Privacyovereenkomsten sluiten en controleren

NormenAVGWpg

De modellen bestaan al: de standaard verwerkersovereenkomst voor gemeenten, de Wpg-variant, de Engelse vertaling en de modelovereenkomst voor gezamenlijke verantwoordelijken staan bij de IBD (zie onderaan). Wat een gemeente zelf moet regelen, is de weg eromheen. Wie bepaalt de rol van de leverancier, wie vult in, wie toetst, waar wordt het bewaard, en wie gaat jaarlijks bij de verwerker langs?

De vijf stappen#

  1. Initiatie. De proceseigenaar bepaalt de rol van elke partij en daarmee het type overeenkomst.
  2. Opstellen. Altijd vanuit het standaardsjabloon; de leverancier vult bijlage 1 en 2 in. Afwijken alleen met de privacy officer erbij.
  3. Review. De privacy officer toetst de overeenkomst, de security officer de beveiligingsbijlage.
  4. Archiveren. In het contractbeheersysteem, via de afdeling inkoop, en de verwerking wordt bijgewerkt in het register van verwerkingen.
  5. Periodiek controleren. Ten minste eens per jaar een gesprek of audit bij elke verwerker, met verslag in het contractdossier.

Wat erin zit#

Stuk Waarvoor
Procedure De vijf stappen, de RACI, de relevante artikelen uit de standaard verwerkersovereenkomst en een extra checklist voor Wpg-verwerkingen
Gegevensuitwisselingsovereenkomst Eigen sjabloon voor uitwisseling met een partij die zelfstandig verantwoordelijk is; niet verplicht, wel zorgvuldig
Interne BRP-gegevensleveringsovereenkomst Afspraken tussen burgerzaken en een afnemende afdeling: welke BRP-gegevens, op welke grondslag, terugmelden, jaarlijkse evaluatie
Bijlage 2, beveiligingsmaatregelen Een ingevulde bijlage met de maatregelen die van een verwerker worden gevraagd
Toelichting bijlagen Hoe je bijlage 1 (welke gegevens) en bijlage 2 (welke beveiliging) invult

Wat dit niet is#

Geen eigen verwerkersovereenkomst: gebruik de standaard van de IBD. De interne GLO beschrijft één leverancierskoppeling voor het berichtenverkeer; pas die paragraaf aan op je eigen inrichting.

Licentie#

EUPL-1.2.