Nachrichten

AVG-Sanctie voor niet ondertekende verwerkersovereenkomst?

Beslissing 22/2020 van de Gegevensbeschermingsautoriteit behandelt een dossier na aangifte door een onderneming van een gegevenslek.

Bij deze gelegenheid heeft de GBA ook zijn mening gegeven over een niet ondertekende verwerkersovereenkomst.

Noodzakelijke ondertekende verwerkersovereenkomst

Dat gegevenslek was gebeurd was in het kader van een samenwerking met een Indisch verwerker.

Bijgevolg waren de persoonsgegevens van 32.153 klanten voor meer dan 2 maanden zichtbaar en toegankelijk op het internet.

De Belgische onderneming had de verwerker aangesteld middels een Master IT Service Agreement afgesloten voor de inwerkingtreding van de AVG.

In dit geval eist artikel 28 van de AVG een verwerkersovereenkomst (vaak genoemd „DPA“ voor Data Protection Agreement).

Er was reeds een project van verwerkersovereenkomst conform de AVG opgesteld.

Jammer genoeg was die op het moment van inwerkingtreding van de verordening echter nog niet ondertekend.

Er was dus strikt genomen gebrek aan een DPA.

Niet ondertekende verwerkersovereenkomst: Heeft de Belgische onderneming een inbreuk gepleegd?

Onderzoek van Inspectiedienst

De Inspectiedienst oordeelde dat een niet ondertekende verwerkersovereenkomst op zich strikt gezien een inbreuk uitmaakt op artikel 28 van de AVG.

Beslissing

De Geschillenkamer merkte eveneens op dat van een dergelijke onderneming wel verwacht mocht worden dat zij zich met de AVG tijdig in orde zou stellen.

De verwerking van persoonsgegevens gebeurt immers op grote schaal en is een kernactiviteit.

Eigenlijk had de ondertekende DPA dus uiterlijk op datum van inwerkingtreding van de AVG, zijnde 25 mei 2018, plaats moeten vinden.

Uiteindelijk besloot de Geschillenkamer niet tot een schending van artikel 28. Op het moment van de inwerkingtreding van de AVG bestond al een wilsovereenstemming tussen partijen op een niet ondertekende DPA.

Die wilsovereenstemming betrof de inhoud van de niet ondeterkende verwerkersovereenkomst die al door de Belgische onderneming was opgesteld en vervolgens door de verwerker werd ondertekend.

Er was dus geen gebrek aan een DPA.

Conclusie bij gebrek aan een verwerkersovereenkomst

Uiteraard moet men deze wilsovereenstemming kunnen aantonen.

Het is duidelijk eenvoudiger om een handtekening te kunnen claimen voor 25 mei 2018!

In het geval van dit besluit het contract kort na de inwerkingtreding van de AVG werd ondertekend.

Hoewel kan dit echter als precedent dienen voor bedrijven die niet de tijd hebben gehad om alle verwerkersovereenkomsten te formaliseren voor de inwerkingtreding van de AVG.

Unsere Empfehlung:

Zelfs zo er op het eerste gezicht duidelijk sprake zou lijken te zijn van een inbreuk op een bepaling van de AVG, blijkt uit deze beslissing nogmaals dat alle feitelijke elementen van een zaak door de Gegevensbeschermingsautoriteit in acht genomen worden om een uiteindelijk oordeel te vellen.

Aarzel dus niet om raad in te winnen met het oog op een analyse van de concrete en feitelijke situatie van uw onderneming in geval van discussies over de naleving van de AVG.

von Anne Custers

Weitere Fragen?

Setzen Sie sich mit uns in Verbindung.