Niet alle organisaties blijken de uitbesteding van hun verwerkingen van persoonsgegevens op schrift vast te leggen, hoewel dit eigenlijk wel vereist is.
Het document, verwerkingsovereenkomst, biedt verwerkingsverantwoordelijken en hun verwerkers een houvast inzake hun rechten en plichten.
Te onthouden
- Men kan niet zomaar om het even wie als verwerker aanstellen.
- Een verwerkingsovereenkomst moet op schrift zijn opgesteld.
- De verwerkingsovereenkomst bevat een minimaal een aantal bepalingen.
- Het is aangeraden om ook voor het verwerken van persoonsgegevens een SLA te voorzien.
Het outsourcen van de verwerking van persoonsgegevens
Er zijn verschillende redenen waarom verwerkingsverantwoordelijken de verwerking van persoonsgegevens uitbesteden.
Zo kan bijvoorbeeld een IT-bedrijf voor een verwerkingsverantwoordelijke een software applicatie hebben ontwikkeld waarmee persoonsgegevens worden verwerkt.
Wanneer het IT-bedrijf dan tevens (eerste of tweede lijns) ondersteuning biedt voor de door hen ontwikkelde software dan zal het IT-bedrijf ook persoonsgegevens gaan verwerken.
Het is dan ook logisch dat de verwerkingsverantwoordelijke, die de opdrachtgever is voor de ontwikkeling van deze software applicatie waarmee persoonsgegevens worden verwerkt, dat IT-bedrijf zal aanstellen als verwerker.
Keuze van de verwerker
Echter, een verwerkingsverantwoordelijke kan niet om het even wie als verwerker van persoonsgegevens aanstellen.
De verwerker moet immers voldoende garanties kunnen bieden zodat de verwerkingen die hij uitvoert voldoen aan de vereisten van de GDPR, en dat de rechten van de personen wiens persoonsgegevens worden verwerkt kunnen worden gewaarborgd.
Dit betekent dat deze verwerker de nodige garanties moet kunnen bieden op het vlak van technische en organisatorische maatregelen die de bescherming van de persoonsgegevens kunnen waarborgen.
Welke organisatie in aanmerking kan komen als verwerker zal daarom afhangen van de aard, de omvang en de categorieën van persoonsgegevens die zullen worden verwerkt.
De verwerkingsovereenkomst
Verwerken via een uitbesteding moet gebeuren op basis van een verwerkingsovereenkomst.
De verwerkingsovereenkomst waarin de verwerkingsverantwoordelijke de outsourcing van de verwerking(en) van persoonsgegevens opdraagt aan een verwerker wordt geregeld in een geschrift.
Dat geschrift bevat een heleboel elementen.
Inhoud van de verwerkingsovereenkomst
De verwerkingsovereenkomst bevat minimaal de volgende gegevens:
- De naam en contactgegevens van zowel de verwerkingsverantwoordelijke als van de verwerker;
- Indien van toepassing, de contactgegevens van hun respectievelijke DPO;
- het onderwerp van de verwerking;
- de duur van de verwerking;
- de aard en het doel van de verwerking;
- welk soort persoonsgegevens er door de verwerker zal worden verwerkt;
- de categorieën van personen wiens persoonsgegevens worden verwerkt;
- welke rechten de verwerkingsverantwoordelijke heeft;
- welke plichten de verwerkingsverantwoordelijke heeft;
- dat de verwerker enkel verwerkt op basis van een schriftelijke instructie van de verwerkingsverantwoordelijke;
- de verplichtingen van de verwerker (zoals bijvoorbeeld de verplichting om enkel aangestelden te laten verwerken die formeel gehouden zijn tot de vertrouwelijkheid van de verwerkingen);
- indien de verwerker een beroep wilt doen op sub-verwerkers, de voorwaarden waaraan een sub-verwerker dient te voldoen;
- …
Niveau van dienstverlening (SLA)
Hoewel niet alle verwerkingsovereenkomsten gepaard gaan met bepalingen inzake het niveau van dienstverlening (SLA), is het aan te raden, zeker bij complexere verwerkingen van persoonsgegevens, te voorzien in een SLA.
Zo kan bijvoorbeeld in de SLA o.a. de volgende zaken worden opgenomen:
- dat de software applicaties bijvoorbeeld een maximale uitval mogen hebben van T minuten per maand bij een incident;
- dat er 24/7 monitoring is van de software applicatie;
- dat iedere aangestelde van de verwerker die ondersteuning geeft voor de software applicaties een opleiding moeten hebben genoten inzake de beveiliging van persoonsgegevens, en vertrouwd is procedures wanneer er een incident of een inbreuk optreedt;
- dat aangestelden van de verwerker bijvoorbeeld minstens éénmaal per jaar een bijscholing of opfrissing inzake de beveiliging van persoonsgegevens en de procedures bij een incident moeten volgen;
- dat een incident binnen binnen 24 uur na detectie aan de verwerkingsverantwoordelijke moet worden gemeld;
- dat de verwerker zelf ieder incident in een logboek logt;
- dat de verwerker bij een incident onmiddelijk moet nagaan of er maatregelen nodig zijn, en indien vereist deze ook onmiddelijk neemt en implementeert;
- …
Deze SLA kan dan als bijlage worden toegevoegd aan de verwerkingsovereenkomst.
Bloep, 6 september 2026.
OPGELET: deze blog is geen juridisch advies. De verwerking van persoonsgegevens is vaak een case-by-case verhaal, en dient daarom ook op die basis te worden beoordeeld. Aarzel daarom niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.