Artikel 28 van de AVG behandelt de uitbesteding van gegevensverwerkingsactiviteiten aan dienstverleners en schetst een juridisch kader voor een dergelijke samenwerking, waarbij de rechten van de betrokkenen worden beschermd en de naleving ervan wordt gewaarborgd.
Gegevensverwerker
- Wanneer de verwerking namens een verwerkingsverantwoordelijke moet worden uitgevoerd, maakt de verwerkingsverantwoordelijke alleen gebruik van verwerkers die voldoende garanties bieden om passende technische en organisatorische maatregelen te implementeren op een zodanige manier dat de verwerking voldoet aan de eisen van deze verordening en de bescherming van de rechten van de verwerkingsverantwoordelijke garandeert. de betrokkene.
- De verwerker zal geen andere verwerker inschakelen zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In geval van algemene schriftelijke toestemming zal de verwerker de verantwoordelijke op de hoogte stellen van voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van andere verwerkers, waarbij hij de verantwoordelijke de mogelijkheid geeft om tegen dergelijke wijzigingen bezwaar te maken.
- De verwerking door een verwerker wordt beheerst door een contract of andere rechtshandeling krachtens het recht van de Unie of de lidstaten, die bindend is voor de verwerker ten aanzien van de verwerkingsverantwoordelijke en die het onderwerp en de duur van de verwerking, de aard en het doel ervan vastlegt. van de verwerking, het type persoonsgegevens en categorieën betrokkenen en de verplichtingen en rechten van de verwerkingsverantwoordelijke. In dat contract of andere rechtshandeling wordt met name bepaald dat de verwerker:
- (a) Verwerkt de persoonsgegevens alleen op gedocumenteerde instructies van de verwerkingsverantwoordelijke, inclusief met betrekking tot de overdracht van persoonsgegevens naar een derde land of een internationale organisatie, tenzij dit vereist is door de wetgeving van de Unie of de lidstaten waaraan de verwerker onderworpen is; in een dergelijk geval zal de verwerker de verwerkingsverantwoordelijke vóór de verwerking op de hoogte stellen van die wettelijke vereiste, tenzij die wet dergelijke informatie verbiedt om belangrijke redenen van openbaar belang.
- (b) Zorgt ervoor dat personen die bevoegd zijn om de persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verplicht of onder een passende wettelijke geheimhoudingsplicht vallen.
- c) Neemt alle maatregelen die vereist zijn op grond van artikel 32.
- (d) Respecteert de voorwaarden genoemd in lid 2 en 4 voor het inschakelen van een andere verwerker.
- (e) Rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke bijstaan door middel van passende technische en organisatorische maatregelen, voor zover dit mogelijk is, voor het voldoen aan de verplichting van de verwerkingsverantwoordelijke om te reageren op verzoeken om de uitoefening van de rechten van de betrokkene zoals vastgelegd in Hoofdstuk III .
- (f) Helpt de verwerkingsverantwoordelijke bij het waarborgen van de naleving van de verplichtingen uit hoofde van de artikelen 32 tot en met 36, rekening houdend met de aard van de verwerking en de informatie waarover de verwerker beschikt.
- (g) naar keuze van de verwerkingsverantwoordelijke alle persoonsgegevens verwijdert of terugstuurt naar de verwerkingsverantwoordelijke na het einde van de dienstverlening met betrekking tot de verwerking, en bestaande kopieën verwijdert, tenzij de wetgeving van de Unie of de lidstaten opslag van de persoonsgegevens vereist.
- (h) Stelt aan de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de in dit artikel vastgelegde verplichtingen aan te tonen en om audits, inclusief inspecties, mogelijk te maken en bij te dragen, uitgevoerd door de verwerkingsverantwoordelijke of een andere door de verwerkingsverantwoordelijke gemachtigde auditor.
Met betrekking tot punt h) van de eerste alinea stelt de verwerker de verwerkingsverantwoordelijke onmiddellijk op de hoogte indien een instructie naar zijn mening in strijd is met deze verordening of met andere bepalingen inzake gegevensbescherming van de Unie of de lidstaten.- Wanneer een verwerker een andere verwerker inschakelt om namens de verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten uit te voeren, worden aan die verwerkingsverantwoordelijke dezelfde gegevensbeschermingsverplichtingen opgelegd als vastgelegd in het contract of een andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker als bedoeld in lid 3. andere verwerker door middel van een contract of een andere rechtshandeling krachtens het recht van de Unie of de lidstaten, waarbij met name voldoende garanties worden geboden om passende technische en organisatorische maatregelen te treffen op een zodanige wijze dat de verwerking aan de vereisten van deze verordening voldoet. Wanneer die andere verwerker zijn verplichtingen op het gebied van gegevensbescherming niet nakomt, blijft de oorspronkelijke verwerker volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van die andere verwerker.
