Zo werken verwerkingsovereenkomsten in GDPRWise: versturen, onderhandelen, aanvaarden

Met elke derde partij waarmee je persoonsgegevens deelt, hoort een overeenkomst die de rollen, de gegevens en het doel vastlegt. GDPRWise stelt die overeenkomst op uit je Derden Dossier en stuurt de andere partij een link. Die leest ze en aanvaardt, vraagt wijzigingen of weigert. Op een wijzigingsverzoek antwoord je met een nieuwe versie, tot één versie aanvaard en vastgelegd is.

Waarom een schriftelijke overeenkomst nodig is

Verwerkt een derde partij persoonsgegevens in jouw opdracht, dan vraagt artikel 28, lid 3 van de GDPR (in Nederland ook AVG genoemd) een overeenkomst met het onderwerp, de duur, de aard en het doel van de verwerking, het soort gegevens, de betrokken categorieën personen en de plichten van de verwerker. Artikel 28, lid 9 voegt eraan toe dat de overeenkomst schriftelijk moet zijn, “met inbegrip van elektronische vorm”. Een online aanvaarde overeenkomst telt dus, zolang je kunt aantonen wie welke tekst wanneer aanvaardde.

Deel je gegevens met een andere verwerkingsverantwoordelijke, dan schrijft de GDPR niet op dezelfde manier een overeenkomst voor, maar je moet wel kunnen aantonen dat het delen rechtmatig is (artikel 5, lid 2 en artikel 24). Een schriftelijke overeenkomst is daarvoor de eenvoudigste weg. De volledige achtergrond lees je in Wat is een verwerkersovereenkomst?.

Stap 1: het verzoek versturen

Je begint op Processen die we delen met anderen in je Derden Dossier:

1. Voeg het proces toe, controleer de gegevens en kies of typ de derde partij.
2. GDPRWise vraagt of je het verzoek eerst wilt bekijken. Het voorbeeld heeft twee tabbladen, E-mailvoorbeeld en Overeenkomstvoorbeeld: de e-mail die de derde partij krijgt en de overeenkomst zelf.
3. Klik op Verzoek verzenden. De e-mail gaat naar de privacycontactpersoon van de derde partij, met een link om de overeenkomst na te lezen.

Bij grote aanbieders zoals Microsoft of Google toont de app eerst een advies: zij ondertekenen zelden de overeenkomsten van hun klanten en publiceren meestal hun eigen. Je kiest dan Registreer liever hun DSA om hun gepubliceerde overeenkomst te registreren, of Toch versturen. Hetzelfde geldt wanneer het vakje Het delen van data met deze partij valt onder een bestaande overeenkomst klopt: vink het aan en GDPRWise verstuurt niets.

Na het versturen toont de kaart Nog te aanvaarden en Link geldig tot met een datum. De link is 30 dagen geldig. Heeft de andere partij na 23 dagen nog niet geantwoord, dan stuurt GDPRWise haar één herinneringsmail met dezelfde link. Verloopt hij voordat de andere partij antwoordt, verstuur het verzoek dan opnieuw; het vertrekt met een nieuwe link.

Stap 2: wat de andere partij ziet

De ontvanger opent de link en komt op een pagina om de overeenkomst na te lezen. U hebt geen account nodig, staat er. Bovenaan leest de ontvanger wie het vraagt en wat de drie keuzes betekenen, daarna de status, de vervaldatum van de link en de huidige versie van de overeenkomst. Die kan hij op het scherm lezen of als pdf downloaden.

Onder de overeenkomst, bij Uw antwoord, heeft de ontvanger vier mogelijkheden:

• De overeenkomst aanvaarden (of Versie 2 aanvaarden, Versie 3 aanvaarden zodra er meerdere versies zijn). Hij vult zijn volledige naam en functie in en vinkt Ik ben gemachtigd om deze overeenkomst te aanvaarden voor zijn bedrijf aan. Een aanvaarding is definitief.
• Wijzigingen vragen: een verplicht bericht met wat er moet veranderen. Een bestand opladen kan niet; de ontvanger legt de wijziging in woorden uit.
• Weigeren: met een reden, zodat jij weet wat je moet verbeteren.
• Een bericht sturen: een vraag of opmerking zonder beslissing.

