Wat is een Data Processing Agreement (DPA)?

Wat is een Data Processing Agreement (DPA)?

Een Data Processing Agreement (DPA) of verwerkersovereenkomst is een wettelijk bindend contract tussen een 'data controller' (verwerkingsverantwoordelijke) en een 'data processor' (verwerker) dat de voorwaarden, beveiliging en doelstellingen vastlegt voor het verwerken van persoonsgegevens. Het is een verplicht document onder de AVG/GDPR wanneer een organisatie gegevens laat verwerken door een externe partij.

Zonder een correcte DPA lopen beide partijen een groot risico op hoge boetes, reputatieschade en juridische aansprakelijkheid omdat de verwerkingsactiviteiten niet aan de wet voldoen.

• Verwerkingsverantwoordelijke (Controller): De partij (meestal uw bedrijf) die het doel en de middelen voor de gegevensverwerking bepaalt.
• Verwerker (Processor): De externe leverancier (bv. een SaaS-platform) die in opdracht van de controller persoonsgegevens verwerkt.
• Onderverwerker (Sub-processor): Een derde partij die de verwerker inschakelt om delen van de verwerking uit te voeren; moet worden goedgekeurd door de controller.
• Verwerkersinstructies: De specifieke, gedocumenteerde opdrachten van de controller over hoe de gegevens mogen worden verwerkt.
• Technische en organisatorische maatregelen (TOMs): De beschrijving van de beveiligingsmaatregelen die de verwerker moet treffen om de gegevens te beschermen.
• Gevolgenmelding: De verplichting van de verwerker om een datalek bij de controller te melden, meestal binnen 72 uur.
• Auditrecht: Het recht van de controller om de naleving van de DPA door de verwerker te controleren en te laten auditen.
• Gegevensdoorgifte: Bepalingen over het doorgeven van gegevens buiten de EER, waarbij aanvullende waarborgen vereist zijn.

Deze overeenkomst is essentieel voor bedrijven die clouddiensten, marketingtools, HR-software of andere externe diensten gebruiken waarbij klanten-, werknemers- of gebruikersgegevens worden gedeeld. Het lost het fundamentele probleem op van aansprakelijkheid en controle bij uitbesteding van gegevensverwerking.

Kortom: Een DPA is het verplichte contract dat de veilige en AVG-conforme verwerking van persoonsgegevens door een externe leverancier regelt en afdwingt.

Waarom een DPA belangrijk is voor bedrijven

Het negeren van een correcte DPA creëert directe kwetsbaarheden: uw bedrijf blijft volledig aansprakelijk voor de AVG-naleving van uw leveranciers, maar heeft geen juridische grip op hun handelen.

• Onbeperkte financiële aansprakelijkheid: Zonder DPA kunt u als controller aansprakelijk worden gesteld voor alle schade en boetes als gevolg van een inbreuk bij de verwerker. Oplossing: Een DPA verdeelt de verantwoordelijkheden en aansprakelijkheden juridisch duidelijk.
• Contractuele gaten bij datalekken: Bij een incident is het onduidelijk wie wat moet melden, aan wie en binnen welke termijn. Oplossing: Een DPA legt exacte meldplichten, termijnen en communicatieprotocollen vast.
• Gebrek aan zicht op subverwerkersU weet niet welke derde partijen uw data daadwerkelijk zien, bijvoorbeeld welke cloudprovider uw verwerker gebruikt. Oplossing: Een DPA vereist een goedgekeurde lijst van subverwerkers en het recht om bezwaar te maken.
• Onvoldoende garanties voor internationale doorgifte: Gegevens die zonder waarborgen buiten de EER worden doorgegeven, zijn direct in strijd met de AVG. Oplossing: Een DPA bevat de vereiste juridische instrumenten, zoals Standard Contractual Clauses (SCC's).
• Onmogelijkheid om naleving te controleren: U kunt de beveiligingspraktijken van uw leverancier niet objectief verifiëren. Oplossing: Een DPA verleent een expliciet auditrecht, waardoor leveranciers hun TOMs moeten kunnen aantonen.
• Moeilijk beëindigen of data terughalen: Bij het beëindigen van een contract is het vaak onduidelijk hoe en binnen welke termijn u uw gegevens terugkrijgt of laat vernietigen. Oplossing: Een DPA specificeert procedures en termijnen voor gegevensteruggave en -vernietiging.
• Reputatieschade en verlies van vertrouwen: Een inbreuk bij een leverancier zonder duidelijke DPA ondermijnt het vertrouwen van uw klanten en partners in uw due diligence. Oplossing: Een solide DPA is een concreet bewijs van zorgvuldig vendor management en compliance.
• Problemen bij due diligence en aanbestedingen: Grote klanten of partners eisen bij audits vaak inzage in uw DPAs met leveranciers. Oplossing: Goed opgestelde DPAs versnellen uw sales- en procurementprocessen door compliance direct aan te tonen.

