Wettelijke naleving: wat een contract moet voorzien op het gebied van persoonsgegevens
Artikel 28 AVG, artikel 9 nDSG, internationale doorgiften: de verplichte clausules van een verwerkersovereenkomst.
Een contract waarbij een IT-verwerker, een hostingprovider, een SaaS-tool betrokken is: zodra er persoonsgegevens worden verwerkt, worden precieze clausules verplicht — niet optioneel.
Snelle check: Analyseer uw contract op subblink — verwachte AVG- en nDSG-clausules, internationale doorgiften, onderaanneming.
1. De verplichte clausules van een verwerkersovereenkomst
Het probleem
Een contract met een IT-leverancier die persoonsgegevens verwerkt namens de klant moet deze relatie dwingend regelen — het ontbreken van een geformaliseerde verwerkersovereenkomst is op zich al een nalevingsprobleem.
Juridische herinnering (AVG)
Artikel 28 van de AVG vereist een schriftelijk contract dat het onderwerp, de duur, de aard en het doel van de verwerking, de categorieën van gegevens en betrokkenen, de beveiligingsverplichtingen (art. 32), de voorafgaande toestemming voor elke verdere onderaanneming en het lot van de gegevens bij einde contract preciseert.
Juridische herinnering (nDSG, Zwitserland)
Artikel 9 van de nieuwe federale wet op gegevensbescherming vereist dat de verwerking door een verwerker berust op een contract of de wet, met een gelijkwaardige beveiligingsgarantie, en dat elke verdere onderaanneming onderworpen is aan voorafgaande toestemming.
Wat subblink detecteert
Het veld regulatoryCompliance controleert de aanwezigheid van de clausules vereist onder artikel 28 AVG of artikel 9 nDSG, met een status "conform / afwijkingen vastgesteld / niet van toepassing" afhankelijk van het geïdentificeerde rechtsgebied.
Nuttige bron
De Franse gegevensbeschermingsautoriteit CNIL biedt een herbruikbare modelclausule voor gegevensverwerking: zie de bibliotheek van officiële contractreferenties.
2. Gegevensdoorgiften buiten de Europese Unie
Het probleem
Een verwerker gehost buiten de EU (met name in de Verenigde Staten) vereist een specifieke regeling van de gegevensdoorgifte, op straffe van niet-naleving, zelfs als het lokale contract voor het overige correct is opgesteld.
Juridische herinnering
De standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit 2021/914) regelen dit type doorgifte, bij ontbreken van een adequaatheidsbesluit voor het bestemmingsland.
Wat subblink detecteert
Een vermelding van hosting of verwerking buiten de EU in de contracttekst wordt gemeld als een punt dat controle van het toepasselijke doorgiftemechanisme vereist.
3. Wat wettelijke naleving niet dekt
Eerlijke beperking
De nalevingscontrole heeft betrekking op de bescherming van persoonsgegevens (AVG/nDSG). Ze dekt geen sectorspecifieke verplichtingen: witwasbestrijding (AML/KYC) voor financiële beroepen, FINMA-naleving voor gereglementeerde Zwitserse instellingen, of enige andere sectorregelgeving. Deze controles vereisen gespecialiseerde expertise.
4. Cascaderende onderaanneming
Het probleem
Een verwerker die zelf een beroep doet op een andere onderaannemer (cloudhosting, e-maildienst) moet de verwerkingsverantwoordelijke informeren en diens toestemming verkrijgen — een keten die gemakkelijk uit het oog wordt verloren.
Wat subblink detecteert
De aanwezigheid van een clausule die de verdere onderaanneming regelt, wordt gecontroleerd als een van de clausules vereist onder artikel 28 AVG.
Checklist wettelijke naleving: contracten met persoonsgegevens
- Geformaliseerde verwerkersovereenkomst indien een leverancier gegevens verwerkt namens de klant
- Clausules van artikel 28 AVG of artikel 9 nDSG aanwezig afhankelijk van het rechtsgebied
- Internationaal doorgiftemechanisme gecontroleerd indien hosting buiten de EU
- Verdere onderaanneming onderworpen aan voorafgaande toestemming
- Lot van de gegevens bij einde contract (verwijdering of teruggave) gepreciseerd
FAQ: wettelijke naleving van contracten
Controleert subblink de volledige AVG-naleving van een bedrijf?
Nee. Het controleert de aanwezigheid van verwachte clausules in de tekst van een bepaald contract. Een volledige AVG-nalevingsaudit (verwerkingsregister, effectbeoordeling, governance) is een bredere oefening, los van de analyse van een contract.
Wat gebeurt er als het contract geen verwerking van persoonsgegevens vermeldt?
Het veld regulatoryCompliance geeft dan een status "niet van toepassing" aan — nooit een verzonnen afwijking over een onderwerp dat het contract niet behandelt.
Dekt subblink sectorspecifieke verplichtingen (FINMA, AML/KYC)?
Nee, deze controles worden niet gedekt. Zie het artikel gewijd aan juridische en adviesprofessionals voor details over wat wel en niet wordt gecontroleerd.
Zijn de standaardcontractbepalingen van de Europese Commissie ergens beschikbaar?
Ja, ze maken deel uit van de bibliotheek van officiële contractreferenties van subblink, met de bron en het land duidelijk aangegeven.
Conclusie
De wettelijke naleving van een contract berust op precieze, wettelijk vereiste clausules — niet op een algemene indruk van professionaliteit.
Artikel 28 AVG, artikel 9 nDSG, internationaal doorgiftemechanisme: drie punten systematisch te controleren zodra een contract persoonsgegevens betreft.