{"id":21243,"date":"2024-11-05T10:05:09","date_gmt":"2024-11-05T10:05:09","guid":{"rendered":"https:\/\/www.dpocentre.nl\/?p=21243"},"modified":"2024-11-07T14:18:40","modified_gmt":"2024-11-07T14:18:40","slug":"wat-is-een-dpa-en-waarom-hebt-u-er-een-nodig","status":"publish","type":"post","link":"https:\/\/www.dpocentre.nl\/en\/wat-is-een-dpa-en-waarom-hebt-u-er-een-nodig\/","title":{"rendered":"Wat is een DPA en waarom hebt u er een nodig?\u00a0"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Een Verwerkersovereenkomst of DPA (Data Processing Agreement) is een juridisch bindende overeenkomst tussen een verwerkingsverantwoordelijke (meestal uw organisatie) en een verwerker (meestal een externe dienstverlener).<\/span>\u00a0<\/span><\/p>

Even een overzicht:<\/span>\u00a0<\/span><\/p>

Verwerkingsverantwoordelijken <\/span><\/b>bepalen hoe en waarom persoonsgegevens worden verwerkt.<\/span>\u00a0<\/span><\/p>

Verwerkers <\/span><\/b>voorzien de verwerkingsverantwoordelijke van een dienst en verwerken als onderdeel van die dienst de persoonsgegevens strikt zoals ge\u00efnstrueerd door de verwerkingsverantwoordelijke.<\/span>\u00a0<\/span><\/p>

In deze blogpost kijken we naar de redenen waarom u een DPA nodig heeft en een aantal van de meest voorkomende misverstanden die bij organisaties leven over het gebruik ervan. We bieden ook praktische informatie over wat u op zou moeten nemen in uw DPA. <\/span>\u00a0<\/span><\/p>

Of uw bedrijf nu een grote multinational is of een kleine startup, een verwerkingsverantwoordelijke of een gegevensverwerker, het begrijpen van de basics van een DPA is van essentieel belang voor een verantwoordelijke manier van gegevensverwerking en om te voldoen aan de privacywetgeving.<\/span>\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Waarom hebt u een DPA nodig?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

De belangrijkste reden voor een DPA (verwerkersovereenkomst of Data Processing Agreement) is <\/span>naleving van de wet.<\/span><\/b>\u00a0<\/span><\/p>\n

Een DPA is verplicht in het VK en alle EU-lidstaten, maar niet in alle rechtsgebieden wereldwijd. Een DPA is een noodzakelijke vereiste tussen verwerkingsverantwoordelijken en verwerkers die actief zijn onder de Algemene Verordening Gegevensbescherming (AVG) in overeenstemming met Artikel 28.<\/span>\u00a0<\/span><\/p>\n

Daarom moet u, als uw bedrijf beschouwd wordt als een verwerkersverantwoordelijke of een verwerker en gegevens verwerkt van individuen in de EU of het VK, over een DPA beschikking.<\/span>\u00a0<\/p>\n

Lees hier meer over verwerkersverantwoordelijken, verwerkers en naleving van de AVG<\/span><\/b>\u00a0<\/span><\/a><\/p>\n

Het minimaliseren van risico\u2019s <\/span><\/b>is een van de belangrijkste voordelen van een DPA.<\/span>\u00a0<\/span><\/p>\n

Organisaties kunnen de impact van een datalek of ongeautoriseerde toegang minimaliseren door te zorgen voor duidelijke definities van de rollen van verwerkersverantwoordelijke en verwerkers, inclusief de verantwoordelijkheden en verplichtingen, de gegevensverwerkingsprocedures, beveiligingsmaatregelen en de rechten van de betrokkenen. Een DPA is een essenti\u00eble component van een robuust framework dat verantwoordelijk is voor een juiste manier van gegevensverwerking.<\/span>\u00a0<\/p>\n

