beperken.

8. Verwerkingsregister bijhouden

Als verwerker houdt u een eigen verwerkingsregister bij (artikel 30 lid 2) met:

• Categorieën verwerkingen per verantwoordelijke
• Eventuele doorgifte buiten de EU
• Beveiligingsmaatregelen

De verwerkersovereenkomst

De verwerkersovereenkomst (verwerkersovereenkomst of Data Processing Agreement) is het centrale document dat de relatie tussen verantwoordelijke en verwerker regelt.

Verplichte inhoud

Veelgemaakte fouten in verwerkersovereenkomsten

Doorgifte buiten de EU

Als u als verwerker gegevens verwerkt buiten de EER (Europese Economische Ruimte), moet u aanvullende waarborgen treffen:

1. Adequaatheidsbesluit — het ontvangende land biedt voldoende bescherming (bijv. EU-VS Data Privacy Framework)
2. Standard Contractual Clauses (SCC's) — de door de Europese Commissie goedgekeurde modelcontracten
3. Binding Corporate Rules (BCR's) — voor doorgifte binnen een internationale onderneming

Bij gebruik van SCC’s moet u het beschermingsniveau in het ontvangende land beoordelen en zo nodig aanvullende maatregelen nemen. Een adequaatheidsbesluit heeft een eigen toepassingsgebied; niet iedere doorgifte vereist een TIA.

Datalekken: de meldketen

Als verwerker heeft u een cruciale rol in de datalekmelding:

1. Detectie — ontdek het lek zo snel mogelijk
2. Melding aan verantwoordelijke — zonder onredelijke vertraging na kennisname (artikel 33 lid 2); een kortere contractuele termijn kan worden afgesproken
3. Ondersteuning — help de verantwoordelijke bij het beoordelen en melden aan de AP
4. Mitigatie — neem maatregelen om de schade te beperken
5. Documentatie — leg alles vast voor accountability

Checklist voor verwerkers

• Verwerkersovereenkomst aanwezig met elke verantwoordelijke
• Subverwerkers geïnventariseerd en goedgekeurd
• Beveiligingsmaatregelen gedocumenteerd en actueel
• Procedure voor datalekmelding ingericht
• Verwerkingsregister (artikel 30 lid 2) bijgehouden
• Medewerkers getraind in gegevensbeveiliging
• Exit-procedure vastgelegd (verwijdering/teruggave)
• Doorgifte buiten EU correct gewaarborgd

WarDek toont technische bevindingen voor een URL, maar controleert geen verwerkersovereenkomsten of doorgiftemechanismen.

Officiële bronnen

• AVG — artikelen 28, 33 en 83 (EUR-Lex).
• Europese Commissie — adequaatheidsbesluiten.