- Het volgen door een verwerker van een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element waarmee voldoende garanties als bedoeld in de leden 1 en 4 van dit artikel kunnen worden aangetoond. .
- Onverminderd een individueel contract tussen de verwerkingsverantwoordelijke en de verwerker, kan het contract of de andere rechtshandeling bedoeld in de leden 3 en 4 van dit artikel geheel of gedeeltelijk gebaseerd zijn op de standaardcontractbepalingen bedoeld in de leden 7 en 8. 42 van dit artikel, ook wanneer deze deel uitmaken van een certificering die is verleend aan de verwerkingsverantwoordelijke of verwerker overeenkomstig de artikelen 43 en XNUMX.
- De Commissie kan standaardcontractbepalingen vaststellen voor de aangelegenheden bedoeld in de leden 3 en 4 van dit artikel en in overeenstemming met de onderzoeksprocedure bedoeld in artikel 93, lid 2.
- Een toezichthoudende autoriteit kan modelcontractbepalingen vaststellen voor de aangelegenheden bedoeld in de leden 3 en 4 van dit artikel en in overeenstemming met het in artikel 63 bedoelde consistentiemechanisme.
- De overeenkomst of de andere rechtshandeling bedoeld in lid 3 en 4 moet schriftelijk zijn, ook in elektronische vorm.
- Onverminderd de artikelen 82, 83 en 84 wordt, indien een verwerker deze verordening schendt door het doel van en de middelen voor de verwerking vast te stellen, de verwerker met betrekking tot die verwerking als verwerkingsverantwoordelijke beschouwd.
Boek een chat van 30 minuten met ons en wij laten u zien hoe
Gegevensverwerker
- Wanneer de verwerking namens een verwerkingsverantwoordelijke moet worden uitgevoerd, maakt de verwerkingsverantwoordelijke alleen gebruik van verwerkers die voldoende garanties bieden om passende technische en organisatorische maatregelen te implementeren op een zodanige manier dat de verwerking voldoet aan de eisen van deze verordening en de bescherming van de rechten van de verwerkingsverantwoordelijke garandeert. de betrokkene.
- De verwerker zal geen andere verwerker inschakelen zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In geval van algemene schriftelijke toestemming zal de verwerker de verantwoordelijke op de hoogte stellen van voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van andere verwerkers, waarbij hij de verantwoordelijke de mogelijkheid geeft om tegen dergelijke wijzigingen bezwaar te maken.
- De verwerking door een verwerker wordt beheerst door een contract of andere rechtshandeling naar nationaal recht, die bindend is voor de verwerker ten aanzien van de verwerkingsverantwoordelijke en die het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking vastlegt. , het type persoonsgegevens en categorieën betrokkenen en de verplichtingen en rechten van de verwerkingsverantwoordelijke. In dat contract of andere rechtshandeling wordt met name bepaald dat de verwerker:
- (a) Verwerkt de persoonsgegevens alleen op gedocumenteerde instructies van de verwerkingsverantwoordelijke, inclusief met betrekking tot de overdracht van persoonsgegevens naar een derde land of een internationale organisatie, tenzij dit vereist is door de nationale wetgeving waaraan de verwerker onderworpen is; in een dergelijk geval zal de verwerker de verwerkingsverantwoordelijke vóór de verwerking op de hoogte stellen van die wettelijke vereiste, tenzij die wet dergelijke informatie verbiedt om belangrijke redenen van openbaar belang.
- (b) Zorgt ervoor dat personen die bevoegd zijn om de persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verplicht of onder een passende wettelijke geheimhoudingsplicht vallen.
- c) Neemt alle maatregelen die vereist zijn op grond van artikel 32.
- (d) Respecteert de voorwaarden genoemd in lid 2 en 4 voor het inschakelen van een andere verwerker.
- (e) Rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke bijstaan door middel van passende technische en organisatorische maatregelen, voor zover dit mogelijk is, voor het voldoen aan de verplichting van de verwerkingsverantwoordelijke om te reageren op verzoeken om de uitoefening van de rechten van de betrokkene zoals vastgelegd in Hoofdstuk III .