Meer informatie over hoe te handelen bij een datalek<\/a> <\/span><\/b>\u00a0<\/span><\/p>\n

Bescherming van de rechten van individuen <\/span><\/b>is het fundament van de privacywetgeving. Een DPA laat zien hoe uw organisatie de rechten van individuen beschermt met behulp van duidelijk gedefinieerde processen en verantwoordelijkheden.<\/span>\u00a0<\/span><\/p>\n

Opbouwen van vertrouwen bij belanghebbenden <\/span><\/b>is een belangrijk aspect van gegevensbescherming. Transparantie zorgt voor vertrouwen en een DPA verzekert u van die transparantie door een gedetailleerd overzicht te bieden van de beveiligingsmaatregelen en gegevensbeschermingsprotocollen.<\/span>\u00a0<\/span><\/p>\n

Verbetering van samenwerkingen <\/span><\/b>is een bijkomend voordeel van een uitgebreide en goed doordachte DPA. Wanneer beide partijen hun respectievelijke verplichtingen goed begrijpen, ontstaat er een omgeving waarin samenwerking kan ontstaan en die een effici\u00ebnte manier van gegevensverwerking versterkt.<\/span>\u00a0<\/p>\n

Langdurige zakelijke relaties <\/span><\/b>werken het beste als er sprake is van vertrouwen en de rollen van elke partij duidelijk gedefinieerd en transparant zijn. Een DPA kan een ondersteuning zijn van uw langdurige zakelijke relaties.<\/span>\u00a0<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Veelvoorkomende misvattingen over DPA\u2019s<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

De belangrijkste elementen van een DPA<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

DPA\u2019s kunnen verschillen, afhankelijk van de specifieke context en vereisten van elke verwerkersovereenkomst. Er zijn echter een paar zaken die in elke overeenkomst aanwezig moeten zijn.\u00a0<\/span>\u00a0<\/span><\/p>

Hier is een nuttig overzicht van de essenti\u00eble zaken die in uw DPA moeten staan:<\/span>\u00a0<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

ESSENTI\u00cbLE DPA CONTENT<\/span><\/b>\u00a0<\/span><\/p><\/td>

BESCHRIJVING\u00a0<\/span><\/b>\u00a0<\/span><\/p><\/td><\/tr>

Moet een contract of ander juridisch bindend document zijn<\/span>\u00a0<\/span><\/p><\/td>

  • De DPA moet in schriftelijke vorm bestaan en uitgevoerd worden door beide partijen als een zelfstandige overeenkomst, of opgenomen worden als onderdeel van een ander(e) overeenkomst of contract.<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

\u00a0Onderwerp en duur van de verwerking<\/span>\u00a0<\/span><\/p><\/td>

  • Benoem wat u wilt bereiken met de persoonsgegevens<\/span>\u00a0<\/span><\/li><\/ul>
    • Benoem de duur van de overeenkomst, met de begin- en einddata<\/span>\u00a0<\/span><\/li><\/ul>
      • Benoem de voorwaarden die aanleiding geven tot de be\u00ebindiging (bijv. stopzetten van de gegevensverwerking)<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Aard en beoogd doel van de gegevensverwerking<\/span>\u00a0<\/span><\/p><\/td>

  • Licht de context toe (bijv. marketinganalyses, salarisadministratie)<\/span>\u00a0<\/span><\/li><\/ul>
    • Benoem zo nauwkeurig mogelijk de beoogde resultaten (bijv. het verbeteren van diensten, wettelijke verplichtingen)<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Categorie\u00ebn van betrokkenen<\/span>\u00a0<\/span><\/p><\/td>

  • Specifieer van wie u de gegevens verwerkt (bijv. werknemers, klanten, sollicitanten)<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Soort persoonsgegevens<\/span>\u00a0<\/span><\/p><\/td>

