Verwerkersovereenkomst niet altijd de juiste keuze

De AVG is vaak best lastig voor het MKB. De hoofdreden: extra werk. Afspraken maken vergemakkelijkt dit werk en hiervoor is een juiste kwalificering (rolbepaling) vereist. Helaas gaat het bij die kwalificering nog vaak mis doordat de volgende redenatie wordt gevolgd: “Als ik de Verwerkingsverantwoordelijke ben is mijn wederpartij dus de Verwerker.” Gevolg: zakenrelaties (of u!) krijgen onterecht de rol van Verwerker en tekenen een Verwerkersovereenkomst (VWO). Maar de VWO is niet de juiste keuze als beide partijen zich kwalificeren als Verwerkingsverantwoordelijke. Een Gegevensuitwisselingsovereenkomst (GUO) is dan namelijk een betere optie.

Wanneer kunt u nu het beste een VWO afsluiten en wanneer niet? Om u te helpen bij deze vraag, hebben wij de volgende tips:

Kies voor een VWO als:

• De andere partij persoonsgegevens verwerkt in opdracht van u.
• U het doel en de middelen van de verwerking van persoonsgegevens bepaalt.
• U veel feitelijke invloed heeft doordat u in de praktijk echt de beslissingen neemt met betrekking tot de verwerking van persoonsgegevens.
• U de manier bepaalt waarop de verwerking van persoonsgegevens plaatsvindt.
• De andere partij de verkregen persoonsgegevens alleen mag verwerken op uw instructies.
• Het gaat om de zogeheten ‘platte verwerking’ van persoonsgegevens, zoals een salarisadministratie.

Kies niet voor een VWO als:

• Het verwerken van persoonsgegevens een afgeleide is van de primaire dienstverlening.
• U voor het behalen van uw bedrijfsdoelstellingen gebruik maakt van andermans platform voor dienstverlening.
• De andere partij de verkregen persoonsgegevens op eigen houtje voor een ander doel mag verwerken.
• De andere partij een accountant of een advocaat is die voor u werkt op basis van eigen beroepsregels.

Aandachtspunten voordat u kiest:

• Als een partij zich blijkt te kwalificeren als Verwerker ten aanzien van het ene stuk werk en als Verwerkingsverantwoordelijke ten aanzien van het andere stuk werk dan is die partij Verwerkingsverantwoordelijke. Er hoeft dan geen VWO te worden afgesloten. (De andere partij hoeft in één zakenrelatie dus niet afwisselend zowel Verwerker als Verwerkingsverantwoordelijke te zijn.)
• Het komt nogal eens voor dat een Verwerker zelf de middelen kiest waarmee de persoonsgegevens worden verwerkt. Of, deze middelen zelf bouwt (zoals: software). Als u kiest voor een dergelijke partij dan is het uitgangspunt dat u door die keuze te maken impliciet toch de middelen bepaalt. U bent dan de Verwerkingsverantwoordelijke en de andere partij is de Verwerker; er is dan een VWO vereist.
• Accountants die alleen de salarisadministratie uitvoeren voor een partij zijn wel Verwerkers.