- (f) Helpt de verwerkingsverantwoordelijke bij het waarborgen van de naleving van de verplichtingen uit hoofde van de artikelen 32 tot en met 36, rekening houdend met de aard van de verwerking en de informatie waarover de verwerker beschikt.
- (g) Naar keuze van de verwerkingsverantwoordelijke alle persoonsgegevens verwijderen of terugsturen naar de verwerkingsverantwoordelijke na het einde van de dienstverlening met betrekking tot de verwerking, en bestaande kopieën verwijderen, tenzij de nationale wetgeving opslag van de persoonsgegevens vereist.
- (h) Stelt aan de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de in dit artikel vastgelegde verplichtingen aan te tonen en om audits, inclusief inspecties, mogelijk te maken en bij te dragen, uitgevoerd door de verwerkingsverantwoordelijke of een andere door de verwerkingsverantwoordelijke gemachtigde auditor.
Met betrekking tot punt h) van de eerste alinea stelt de verwerker de verwerkingsverantwoordelijke onmiddellijk op de hoogte indien, naar zijn mening, een instructie een inbreuk vormt op deze verordening of op ander nationaal recht met betrekking tot verplichtingen op het gebied van gegevensbescherming.- Wanneer een verwerker een andere verwerker inschakelt om namens de verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten uit te voeren, worden aan die verwerkingsverantwoordelijke dezelfde gegevensbeschermingsverplichtingen opgelegd als vastgelegd in het contract of een andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker als bedoeld in lid 3. andere verwerker door middel van een contract of een andere rechtshandeling naar nationaal recht, waarbij met name voldoende garanties worden geboden om passende technische en organisatorische maatregelen te treffen op zodanige wijze dat de verwerking aan de vereisten van deze verordening voldoet. Wanneer die andere verwerker zijn verplichtingen op het gebied van gegevensbescherming niet nakomt, blijft de oorspronkelijke verwerker volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van die andere verwerker.
- Het volgen door een verwerker van een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element waarmee voldoende garanties als bedoeld in de leden 1 en 4 van dit artikel kunnen worden aangetoond. .
- Onverminderd een individueel contract tussen de verwerkingsverantwoordelijke en de verwerker, kan het contract of de andere rechtshandeling bedoeld in de leden 3 en 4 van dit artikel geheel of gedeeltelijk gebaseerd zijn op modelcontractbepalingen bedoeld in lid 8 van dit artikel. dit artikel, ook wanneer zij deel uitmaken van een certificering die overeenkomstig de artikelen 42 en 43 aan de verwerkingsverantwoordelijke of verwerker is verleend.
- De commissaris kan modelcontractbepalingen aannemen voor de aangelegenheden bedoeld in de leden 3 en 4 van dit artikel.
- De overeenkomst of de andere rechtshandeling bedoeld in lid 3 en 4 moet schriftelijk zijn, ook in elektronische vorm.
- Onverminderd de artikelen 82, 83 en 84 wordt, indien een verwerker deze verordening schendt door het doel van en de middelen voor de verwerking vast te stellen, de verwerker met betrekking tot die verwerking als verwerkingsverantwoordelijke beschouwd.
Artikel 28 van de AVG behandelt 8 deelgebieden die bepalen hoe gegevensverwerkingsactiviteiten kunnen worden uitbesteed aan externe dienstverleners:
Boek een hands-on sessie op maat
op basis van uw behoeften en doelen
Boek uw demo
Er is geen enkel bedrijf te bedenken waarvan de service ISMS.online kan evenaren.
In deze sectie praten we over AVG-artikelen 28 (10), 28 (5) en 28 (6)
Organisaties moeten een mapping-oefening ondergaan die zowel interne als externe factoren opsomt die verband houden met de implementatie van een PIMS.
De organisatie moet kunnen begrijpen hoe zij haar resultaten op het gebied van privacybescherming gaat bereiken, en eventuele problemen die de bescherming van PII in de weg staan, moeten worden geïdentificeerd en aangepakt.
Voordat organisaties proberen privacybescherming aan te pakken en een PII te implementeren, moeten ze eerst inzicht krijgen in hun verplichtingen als enige of gezamenlijke PII-beheerder en/of verwerker.