  • Specifieer het soort persoonsgegevens (bijv. namen, adressen, financi\u00eble gegevens)<\/span>\u00a0<\/span><\/li><\/ul>
    • Denk ook aan gevoelige gegevens (bijv. informatie over gezondheid of herkomst\/etniciteit)<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Verplichtingen en verantwoordelijkheden<\/span>\u00a0<\/span><\/p><\/td>

  • Benoem de specifieke verplichtingen en verantwoordelijkheden van zowel de verwerkingsverantwoordelijke als de verwerker, waaronder:<\/span>\u00a0<\/span><\/li><\/ul>
    • Persoonsgegevens alleen verwerken na instructie van de verwerkingsverantwoordelijke<\/span>\u00a0<\/span><\/li><\/ul>
      • Garanderen dat personen met toegang tot de gegevens zich houden aan de vertrouwelijkheid<\/span>\u00a0<\/span><\/li><\/ul>
        • Alle informatie beschikbaar maken voor de verwerkingsverantwoordelijke die nodig is om compliance aan te tonen met de verplichtingen die in dit artikel uiteen worden gezet<\/span>\u00a0<\/span><\/li><\/ul>
          • Het mogelijk maken van audits of inspecties uitgevoerd door de verwerkingsverantwoordelijke of geautoriseerde vertegenwoordiger<\/span>\u00a0<\/span><\/li><\/ul>
            • De verwerkingsverantwoordelijke op de hoogte brengen indien, naar diens mening, er instructies zijn die de gegevensbescherming of gegevensbeschermingsbepalingen van lidstaten schenden of overtreden<\/span>\u00a0<\/span><\/li><\/ul>
              • De verwerkingsverantwoordelijke helpen bij het voldoen aan diens verplichting om te reageren op verzoeken van betrokkenen om diens rechten uit te oefenen<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Technische en organisatorische maatregelen<\/span>\u00a0<\/span><\/p><\/td>

  • De verwerkersverantwoordelijke assisteren bij de naleving van de verplichtingen van Artikel 32 \u2013 36, rekening houdend met de aard van de verwerking en de informatie die beschikbaar is voor de verwerker<\/span>\u00a0<\/span><\/li><\/ul>
    • Hulp bieden aan de verwerkersverantwoordelijke bij het uitvoeren van een DPIA (Data Protection Impact Assessment), indien nodig<\/span>\u00a0<\/span><\/li><\/ul>
      • Specificeren wie toegang heeft tot de gegevens en onder welke omstandigheden<\/span>\u00a0<\/span><\/li><\/ul>
        • Beschrijven van de procedures voor het snel rapporteren van een lek, waaronder de tijd waarbinnen aan de verwerkersverantwoordelijke gerapporteerd moet worden, waardoor zij kunnen autoriteiten zo nodig kunnen informeren binnen de wettelijk vastgestelde tijdslimiet van 72 uur<\/span>\u00a0<\/span><\/li><\/ul>
          • Beschrijven van de aanvullende veiligheidsmaatregelen (bijv. versleuteling), idealiter als bijlage bij de verwerkingsovereenkomst<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Internationale gegevensoverdrachten<\/span>\u00a0<\/span><\/p><\/td>

  • Detailleren hoe gegevensoverdrachten over landsgrenzen voldoen aan de regelgeving (bijv. op basis van SCC\u2019s, BCR\u2019s, adequaatheid)<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Bewaren en verwijderen van gegevens<\/span>\u00a0<\/span><\/p><\/td>

  • Benoem hoelang de gegevens bewaard worden (bijv. op basis van wettelijke vereisten en de behoeften van het bedrijf)<\/span>\u00a0<\/span><\/li><\/ul>
    • Benoem de voorwaarden en het proces voor het veilig wissen van gegevens of het teruggeven van de gegevens aan de verwerkingsverantwoordelijke<\/span>\u00a0<\/span><\/li><\/ul><\/td><\/tr>

Gebruik van subverwerkers<\/span>\u00a0<\/span><\/p><\/td>