Kortom: Een DPA is uw enige juridische instrument om controle en compliance te waarborgen wanneer u persoonsgegevens uitbesteedt, en beschermt tegen financiële, operationele en reputatierisico's.

Stapsgewijze handleiding

Het opstellen van een DPA voelt vaak als een complex juridisch proces, waarbij het lastig is om te bepalen wat nu precies moet worden vastgelegd en hoe.

Stap 1: Bepaal uw rol en verplichtingen

Het eerste obstakel is onduidelijkheid over wie wat moet doen. Bepaal eerst of uw organisatie optreedt als controller, processor of mogelijk beide (bv. als u gegevens doorgeeft aan een tool maar ook zelf verwerkingen uitvoert). Dit bepaalt uw wettelijke plichten en welke partij verantwoordelijk is voor het initiëren van de DPA.

• Stel uzelf de vraag: "Beslissen wij zelf waarom en hoe deze persoonsgegevens worden verwerkt?" Zo ja, dan bent u hoogstwaarschijnlijk de controller.
• Documenteer dit besluit voor intern overleg en toekomstige audits.

Stap 2: Breng alle dataverwerkingen en leveranciers in kaart

Zonder volledig overzicht mist u kritische verwerkingen die een DPA vereisen. Maak een register van alle verwerkingen en identificeer de externe leveranciers die daarbij als verwerker fungeren. Denk aan: hostingproviders, e-mailmarketingtools, CRM-systemen, analyse- en supportsoftware.

Snel controleren: Bekijk uw financiële uitgaven aan software en diensten; elk abonnement waarbij persoonsgegevens worden ingevoerd, is een potentiële verwerker.

Stap 3: Kies het juiste juridisch kader

Het wiel opnieuw uitvinden leidt tot onnodige vertraging en juridische risico's. Gebruik een erkend juridisch kader als basis. Voor doorgifte buiten de EER zijn de Standard Contractual Clauses (SCC's) van de Europese Commissie verplicht. Veel grote leveranciers bieden ook een standaard DPA aan.

Evalueer of deze standaarddocumenten volledig zijn en pas ze waar nodig aan met specifieke, aanvullende garanties.

Stap 4: Definieer concrete verwerkersinstructies

Vage instructies geven de verwerker te veel speelruimte en ondermijnen uw controle. Specificeer in een bijlage of in de hoofdtekst van de DPA zeer concreet:

• Het type persoonsgegevens dat wordt verwerkt (bijv. e-mailadressen, IP-adressen).
• De categorieën van betrokkenen (bijv. klanten, prospects).
• Het doel en de duur van de verwerking.
• Expliciete verboden (bijv. "De gegevens mogen niet voor eigen marketingdoeleinden worden gebruikt").

Stap 5: Onderhandel over technische en organisatorische maatregelen (TOMs)

Een leverancier die alleen zegt "we zijn veilig" biedt geen garantie. Vraag om een gedetailleerde beschrijving van hun TOMs, zoals encryptie, toegangscontrole, beleid voor incidentrespons en regelmatige security testing. De DPA moet hiernaar verwijzen.

Hoe te verifiëren: Vraag om recente onafhankelijke auditrapporten zoals een ISO 27001-certificaat of een SOC 2 Type II-rapport. Dit zijn sterke bewijzen van hun beveiligingsniveau.

Stap 6: Regel het beheer van subverwerkers

U verliest de controle als uw verwerker zonder uw medeweten subverwerkers kan toevoegen. Zorg ervoor dat de DPA vereist dat:

• Er een actuele lijst van subverwerkers wordt bijgehouden.
• U vooraf geïnformeerd wordt over wijzigingen en de mogelijkheid hebt om bezwaar te maken.
• De verwerker een DPA afsluit met elke subverwerker die dezelfde verplichtingen doorgeeft.

Stap 7: Stel heldere procedures voor datalekken en beëindiging op

Bij een crisis is er geen tijd voor discussie over procedures. Leg in de DPA exact vast:

• De meldtermijn voor een datalek (meestal <72 uur na ontdekking).
• De informatie die de verwerker moet aanleveren.
• De samenwerkingsverplichtingen bij de reactie.
• De processen voor gegevensteruggave of -vernietiging na beëindiging van de overeenkomst, inclusief een concrete termijn.