Dit bevat:
In deze sectie praten we over AVG Artikelen 28 (3)(b), (1), (3)(a), (3)(b), (3)(c), (3)(d), (3 )(e), (3)(f), (3)(g) en (3)(h)
Bij het aanpakken van de beveiliging binnen leveranciersrelaties moeten organisaties ervoor zorgen dat beide partijen zich bewust zijn van hun verplichtingen op het gebied van privacy-informatiebeveiliging, en van elkaar.
Daarbij moeten organisaties:
Organisaties moeten ook een register van overeenkomsten, waarin alle overeenkomsten met andere organisaties zijn opgenomen.
Boek een hands-on sessie op maat
op basis van uw behoeften en doelen
Boek uw demo
In deze sectie praten we over AVG Artikelen 28 (1), (3)(a), (3)(b), (3)(c), (3)(d), (3)(e), (3 )(f), (3)(g) en (3)(h)
Organisaties moeten voldoen aan wettelijke, statutaire, regelgevende en contractuele vereisten wanneer:
Organisaties moeten procedures volgen die dit mogelijk maken identificeren, analyseren en begrijpen wet- en regelgevingsverplichtingen – vooral die welke te maken hebben met privacybescherming en PII – waar ze ook actief zijn.
Organisaties moeten zich voortdurend bewust zijn van hun verplichtingen op het gebied van privacybescherming wanneer ze nieuwe overeenkomsten aangaan met derde partijen, leveranciers en opdrachtnemers.
Bij het inzetten van encryptiemethoden om de privacybescherming te versterken en PII te beschermen, moeten organisaties:
Organisaties moeten de details van elke gezamenlijke PII-verwerkingsregeling schetsen, met een bijbehorende PII-beheerder – dit omvat algemene beschermingsmaatregelen en alle bijbehorende beveiligingsvereisten.
Rollen en verantwoordelijkheden moeten duidelijk en ondubbelzinnig zijn, en vastgelegd in een juridisch bindend document (ook wel een 'overeenkomst voor het delen van gegevens' genoemd).
Afspraken kunnen onder meer het volgende omvatten:
In deze sectie praten we over AVG-artikelen 28 (3)(e) en 28 (3)(f) en 28 (9)
Klantcontracten moeten het volgende omvatten:
Boek een hands-on sessie op maat
op basis van uw behoeften en doelen
Boek uw demo
Contracten moeten SLA's bevatten die verband houden met wederzijdse doelstellingen en eventuele bijbehorende tijdschalen waarbinnen deze moeten worden voltooid.
Organisaties moeten hun recht erkennen om de verschillende methoden te kiezen die worden gebruikt om PII te verwerken, die rechtmatig bereiken wat de klant zoekt, maar zonder de noodzaak om gedetailleerde toestemming te verkrijgen over hoe de organisatie dit op technisch niveau aanpakt.
Organisaties moeten een grondig inzicht hebben in de manier waarop instructies mogelijk in strijd kunnen zijn met toepasselijke wetgeving of wettelijke verplichtingen.
Overtredingen vinden meestal plaats rond drie factoren.
Organisaties moeten hun klanten van voldoende informatie kunnen voorzien, zodat klanten op ieder moment aan hun verplichtingen kunnen voldoen.
De vereiste informatie kan een breed scala aan functies omvatten, maar houdt doorgaans verband met interne audits en de rol van de organisatie bij het faciliteren daarvan door het verstrekken van informatie.
De verplichtingen van verwerkingsverantwoordelijken worden bepaald door drie factoren:
Contracten moeten eventuele informatie or technische operaties die de organisatie in staat stellen haar verplichtingen als verwerkingsverantwoordelijke na te komen.
Er zijn verschillende scenario's waarbij PII moet worden verwijderd, waaronder (maar niet beperkt tot):
Organisaties moeten categorische garanties bieden dat alle PII die niet langer nodig is, zal worden vernietigd in overeenstemming met de geldende wetgeving of regionale richtlijnen.
Alle verwijderingsbeleidsregels moeten op verzoek beschikbaar zijn voor de klant en moeten betrekking hebben op de periode die organisaties hebben om PII te vernietigen zodra een contract is beëindigd.
Organisaties moeten een procedure opstellen die regelt hoe PII-opdrachtgevers op de hoogte worden gesteld van juridisch bindende verzoeken van derden om hun informatie, inclusief een redelijk tijdsbestek en een contractuele bepaling die het hele proces schetst.