Gebruikt het bedrijf van de ontvanger ook GDPRWise, dan verschijnt het verzoek op zijn scherm Processen die anderen delen met ons met de knop Openen en antwoorden. Een ingelogde ontvanger bij wie het verzoek niet automatisch gekoppeld werd, kan op de pagina Voeg dit toe aan het dossier van zijn bedrijf kiezen. Wie het eerst antwoordt, via de link of in de app, beslist; de andere plek toont daarna het resultaat.

Stap 3: op een wijzigingsverzoek antwoorden met een nieuwe versie

Vraagt de ontvanger wijzigingen, dan toont je kaart Wijzigingen gevraagd en krijg je een e-mail. Klik op het documenticoon op de kaart om de overeenkomst te openen. Links lees je de huidige versie, rechts staan de geschiedenis en je acties.

Je antwoordt op een van drie manieren:

• Tekst bewerken: je past de tekst in de browser aan, vertrekkend van de laatste versie. Voor de editor opent, vraagt GDPRWise je te bevestigen met Ik neem de verantwoordelijkheid: de standaardtekst is door GDPRWise opgesteld, maar zodra je hem wijzigt, is de bewerkte tekst de verantwoordelijkheid van je bedrijf. Je kunt een notitie voor de andere partij toevoegen en je wijzigingen controleren met Wijzigingen bekijken voor je verstuurt.
• Opnieuw aanmaken uit het dossier, onder Meer acties: GDPRWise bouwt een nieuwe versie uit je huidige dossier, bijvoorbeeld nadat je de gegevens hebt gecorrigeerd.
• Een bericht sturen, ook onder Meer acties, wanneer een antwoord in woorden volstaat.

Elke nieuwe versie krijgt een nummer en een label: Standaardovereenkomst voor versie 1, Bewerkt door je bedrijf, of Opnieuw gemaakt uit het dossier. De ontvanger krijgt een e-mail en ziet de wijzigingen tegenover de vorige versie. Toegevoegde tekst is onderstreept, verwijderde tekst is doorgestreept. Vanaf versie 3 kan hij ook vergelijken met de standaardovereenkomst (versie 1).

Wijzig je later het dossier terwijl er een bewerkte versie openstaat, dan overschrijft GDPRWise je bewerkingen nooit stilzwijgend. De app vraagt of je de Bewerkte tekst behouden wilt of Opnieuw aanmaken en versturen.

Stap 4: het resultaat

• Aanvaard: beide partijen krijgen een bevestiging. De ontvanger krijgt de pdf van de aanvaarde versie. GDPRWise legt de versie vast, de naam en functie van wie aanvaardde, het tijdstip en een controlegetal van het document. Het aanvaarde bestand blijft exact zoals het werd nagelezen.
• Afgewezen: je ziet de reden op de kaart. Pas het proces of de tekst aan en stuur een verbeterde versie; de kaart toont dan Geweigerd op een datum, verbeterde versie verstuurd.
• Ingetrokken: onder Meer acties kun je het Verzoek intrekken, bijvoorbeeld als je niet meer met de partij samenwerkt. De link werkt dan niet meer, de geschiedenis blijft, en je kunt de overeenkomst later heropenen door een nieuwe versie te sturen.
• Verlopen: de link liep af voor er een antwoord kwam. Verstuur het verzoek opnieuw.

Aanvaarde overeenkomsten verzamel je op het tabblad Verwerkingsovereenkomsten onder GDPR Documenten.

Praktische tips

1. Controleer het e-mailadres van de ontvanger voor je verstuurt. Het verzoek gaat naar de privacycontactpersoon; bij een fout adres meldt de kaart dat de e-mail niet kon worden afgeleverd.
2. Maak de tekst liever opnieuw aan dan hem te bewerken wanneer de wijziging over feiten in je dossier gaat, zoals de gegevens of de locatie van de gegevens. Pas het dossier aan en maak de overeenkomst opnieuw aan; zo blijven je register en privacyverklaring in lijn met de overeenkomst.
3. Houd bewerkingen klein en leg ze uit in de notitie. De ontvanger ziet elke wijziging, en een korte uitleg bespaart een extra ronde.
4. Vroeg de andere partij om haar eigen overeenkomst te gebruiken? Registreer dan haar overeenkomst in plaats van de jouwe te versturen, en bewaar er een kopie van.