Stap 8: Laat de overeenkomst juridisch beoordelen en ondertekenen

Zelf opgestelde aanpassingen kunnen onbedoelde zwaktes of onduidelijkheden bevatten. Afhankelijk van de complexiteit en het risiconiveau, laat de definitieve DPA beoordelen door een juridisch expert of uw privacy/legal team. Zorg ervoor dat de overeenkomst wordt ondertekend door bevoegde vertegenwoordigers van beide partijen en veilig wordt gearchiveerd.

Kortom: Een waterdichte DPA opstellen vereist een systematische aanpak: van het bepalen van uw rol tot het onderhandelen over concrete beveiligingsdetails en incidentprocedures.

Veelgemaakte fouten en rode vlaggen

Deze valkuilen zijn vaak het gevolg van haast, gebrek aan expertise of het klakkeloos accepteren van standaardvoorwaarden zonder kritische beoordeling.

• Een standaard DPA zonder wijzigingen accepteren: Dit leidt tot een overeenkomst die volledig is afgestemd op de belangen van de leverancier, niet op uw specifieke risico's. Voorkomen: Beoordeel altijd kritisch of aanvullende garanties nodig zijn voor uw use-case en onderhandel waar nodig.
• Vage omschrijving van het verwerkingsdoel: Een doel als "het leveren van de dienst" is te breed en geeft de verwerker te veel ruimte. Voorkomen: Wees specifiek: "Het verwerken van e-mailadressen voor het versturen van de wekelijkse nieuwsbrief aan ingeschreven gebruikers."
• Geen of onvoldoende specificatie van technische maatregelen: Zonder concrete beschrijving kunt u de beveiliging niet beoordelen of afdwingen. Voorkomen: Eis een gedetailleerde bijlage over TOMs of verwijs naar een openbaar security- of compliance-rapport.
• Vergeten subverwerkers te controleren en goed te keuren: U bent aansprakelijk voor de hele verwerkingsketen. Voorkomen: Eis een lijst op, stel een procedure in voor voorafgaande goedkeuring en controleer of deze subverwerkers zelf in belangrijke markten zijn gevestigd.
• Ontbrekende bepalingen voor internationale doorgifte: Als de verwerker gegevens in de VS of India verwerkt, is een juridische grondslag zoals SCC's absoluut verplicht. Voorkomen: Vraag expliciet naar de gegevenslocaties en zorg dat de juiste SCC-modules zijn ondertekend en aan de DPA zijn toegevoegd.
• Onrealistische meldtermijnen voor datalekkenEen termijn van "zo spoedig mogelijk" is niet voldoende. Voorkomen: Stel een concrete termijn vast, zoals "binnen 48 uur na ontdekking", om uw eigen wettelijke meldplicht van 72 uur te kunnen halen.
• Geen auditrecht of een onuitvoerbaar auditrecht: Een clausule die stelt dat audits alleen mogen plaatsvinden "met 90 dagen voorafgaande kennisgeving en op eigen kosten" maakt het recht in de praktijk waardeloos. Voorkomen: Onderhandel over redelijke voorwaarden, of accepteer dat de leverancier recente auditrapporten van derden deelt als alternatief.
• Het negeren van gegevensteruggave bij beëindiging: Als de dienst stopt, moet u uw data kunnen meenemen in een bruikbaar formaat. Voorkomen: Zorg voor een clausule die de termijn (bijv. 30 dagen), het formaat en de methode voor teruggave of vernietiging specificeert.

Kortom: Vermijd deze veelvoorkomende fouten door kritisch te zijn op specificiteit, concrete garanties te eisen en altijd de volledige verwerkingsketen in ogenschouw te nemen.

Tools en hulpmiddelen

De verscheidenheid aan tools kan overweldigend zijn, maar elk type adresseert een specifiek deel van het DPA-beheerproces.

