Verwerker of verwerkingsverantwoordelijke?
Onder de AVG zijn twee rollen cruciaal: de verwerkingsverantwoordelijke (bepaalt het doel en de middelen van de verwerking) en de verwerker (verwerkt gegevens in opdracht van de verantwoordelijke).
Als SaaS-aanbieder, hostingprovider, IT-dienstverlener of clouddienst bent u waarschijnlijk een verwerker. Dit brengt specifieke verplichtingen met zich mee die in artikel 28 van de AVG zijn vastgelegd.
Voorbeelden
| Rol | Voorbeeld |
|---|---|
| Verwerkingsverantwoordelijke | Webshop die klantgegevens verzamelt |
| Verwerker | Hostingbedrijf dat de webshop draait |
| Verwerker | E-mailmarketingplatform (Mailchimp, Brevo) |
| Verwerker | SaaS CRM-systeem (HubSpot, Salesforce) |
| Verwerker | Salarisverwerker (ADP, Visma) |
| Subverwerker | Clouddienst (AWS) die de SaaS-aanbieder gebruikt |
De 8 kernverplichtingen van artikel 28
1. Alleen verwerken op basis van instructies
U mag persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Eigen gebruik van de gegevens is niet toegestaan, tenzij wettelijk verplicht.
Uitzondering: als een wet u verplicht gegevens te verwerken (bijv. gerechtelijk bevel), moet u de verantwoordelijke hiervan op de hoogte stellen, tenzij de wet dat verbiedt.
2. Geheimhouding
Zorg dat alle personen die toegang hebben tot persoonsgegevens gebonden zijn aan geheimhouding — via arbeidsovereenkomst, NDA of wettelijke verplichting.
3. Passende beveiligingsmaatregelen
Implementeer technische en organisatorische maatregelen die een passend beveiligingsniveau waarborgen, rekening houdend met:
- De stand van de techniek
- De kosten van implementatie
- De aard, omvang en context van de verwerking
- De risico's voor betrokkenen
Concrete maatregelen:
| Categorie | Maatregelen |
|---|---|
| Encryptie | TLS in transit, AES-256 at rest |
| Toegangsbeheer | RBAC, MFA, least privilege |
| Logging | Audit trails van alle gegevenstoegang |
| Back-ups | Regelmatig, versleuteld, getest |
| Patchmanagement | Tijdige beveiligingsupdates |
| Personeel | Geheimhoudingsverklaringen, training |
4. Subverwerkers alleen met toestemming
U mag geen subverwerker inschakelen zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke. Er zijn twee opties:
- Specifieke toestemming: per subverwerker afzonderlijk
- Algemene toestemming: met informatieplicht bij wijzigingen en bezwaarrecht
Bij inschakeling van een subverwerker moet u dezelfde verplichtingen contractueel doorleggen.
5. Bijstand aan de verwerkingsverantwoordelijke
U bent verplicht de verantwoordelijke bij te staan bij:
- Verzoeken van betrokkenen — inzage, verwijdering, correctie, portabiliteit
- Datalekken — melding aan AP en betrokkenen
- DPIA's — ondersteuning bij effectbeoordelingen
- Voorafgaande raadpleging — als een DPIA een hoog risico aantoont
6. Gegevens teruggeven of verwijderen na afloop
Na beëindiging van de verwerkersovereenkomst moet u alle persoonsgegevens verwijderen of teruggeven — naar keuze van de verantwoordelijke. Bestaande kopieën moeten worden vernietigd, tenzij wetgeving opslag vereist.
7. Audit-medewerking
U moet de verantwoordelijke alle informatie ter beschikking stellen die nodig is om compliance aan te tonen. Dit omvat medewerking aan audits en inspecties.
Tip: documenteer uw beveiligingsmaatregelen proactief (SOC 2-rapport, ISAE 3402) om individuele audits te beperken.
8. Verwerkingsregister bijhouden
Als verwerker houdt u een eigen verwerkingsregister bij (artikel 30 lid 2) met:
- Categorieën verwerkingen per verantwoordelijke
- Eventuele doorgifte buiten de EU
- Beveiligingsmaatregelen
De verwerkersovereenkomst
De verwerkersovereenkomst (verwerkersovereenkomst of Data Processing Agreement) is het centrale document dat de relatie tussen verantwoordelijke en verwerker regelt.
Verplichte inhoud
| Element | Beschrijving |
|---|---|
| Onderwerp en duur | Wat wordt verwerkt en voor hoelang |
| Aard en doel | Waarom en hoe gegevens worden verwerkt |
| Soort gegevens | Welke categorieën persoonsgegevens |
| Categorieën betrokkenen | Van wie de gegevens zijn |
| Rechten en plichten verantwoordelijke | Instructierecht, auditrecht |
| Rechten en plichten verwerker | Alle 8 verplichtingen hierboven |
| Subverwerkers | Lijst + goedkeuringsproces |
| Doorgifte | Mechanismen voor verwerking buiten EU |
Veelgemaakte fouten in verwerkersovereenkomsten
| Fout | Risico |
|---|---|
| Standaard template zonder aanpassing | Past niet bij specifieke verwerking |
| Geen lijst van subverwerkers | Onvoldoende transparantie |
| Geen procedure voor wijziging subverwerkers | Verantwoordelijke verliest controle |
| Te vage beveiligingsmaatregelen | Niet afdwingbaar bij audit |
| Geen exit-procedure | Onduidelijkheid bij beëindiging |
| Ontbrekende meldtermijn datalekken | Vertraging in meldketen |
Doorgifte buiten de EU
Als u als verwerker gegevens verwerkt buiten de EER (Europese Economische Ruimte), moet u aanvullende waarborgen treffen:
- Adequaatheidsbesluit — het ontvangende land biedt voldoende bescherming (bijv. EU-VS Data Privacy Framework)
- Standard Contractual Clauses (SCC's) — de door de Europese Commissie goedgekeurde modelcontracten
- Binding Corporate Rules (BCR's) — voor doorgifte binnen een internationale onderneming
Na het Schrems II-arrest moet u daarnaast een Transfer Impact Assessment (TIA) uitvoeren om te beoordelen of het beschermingsniveau in de praktijk voldoende is.
Datalekken: de meldketen
Als verwerker heeft u een cruciale rol in de datalekmelding:
- Detectie — ontdek het lek zo snel mogelijk
- Melding aan verantwoordelijke — zonder onredelijke vertraging (best practice: binnen 24 uur)
- Ondersteuning — help de verantwoordelijke bij het beoordelen en melden aan de AP
- Mitigatie — neem maatregelen om de schade te beperken
- Documentatie — leg alles vast voor accountability
Checklist voor verwerkers
- Verwerkersovereenkomst aanwezig met elke verantwoordelijke
- Subverwerkers geïnventariseerd en goedgekeurd
- Beveiligingsmaatregelen gedocumenteerd en actueel
- Procedure voor datalekmelding ingericht
- Verwerkingsregister (artikel 30 lid 2) bijgehouden
- Medewerkers getraind in gegevensbeveiliging
- Exit-procedure vastgelegd (verwijdering/teruggave)
- Doorgifte buiten EU correct gewaarborgd
Scan uw website gratis met WarDek — OWASP, NIS2, AVG, AI Act compliance in één scan.