Inleiding verwerkersovereenkomst

Inleiding verwerkersovereenkomst

Algemene verordening gegevensbescherming (AVG) /privacyverordening

Iedereen heeft recht op bescherming van zijn of haar persoonsgegevens. Bij zorgorganisaties worden persoonsgegevens van patiënten/cliënten en medewerkers verwerkt. Onder zorgorganisaties worden zorgaanbieders verstaan, maar ook (rechts)personen die een uitwisselingssysteem hanteren waarmee zorgaanbieders (medische) persoonsgegevens van cliënten kunnen uitwisselen.

Wanneer de zorgorganisatie, of een andere verwerkingsverantwoordelijke, het verwerken van persoonsgegevens uitbesteedt aan een partij van buiten de eigen organisatie, dan moet met deze partij een verwerkersovereenkomst worden gesloten.

Op dit moment gelden hiervoor nog de privacy verplichtingen uit de Wet bescherming persoonsgegevens (Wbp). Vanaf 25 mei 2018 wordt de Wbp vervangen door de Algemene Verordening Gegevensbescherming (AVG). De AVG kent een aantal dezelfde uitgangspunten en begrippen als de Wbp, maar introduceert ook nieuwe verplichtingen voor u als de verwerkingsverantwoordelijke en de organisaties die u als verwerker1 van persoonsgegevens inschakelt. Voor meer informatie over de AVG/privacyverordening verwijzen we u naar [LINK]

Verwerkersovereenkomst (voorheen Bewerkersovereenkomst).

De AVG bepaalt welke onderdelen er in de verwerkersovereenkomst moeten worden opgenomen. Zo eist de AVG bijvoorbeeld dat de verwerkersovereenkomst afspraken bevat over de instructieplicht, beveiliging, de meldplicht datalekken en het inzetten van onderaannemers als subverwerker.

ActiZ, GGZ Nederland, NFU, NVZ en VGN verenigd in de Brancheorganisaties Zorg (BoZ) hebben in het licht van de inwerkingtreding van de AVG een model verwerkersovereenkomst2 ontwikkeld die voldoet aan de eisen die de AVG hier aan stelt. Daarmee kan het model als standaard dienen voor de hele zorgsector.

Let wel: niet iedere externe partij waaraan persoonsgegevens worden verstrekt, kwalificeert als ‘verwerker’. Het kan ook zijn dat de ontvangende partij zelf als ‘verwerkingsverantwoordelijke’ moet worden aangemerkt. Dat speelt bijvoorbeeld bij sommige samenwerkingsverbanden en bij situaties waarin alle betrokken partijen een eigen relatie met een patiënt, cliënt of betrokkene onderhouden. Deze model verwerkersovereenkomst is niet geschikt voor gegevensuitwisselingen met dergelijke verwerkingsverantwoordelijken. Is er sprake van gezamenlijke verantwoordelijkheid en meerdere verwerkingsverantwoordelijken dan zullen partijen van geval tot geval moeten bekijken welke afspraken over gegevensuitwisselingen behoren te worden gemaakt.

De verwerkersovereenkomst is een bijlage bij iedere (af te sluiten) overeenkomst waarin een derde in opdracht van de zorgorganisatie persoonsgegevens verwerkt. Die overeenkomsten worden

1 Onder de Wbp: bewerker

2 Het BoZ-model heeft de NVZ bewerkersovereenkomst van december 2016 daarbij als vertrekpunt genomen

genoemd in bijlage 1 van de verwerkersovereenkomst. Overigens is het ook mogelijk om de bepalingen uit de modelovereenkomst op te nemen in de dienstverleningsovereenkomst met de verwerker, zodat er slechts één overeenkomst is (en daardoor minder kans op tegenstrijdige afspraken).