Organisaties vertrouwen op talloze tools en clouddiensten. Veel van die leveranciers verwerken persoonsgegevens voor jouw organisatie. Een Data Processing Agreement (DPA) legt vast welke gegevens worden verwerkt, waarom dat gebeurt en wie waarvoor verantwoordelijk is. In deze blog lees je wat een DPA precies inhoudt, welke onderdelen onmisbaar zijn, welke valkuilen je moet vermijden en hoe je dit alles praktisch regelt.

Een Data Processing Agreement (DPA) is een contract tussen jou als organisatie en een leverancier die voor jou persoonsgegevens verwerkt. Denk aan een SaaS-dienst, hostingdienst of een supportleverancier. Zodra een leverancier via jouw organisatie toegang heeft tot persoonsgegevens, ben je volgens de GDPR verplicht om die samenwerking vast te leggen in een DPA.

De basis hiervoor is vastgelegd in artikel 28, lid 3 van de GDPR. Daarin is bepaald dat zo’n contract moet beschrijven:

• wat er precies wordt verwerkt;
• waarom dat gebeurt;
• hoe lang dit gebeurt;
• welke persoonsgegevens het betreft en van wie;
• welke verplichtingen jij hebt en welke verantwoordelijkheden de verwerker heeft.

Een DPA is dus een werkdocument dat misverstanden voorkomt, risico’s verkleint en audits en inkoopprocessen versnelt.

Concreet bevat een goede DPA minimaal:

• Het doel, de duur en de aard van de verwerking, zodat duidelijk is waarom, hoelang en op welke manier persoonsgegevens worden verwerkt.
• De soorten persoonsgegevens en de categorieën van betrokkenen waarop de verwerking betrekking heeft.
  De passende technische en organisatorische beveiligingsmaatregelen die de verwerker moet nemen om de data te beschermen.
• Een expliciete geheimhoudingsplicht voor iedereen bij de verwerker die toegang heeft tot de persoonsgegevens.
• Duidelijke voorwaarden voor het inschakelen van subverwerkers. Als de leverancier andere partijen inschakelt (bijvoorbeeld voor hosting of e-maildiensten), moet dat met jouw toestemming en moeten dezelfde privacyregels gelden.
• Ondersteuning bij privacy-verplichtingen, zoals het afhandelen van verzoeken van betrokkenen, het uitvoeren van een Data Protection Impact Assessment (DPIA) of het melden van datalekken.
• Een regeling voor het einde van de dienstverlening, bijvoorbeeld dat persoonsgegevens veilig worden verwijderd of netjes worden teruggegeven.
• Het recht op audits en inspecties om te controleren of de verwerker de gemaakte afspraken en de GDPR naleeft.

Veel verwerkers schakelen andere partijen in, zoals cloudproviders of gespecialiseerde supportdiensten. In de DPA leg je vast dat dit alleen mag met jouw (algemene of specifieke) toestemming. Ook moet duidelijk zijn dat deze partijen dezelfde beveiliging en privacyregels volgen.

Gaat er data naar landen buiten de Europese Economische Ruimte (EER), dan moet je documenteren naar welke landen gegevens gaan, welke partijen erbij betrokken zijn en welk juridisch mechanisme wordt gebruikt om de gegevens te beschermen, zoals Standard Contractual Clauses of een formeel adequaatheidsbesluit.

In de praktijk blijken DPA’s soms minder duidelijk dan gedacht. Dat komt meestal aan het licht bij audits, migraties of wanneer je van leverancier verandert. Typische valkuilen zijn:

Typische problemen bij DPA’s zijn onder andere:

• Vage of te brede instructies
  Hierdoor blijft onduidelijk wat de leverancier wel en niet mag doen met de data.
• Ontbrekende of zwakke auditrechten
  Zonder duidelijke controle-opties kun je niet aantonen dat de verwerker werkt volgens de afspraken en de GDPR.
• Geen goede exit-afspraken
  Onzekerheid over het veilig verwijderen of teruggeven van gegevens kan voor gedoe zorgen wanneer de samenwerking eindigt.
• Onduidelijke regels voor doorgifte naar het buitenland
  Bijvoorbeeld doorgifteclausules die niet aangeven naar welke landen data gaat, welke partijen erbij betrokken zijn of welke waarborgen gelden. Dat is niet alleen onduidelijk, maar voldoet ook niet aan de GDPR.

Hoe vermijd je deze valkuilen en stel je duidelijke DPA’s op? Begin met een overzicht van al je leveranciers die persoonsgegevens verwerken. Bepaal:

• welke gegevens zij verwerken;
• met welk doel ze dat doen;
• en in welke contracten de afspraken staan.

Koppel dit aan een gestandaardiseerde DPA-template en een actueel overzicht van verwerkers. Beslis ook intern wie waarvoor verantwoordelijk is. Spreek af dat DPA’s worden herzien bij contractverlengingen of wanneer er inhoudelijk iets verandert in de dienstverlening. Zo verklein je juridische en operationele risico’s aanzienlijk. Het maakt bovendien audits en de onboarding van nieuwe tools een stuk voorspelbaarder en beheersbaarder.