Een Data Processing Agreement (DPA), ook wel verwerkersovereenkomst genoemd, is een wettelijk verplicht contract tussen een verwerkingsverantwoordelijke (controller) en een verwerker (processor) dat de verwerking van persoonsgegevens regelt. Deze overeenkomst is vereist onder de Algemene Verordening Gegevensbescherming (AVG) wanneer een organisatie persoonsgegevens laat verwerken door een externe partij.
De DPA beschermt de rechten van betrokkenen en zorgt ervoor dat beide partijen hun verantwoordelijkheden kennen bij het verwerken van persoonsgegevens. Het document specificeert onder meer het doel van de gegevensverwerking, de duur, de aard van de verwerking en de categorieën van betrokkenen en persoonsgegevens.
Kernonderdelen van een DPA
Een complete Data Processing Agreement bevat minimaal de volgende elementen:
- Onderwerp en duur: Beschrijving van de verwerkingsactiviteiten en de looptijd van de overeenkomst
- Aard en doel: Specificatie van waarom en hoe persoonsgegevens worden verwerkt
- Type persoonsgegevens: Categorieën van gegevens die worden verwerkt (bijvoorbeeld contactgegevens, financiële data)
- Categorieën betrokkenen: Wie de personen zijn van wie gegevens worden verwerkt (klanten, medewerkers, bezoekers)
- Verplichtingen van de verwerker: Beveiligingsmaatregelen, vertrouwelijkheid, ondersteuning bij datalekken
- Rechten en plichten: Auditrechten, instructierecht, meldingsplichten
- Subverwerkers: Voorwaarden voor het inschakelen van derden
Wettelijke basis
De verplichting tot het afsluiten van een DPA is vastgelegd in artikel 28 van de AVG. Deze wetgeving schrijft voor dat verwerkingsverantwoordelijken alleen mogen werken met verwerkers die voldoende garanties bieden om technische en organisatorische maatregelen te implementeren die voldoen aan de AVG-vereisten.
Het ontbreken van een DPA kan leiden tot significante boetes van de Autoriteit Persoonsgegevens (AP) tot 4% van de jaaromzet of €20 miljoen, afhankelijk van welk bedrag hoger is.