Wat is een subverwerker?
Een subverwerker is een partij die door uw verwerker wordt ingeschakeld om een deel van de verwerking van persoonsgegevens uit te voeren. Denk aan een cloudprovider die wordt gebruikt door uw salarisadministrateur, of een e-maildienst die wordt ingezet door uw CRM-leverancier.
Art. 28 lid 2 en lid 4 van de AVG regelen de voorwaarden waaronder een verwerker subverwerkers mag inschakelen.
Twee vormen van toestemming
De AVG kent twee vormen van toestemming voor het inschakelen van subverwerkers:
1. Specifieke voorafgaande schriftelijke toestemming
Bij elke nieuwe subverwerker vraagt de verwerker expliciet toestemming aan de verwerkingsverantwoordelijke. Dit geeft u maximale controle, maar is in de praktijk bewerkelijk bij grote leveranciers met veel subverwerkers.
2. Algemene schriftelijke machtiging
De verwerker heeft een algemene machtiging om subverwerkers in te schakelen, maar moet de verantwoordelijke vooraf informeren over elke wijziging (toevoeging of vervanging). De verantwoordelijke heeft dan het recht om bezwaar te maken.
In de praktijk werken de meeste SaaS-leveranciers met een algemene machtiging en een subverwerkerlijst die zij op hun website publiceren.
Meldingsplicht bij wijzigingen
Wanneer een verwerker met een algemene machtiging werkt, moet deze de verantwoordelijke informeren over wijzigingen in de subverwerkerlijst voordat de wijziging ingaat. De verwerker moet de verantwoordelijke voldoende tijd geven om bezwaar te maken.
Praktische aandachtspunten:
- Spreek een redelijke termijn af in de verwerkersovereenkomst (gebruikelijk is 30 dagen)
- Leg vast hoe de melding plaatsvindt (e-mail, dashboard, website)
- Controleer regelmatig of uw leveranciers hun subverwerkerlijst hebben bijgewerkt
Bezwaarrecht
Als u het niet eens bent met een nieuwe subverwerker, heeft u het recht om bezwaar te maken. In de verwerkersovereenkomst moet geregeld zijn wat er gebeurt bij bezwaar. Mogelijke uitkomsten:
- De verwerker zoekt een alternatieve subverwerker
- De verwerker voert het betreffende deel van de verwerking zelf uit
- Als geen oplossing mogelijk is: beeindiging van de overeenkomst
Contractuele eisen voor subverwerkers
Art. 28 lid 4 AVG schrijft voor dat de verwerker aan elke subverwerker dezelfde gegevensbeschermingsverplichtingen oplegt als in de verwerkersovereenkomst met de verantwoordelijke. Dit omvat:
- Instructiegebondenheid
- Vertrouwelijkheid
- Beveiligingsmaatregelen (Art. 32)
- Bijstand bij rechten van betrokkenen
- Verwijdering of teruggave na afloop
- Auditmogelijkheden
De oorspronkelijke verwerker blijft volledig aansprakelijk tegenover de verantwoordelijke voor het nakomen van de verplichtingen door de subverwerker.
Risico's van slecht subverwerkersbeheer
- Gegevens buiten de EER: een subverwerker kan gegevens verwerken in een land buiten de EER zonder passende waarborgen
- Onvoldoende beveiliging: een subverwerker met zwakke beveiliging vormt een risico voor uw gegevens
- Non-compliance: als u niet weet welke subverwerkers worden ingezet, kunt u niet aantonen dat u compliant bent
- Boetes: de Autoriteit Persoonsgegevens kan boetes opleggen voor onvoldoende toezicht op verwerkers
Praktische tips
- Houd een actueel overzicht bij van alle subverwerkers per leverancier
- Stel alerts in voor wijzigingen in subverwerkerlijsten
- Controleer bij nieuwe subverwerkers of zij voldoen aan uw beveiligingseisen
- Beoordeel of gegevens worden doorgegeven buiten de EER en welke waarborgen er zijn
- Gebruik DPAkit om subverwerkerswijzigingen automatisch te monitoren en bezwaartermijnen te bewaken
Samenvatting
Het beheer van subverwerkers is een cruciaal maar vaak onderschat onderdeel van AVG-compliance. Door duidelijke afspraken te maken in uw verwerkersovereenkomsten en wijzigingen actief te monitoren, behoudt u controle over wie uw persoonsgegevens verwerkt.