Verwerkersovereenkomst

Een verwerkersovereenkomst bij cloudprinten is een contract waarin je vastlegt hoe de leverancier van je cloud print-software met de persoonsgegevens omgaat die door jouw printomgeving stromen. Zodra je printjobs, gebruikersnamen, e-mailadressen of scans via de cloud lopen, verwerkt die leverancier gegevens namens jou. De AVG verplicht je dan om die afspraken zwart-op-wit te zetten. Kortom: het is de papieren garantie dat jouw data ook in de cloud netjes en veilig wordt behandeld, zonder dat je daar zelf constant bovenop hoeft te zitten.

Hoe werkt het?

Onder de AVG ben jij als organisatie de “verwerkingsverantwoordelijke”: jij bepaalt waarom en hoe er persoonsgegevens worden verwerkt. Je cloudprint-leverancier is de “verwerker”: die doet het feitelijke werk in opdracht van jou. Op het moment dat een verwerker persoonsgegevens voor je verwerkt, schrijft de wet voor dat er een verwerkersovereenkomst (ook wel DPA, Data Processing Agreement) tussen jullie ligt. Bij cloudprinten gaat het vaak om printjobs die tijdelijk in de cloud staan, inlogkoppelingen en logbestanden van wie wat print.

Wat levert een goede verwerkersovereenkomst je op?

• Duidelijkheid over welke gegevens worden verwerkt, hoelang en met welk doel.
• Afspraken over beveiliging, zoals versleuteling en toegangsbeheer.
• Zekerheid over waar je data staat, bij voorkeur binnen de EU.
• Meldplicht: de leverancier moet je op tijd waarschuwen bij een datalek.
• Bewijs richting de Autoriteit Persoonsgegevens dat je je zaken op orde hebt.

In de praktijk

Neem een middelgrote zorginstelling die overstapt op cloud print-management. Patiëntoverzichten en afspraakbrieven gaan als printjob door de cloud. De IT-manager wil kunnen aantonen dat dit AVG-proof gebeurt. Bij het contract tekent hij een verwerkersovereenkomst waarin staat dat printdata versleuteld wordt, dat de opslag in een Europees datacenter plaatsvindt, en dat een datalek binnen 24 uur wordt gemeld. Combineer dat met een audit trail en de instelling kan bij een controle precies laten zien wie wanneer welk document heeft geprint. Geen gepuzzel achteraf, gewoon geregeld.

De link met cloudprinten

Juist omdat cloudprinten data buiten je eigen serverruimte brengt, is die overeenkomst geen formaliteit maar een must. Wil je weten wat de privacyregels precies betekenen voor je printomgeving, lees dan wat de AVG betekent voor printen en hoe een audit trail bij printen je helpt aantonen dat alles klopt. Meer weten over veilig printen in de cloud? Bekijk ons blog over veilig printen en de AVG, of ontdek welke cloudprint-oplossingen hierbij passen.

Veelgestelde vragen

Moet ik altijd een verwerkersovereenkomst afsluiten voor cloudprinten?

Zodra je cloudprint-leverancier persoonsgegevens namens jou verwerkt, en dat is bij vrijwel elke cloudprint-oplossing het geval, is een verwerkersovereenkomst wettelijk verplicht onder de AVG.

Wie stelt de verwerkersovereenkomst op?

Meestal levert de leverancier een standaarddocument aan. Als verantwoordelijke mag je die controleren en aanpassen, zodat de afspraken over beveiliging, bewaartermijnen en datalocatie bij jouw organisatie passen.

Wat als de leverancier onderaannemers inschakelt?

Die “subverwerkers” moeten in de overeenkomst staan en aan dezelfde regels gebonden zijn. Zo blijft de hele keten, tot aan het datacenter, AVG-proof.