Wie aan je data werkt, legt een verwerkersovereenkomst voor

Een BI-project begint meestal met een vraag om toegang. Tot je boekhouding, je ERP, je kassa, soms je sociaal secretariaat. Die toegang wordt vlot gegeven, want je wil vooruit.

Wat er zelden naast ligt, is een verwerkersovereenkomst. En die hoort er te liggen, voor de eerste login.

Waarom het nodig is

Zodra iemand in jouw opdracht persoonsgegevens verwerkt, is hij volgens de AVG een verwerker. Dat is geen grijze zone. In je bronnen zitten bijna altijd persoonsgegevens: namen van klanten, contactpersonen bij leveranciers, lonen en afwezigheden van je medewerkers.

De AVG vraagt dan een schriftelijke overeenkomst. Jij blijft verantwoordelijk voor die gegevens, ook als een ander eraan werkt. De overeenkomst is hoe je die verantwoordelijkheid waarmaakt.

Wat erin hoort te staan

Geen dertig pagina's juridische taal. Wel een handvol afspraken:

• Waarvoor: welke gegevens, van wie, en met welk doel. Niet meer dan het project nodig heeft.
• Alleen op instructie: de verwerker gebruikt je data voor jouw opdracht en voor niets anders.
• Beveiliging: hoe de toegang geregeld is, waar de gegevens staan en hoe ze beschermd zijn.
• Wie er nog aan zit: de clouddiensten die je partner gebruikt, zijn zelf ook verwerkers. Je hoort te weten welke dat zijn en waar hun servers staan.
• Lekken: hoe snel je verwittigd wordt als er iets misloopt. Jij moet een lek binnen 72 uur melden aan de Gegevensbeschermingsautoriteit, dus je partner moet sneller zijn.
• Het einde: wat er met je gegevens gebeurt als de samenwerking stopt.

De vragen die je stelt

Je hoeft geen jurist te zijn om te zien of een partner dit serieus neemt. Vraag:

• Heb je een standaard verwerkersovereenkomst?
• Welke diensten gebruik je om mijn gegevens op te slaan of te verwerken?
• Staan die gegevens binnen de EU?
• Krijg je alleen leestoegang tot mijn systemen?
• Wat gebeurt er met mijn data als we stoppen?

Wie daar vlot op antwoordt, heeft er al over nagedacht. Wie moet zoeken, nog niet.

Wat de AVG vraagt van je rapporten zelf, staat in De AVG en je dashboards.

Het signaal dat het oplevert

Een partner die zelf met een verwerkersovereenkomst komt, zegt daarmee iets over hoe hij werkt. Hij weet welke gegevens hij nodig heeft, waar ze terechtkomen en hoe lang ze blijven. Dat zijn dezelfde vragen die een goed datamodel beantwoordt.

De stelling

De verwerkersovereenkomst is geen formaliteit na het project. Ze is de eerste vraag die je stelt aan wie je sleutels krijgt.