Veel verantwoordelijken laten de verwerking van hun persoonsgegevens geheel of gedeeltelijk uitvoeren door een zogeheten bewerker. Een bewerker verwerkt persoonsgegevens ten behoeve van de verantwoordelijke, zonder dat hij aan het rechtstreekse gezag van de verantwoordelijke is onderworpen (artikel 1, sub e, Wbp). Van verwerking door een bewerker is bijvoorbeeld sprake bij het verwerken van persoonsgegevens in de cloud of bij externe hosting van een website waar persoonsgegevens worden verwerkt. Dit hoofdstuk geeft antwoord op de vraag wat u moet regelen als de meldplicht datalekken uit de Wbp op u van toepassing is, en u bij de verwerking een bewerker inschakelt. Mocht u nog niet weten of de meldplicht datalekken op u van toepassing is, doorloop dan eerst de vragen uit hoofdstuk 1.
Als u persoonsgegevens laat verwerken door een bewerker, dan moet u ervoor zorgen dat deze voldoende waarborgen biedt ten aanzien van de naleving van de meldplicht voor datalekken. U moet toezien op de naleving (artikel 14, eerste lid, Wbp).
U zorgt ervoor dat de bewerker de maatregelen treft die nodig zijn zodat u aan de meldplicht voor datalekken kunt voldoen (artikel 14, derde lid, sub c, Wbp).
In veel gevallen is de bewerker de eerste die kennis krijgt van een opgetreden datalek. Uw zorgplicht, als verantwoordelijke voor de verwerking, strekt zich expliciet uit over datalekken waarvan een bewerker kennis krijgt. Dat betekent dat u ervoor moet zorgen dat u, ook als u persoonsgegevens laat bewerken door een bewerker, in staat bent om uw wettelijke verplichtingen na te komen. In ieder geval moet u zorgen dat de bewerker u tijdig en adequaat informeert over de datalekken waarvan hij kennis krijgt.
Indien de concrete situatie zich daartoe leent, dan kunt u met de bewerker overeenkomen dat hij in het geval van een datalek de eerste melding aan de Autoriteit Persoonsgegevens doet. Voorwaarde is wel dat de bewerker, op basis van de afspraken die u met hem maakt, kan overzien in welke gevallen een melding aan de Autoriteit Persoonsgegevens noodzakelijk is. Als verantwoordelijke blijft u ook in dit geval eindverantwoordelijk voor de melding. Dit betekent dat u moet zorgen dat de bewerker u op de hoogte houdt als hij een datalek meldt aan de Autoriteit Persoonsgegevens.
Afgezien van het toezien op naleving door de bewerker, dat in de voorgaande paragraaf werd aangehaald, schrijft de wet niet voor wat u precies met de bewerker af moet spreken. U moet in ieder geval denken aan het volgende:
Gaat de bewerker u daadwerkelijk informeren over alle relevante incidenten?
Gaat de bewerker eventueel zelf meldingen doen aan de Autoriteit Persoonsgegevens?
Ontvangt u per incident alle informatie die u nodig heeft?
Hoe gaat de bewerker u informeren over de incidenten?
Wordt u tijdig geïnformeerd over de incidenten?
Wordt u op de hoogte gehouden van eventuele nieuwe ontwikkelingen rond het incident, en van de maatregelen die de bewerker treft om aan zijn kant de gevolgen van het incident te beperken en herhaling te voorkomen?
Kunt u vaststellen dat u daadwerkelijk op de hoogte wordt gesteld van alle relevante incidenten, en dat de verstrekte informatie klopt?
De Wbp verplicht u om te zorgen voor voldoende beveiliging van de persoonsgegevens die u verwerkt, ook als u bij de verwerking een bewerker inschakelt. Adequate beveiliging door de bewerker is in meerdere opzichten van belang voor de naleving van de meldplicht datalekken. Ten eerste levert een adequate beveiliging een belangrijke bijdrage aan het voorkomen van datalekken. Ten tweede stellen maatregelen zoals intrusion detection de bewerker in staat om (mogelijk) ongeoorloofde toegang tot persoonsgegevens tijdig te onderkennen en u daarover te informeren. Meer informatie over de beveiliging van persoonsgegevens bij verwerking door een bewerker treft u aan in de richtsnoeren Beveiliging van persoonsgegevens van de Autoriteit Persoonsgegevens.8autoriteitpersoonsgegevens.nl.
Hoewel u als verantwoordelijke verantwoordelijk en aansprakelijk bent voor de gegevensverwerking door de bewerker (zie artikel 12 Wbp), is ook de bewerker drager van rechten en plichten. Hij dient niet alleen de instructies van de verantwoordelijke op te volgen maar is eveneens zelfstandig aansprakelijk voor de naleving van de beginselen met betrekking tot de verwerking van persoonsgegevens die zijn opgenomen in hoofdstuk 1 en 2 van de Wbp.9Kamerstukken II, 1997/98, 25 892, nr. 3, blz. 61. Zie ook: CBP, Onderzoek naar de beveiliging van Humannet Starter en Humannet Verzuim door VCD Humannet B.V., z2012-00288, Rapport definitieve bevindingen van december 2014.
De afspraken die u hierover met de bewerker maakt legt u schriftelijk vast, of in een andere, gelijkwaardige vorm (artikel 14, vijfde lid, Wbp). Een mondelinge afspraak tussen u als verantwoordelijke en de bewerker is niet voldoende.
De vestigingsplaats van de bewerker is voor de meldplicht datalekken niet relevant. Ook datalekken die plaatsvinden bij een buitenlandse bewerker (die gevestigd is in een andere EU-lidstaat of in een land buiten de EU) moeten worden gemeld aan de Autoriteit Persoonsgegevens. Hiervoor geldt datgene dat in de voorafgaande paragrafen is aangegeven.
Voorbeeld meldplicht datalekken van toepassing op verwerking in het buitenland10Kamerstukken II, 2013/14, nr. 6, blz. 16.
Een organisatie die in Nederland is gevestigd, laat persoonsgegevens bewerken door een bedrijf in Frankrijk. De persoonsgegevens bevinden zich op een server in Frankrijk. Als onbevoegden zich toegang verschaffen tot deze gegevens, dan valt dit onder de meldplicht datalekken onder de Wbp en dan moet dit door de Nederlandse verantwoordelijke worden gemeld aan de Autoriteit Persoonsgegevens.
Overigens schrijft het vierde lid van artikel 14 van de Wbp voor dat u, wanneer de bewerker gevestigd is in een andere lidstaat van de EU, er zorg voor moet dragen dat de bewerker het recht van die lidstaat nakomt. Het 'recht van die lidstaat' heeft betrekking op de lokale verplichtingen op het gebied van informatiebeveiliging. Dit betekent dat u in de bewerkersovereenkomst de naleving moet waarborgen van de beveiligingsmaatregelen zoals die zijn gedefinieerd door de wetgeving van de lidstaat waarin de verwerker is gevestigd.11Zie ook: Artikel 29-Werkgroep, Advies 8/2018 over toepasselijk recht, paragraaf III.5.
Artikel 2
Wat moet ik regelen als ik persoonsgegevens laat verwerken door een bewerker?
Onderdeel van Meldplicht datalekken Wet bescherming persoonsgegevens· Privacy
Deze tekst geldt sinds 16 december 2015