• DPA-generatoren en template-bibliotheken – Dit lost het probleem op van een blanco pagina. Gebruik deze om een juridisch solide uitgangspunt te creëren, vooral als een leverancier geen eigen DPA aanbiedt. Pas ze altijd aan op uw specifieke situatie.
• Vendor Risk Management (VRM) platformen – Adresseert het probleem van het centraal beheren en monitoren van DPAs en compliance-documentatie voor tientallen leveranciers. Handig voor grotere organisaties met een uitgebreide supply chain.
• Privacy management software – Helpt bij het bredere compliance-kader. Deze tools helpen vaak bij het aanleggen van een verwerkingsregister, waar de DPAs aan gekoppeld kunnen worden, en bieden workflow-mogelijkheden voor het goedkeuren van verwerkers.
• Juridische zoekmachines en kennisbanken – Oplossing voor het opzoeken van specifieke juridische bepalingen, uitspraken over SCC's of actuele guidelines van toezichthouders om uw DPA-up-to-date te houden.
• Documentbeheer- en e-signatuur systemen – Lost het probleem op van versiebeheer en het veilig ondertekenen en archiveren van afgesloten DPAs, zodat ze direct vindbaar zijn voor audits.
• Security rating services – Bieden een objectieve, externe kijk op de beveiligingspostuur van een leverancier. Kan gebruikt worden als onderdeel van de due diligence voor het onderhandelen over de TOMs in een DPA.
• Audit- en certificeringsrapporten (ISO 27001, SOC 2) – Dit zijn geen tools die u koopt, maar kritieke bronnen. Vraag ernaar bij leveranciers om hun claims over technische maatregelen te staven en uw eigen due diligence te vereenvoudigen.

Kortom: Combineer tools voor het genereren, onderhandelen, ondertekenen en beheren van DPAs met onafhankelijke bewijsstukken om een robuust compliance-proces op te zetten.

Hoe Bilarna kan helpen

Het vinden van een betrouwbare softwareleverancier die niet alleen functioneel aansluit, maar ook compliance-ready is met de juiste juridische documentatie, is een tijdrovende uitdaging.

Bilarna is een AI-gestuurd B2B-marktplatform dat bedrijven helpt bij het vinden en vergelijken van geverifieerde software- en dienstenaanbieders. Ons platform is ontworpen om transparantie te bieden over cruciale selectiecriteria die verder gaan dan alleen functionaliteit.

Via Bilarna kunt u leveranciers filteren en vergelijken op aspecten die relevant zijn voor het afsluiten van een DPA, zoals hun beschikbare compliance-certificeringen (ISO 27001, SOC 2), de locatie van gegevensverwerking en hun beleid ten aanzien van subverwerkers. Ons Verified Provider-programma houdt in dat aanbieders basisinformatie over hun security- en compliance-praktijken doorgeven, wat uw initiële due diligence versnelt.

Veelgestelde vragen

V: Wanneer is een DPA wettelijk verplicht?

Een DPA is verplicht onder artikel 28 van de AVG/GDPR wanneer een organisatie (de controller) een externe partij (de processor) inschakelt om persoonsgegevens te verwerken. Dit geldt voor de meeste SaaS-diensten, cloud hosting, e-maildienstverleners en marketingautomationtools. Als u alleen anonieme of volledig geaggregeerde statistieken deelt, is een DPA mogelijk niet nodig.

V: Is de standaard DPA van een grote cloudaanbieder (zoals Microsoft of Google) voldoende?

Vaak wel, maar niet altijd automatisch. Deze standaard DPAs zijn doorgaans juridisch degelijk en omvatten vaak de vereiste SCC's. U moet wel controleren of de standaardvoorwaarden specifieke risico's afdekken voor uw sector of type gegevens. Voor hoog-risico verwerkingen kan aanvullend overleg nodig zijn. Actie: Download en beoordeel hun DPA altijd kritisch in het licht van uw eigen gebruik.

V: Wie is verantwoordelijk voor het opstellen van de DPA?

De wettelijke verantwoordelijkheid ligt bij de verwerkingsverantwoordelijke (controller) om ervoor te zorgen dat er een overeenkomst is. In de praktijk stelt vaak de verwerker een standaard DPA ter beschikking. Als controller bent u echter verantwoordelijk voor het beoordelen en, waar nodig, onderhandelen over de inhoud om aan de AVG te voldoen.

V: Wat moet ik doen als een leverancier weigert een DPA te ondertekenen?

Dit is een belangrijke rode vlag. Een weigering betekent dat de leverancier niet bereid is zijn AVG-verplichtingen contractueel vast te leggen, wat u als controller onacceptabel blootstelt aan risico's.

• Vraag om de specifieke reden voor de weigering.
• Overweeg een andere, compliant leverancier te zoeken.
• Als alternatief niet mogelijk is, documenteer het risico en escaler het binnen uw organisatie als een bewuste, hoog-risico beslissing.

V: Hoe vaak moet een DPA worden geüpdatet of herzien?

Een DPA moet worden herzien bij elke significante wijziging in de verwerking, zoals het toevoegen van nieuwe soorten persoonsgegevens, een nieuw verwerkingsdoel, of het gebruik van een nieuwe subverwerker in een risicovol land. Daarnaast moet u de DPA updaten wanneer de juridische kaders wijzigen, zoals bij nieuwe sets Standard Contractual Clauses van de Europese Commissie.