Verwerkersovereenkomst

Wat is een verwerkersovereenkomst?

Een verwerkersovereenkomst (VOK), in het Engels Data Processing Agreement of DPA, is een verplicht contractdocument onder de AVG dat afgesloten moet worden telkens wanneer een verwerkingsverantwoordelijke, jullie KMO als opdrachtgever, persoonsdata doorgeeft aan of laat verwerken door een externe verwerker die die data in jullie naam en op jullie instructies verwerkt. De overeenkomst legt de rechten, plichten en verantwoordelijkheden van de verwerker nauwkeurig vast: welke specifieke categorieën data verwerkt worden, voor welk omschreven doel en welke duur, welke technische en organisatorische beveiligingsmaatregelen vereist zijn, en hoe concreet omgegaan wordt met datalekken, verzoeken van betrokkenen en de beëindiging van de verwerkingsrelatie. Zonder een geldige en actuele verwerkersovereenkomst bent je als verwerkingsverantwoordelijke automatisch in overtreding met de AVG, ongeacht of de verwerker zelf aan alle vereisten voldoet.

Verplichte inhoud onder de AVG

Artikel 28 van de AVG beschrijft exhaustief wat een verwerkersovereenkomst minimaal moet bevatten om rechtsgeldig te zijn. Verplichte elementen zijn het onderwerp en de duur van de verwerking, een nauwkeurige omschrijving van de aard en het doel van de verwerking, het type persoonsdata dat verwerkt wordt en de categorieën betrokkenen waarop het betrekking heeft. Cruciaal zijn ook de expliciete instructies voor de verwerker over hoe met die data omgegaan moet worden. De overeenkomst moet bepalen dat de verwerker geen subverwerkers mag inschakelen zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke. Verplicht is ook een clausule die de verwerker verplicht de verwerkingsverantwoordelijke onmiddellijk te informeren bij een vermoedelijk datalek, zodat de 72-uursmeldingstermijn aan de toezichthouder gehaald kan worden.

Verwerkersovereenkomst voor AI-leveranciers

Bij het gebruik van AI-tools die in welke vorm ook persoonsdata verwerken, is een verwerkersovereenkomst wettelijk verplicht en praktisch onmisbaar. Voorbeelden zijn AI-assistenten die klantinteracties opslaan voor contextbeheer, transcriptieplatformen die gesprekken verwerken, HR-bots die personeelsdata raadplegen of e-mailtools die berichten analyseren voor classificatie. Controleer bij de selectie van elke nieuwe AI-tool of de leverancier een volwaardige DPA aanbiedt die voldoet aan de AVG-vereisten. Grote en gevestigde AI-providers bieden standaard DPA's aan; controleer specifiek of die de gegevensverwerking binnen de EER garanderen of welke aanvullende juridische safeguards van toepassing zijn bij verwerking buiten de EER. Bewaar getekende kopieën van alle verwerkersovereenkomsten centraal en gedocumenteerd in jullie verwerkingsregister. Herzie bestaande verwerkersovereenkomsten minstens jaarlijks en altijd bij significante wijzigingen in de verwerkte datacategorieën, de ingeschakelde subverwerkers of de toepasselijke wetgeving, zoals nieuwe adequaatheidsbeslissingen voor dataoverdrachten buiten de EER.