Bovenal moeten organisaties dat doen voldoen aan de verzoeken van wetshandhavingsinstanties, die het recht hebben om te verzoeken dat de klant niet op de hoogte wordt gesteld van een verzoek, en ervoor te zorgen dat ze geen wetten overtreden door de klant per ongeluk of opzettelijk op de hoogte te stellen van de situatie.
Boek een hands-on sessie op maat
op basis van uw behoeften en doelen
Boek uw demo
Alle bepalingen voor het gebruik van onderaannemers moeten als zodanig worden vermeld in het SLA/klantcontract.
Informatie over onderaannemers moet het volgende omvatten:
NDA's moeten worden opgesteld om alle informatie openbaar te maken die een verhoogd veiligheidsrisico zou vormen als deze publiekelijk zou worden onthuld.
Organisaties moeten schriftelijke toestemming van hun klanten verkrijgen voordat PII door een externe organisatie wordt verwerkt.
Onderaannemers moeten onderworpen zijn aan een bindende overeenkomst (meestal in de vorm van een schriftelijk contract), die ervoor zorgt dat onderaannemers hun verplichtingen begrijpen met betrekking tot het implementeren van de controles vermeld in ISO 27701 bijlage B.
Contracten moeten rekening houden met verschillende risicobeoordelingsprocessen (zie ISO 27701 clausule 5.4.1.2) en de volledige reikwijdte van de PII-verwerking van de organisatie (zie ISO 27701 clausule 6.12). Net als hierboven moeten alle in bijlage B genoemde controles worden nageleefd, waarbij eventuele weglatingen worden vermeld, samen met de rechtvaardigingen daarvoor.
Wanneer de noodzaak zich voordoet om de manier te veranderen waarop de organisatie enig onderdeel van de PII-verwerking uitbesteedt, moeten klanten ruim van tevoren op de hoogte worden gesteld van de wijzigingen, zodat ze de tijd hebben om de wijzigingen in twijfel te trekken of er bezwaar tegen te maken.
Contracten moeten clausules bevatten die voorzien in schriftelijke toestemming van de klant om door te gaan met de wijziging, voordat PII wordt verwerkt.
Organisaties kunnen ook goedkeuring vragen voor wijzigingen binnen ad-hoc schriftelijke overeenkomsten, buiten eventuele contractuele voorwaarden om.
| AVG-artikel | ISO 27701-clausule | ISO 27002-controles |
|---|---|---|
| EU AVG Artikelen 28 (3)(b) tot (3)(h) | 6.12.1.2 | 5.10 5.12 5.13 5.20 |
| EU AVG Artikelen 28 (1) tot (3)(h) | 6.15.1.1 | 5.20 |
| EU AVG Artikelen 28 (3)(e) en 28 (9) | 7.2.6 | Geen |
| EU AVG Artikelen 28 (3)(e) tot 28 (9) | 8.2.1 7.4 8.4 | Geen |
| EU AVG Artikel 28, lid 3, onder a) | 8.2.2 | Geen |
| EU AVG Artikel 28, lid 3, onder h) | 8.2.4 | Geen |
| EU AVG Artikel 28, lid 3, onder h) | 8.2.5 | Geen |
| EU AVG Artikel 28, lid 3, onder h) | 8.3.1 | Geen |
| EU AVG Artikel 28, lid 3, onder g) | 8.4.2 | Geen |
| EU AVG Artikel 28, lid 3, onder a) | 8.5.4 | Geen |
| EU AVG Artikelen 28 (2) en 28 (4) | 8.5.6 8.5.2 8.5.7 | Geen |
| EU AVG Artikelen 28 (2) en 28 (3)(d) | 8.5.7 5.4.1.2 6.12 | Geen |
| EU AVG Artikel 28 (2) | 8.4 | Geen |
Gebouwd volgens ISO 27701, in lijn met andere regelgeving.
Met ISO 27701 kunt u een Privacy Informatie Management Systeem creëren dat voldoet aan de meeste privacyregelgeving. Dit geldt ook voor de EU Algemene Verordening Gegevensbescherming, BS 10012 en POPIA uit Zuid-Afrika.
U kunt de internationale standaard eenvoudig volgen met onze vereenvoudigde, veilige en duurzame software.
Het alles-in-één platform dat wij bieden, zorgt ervoor dat uw privacywerk in lijn is met ISO 27701 en voldoet aan de vereisten ervan.
Meer informatie via het boeken van een korte demo van 30 minuten.
Ik zou ISMS.online zeker aanbevelen, het maakt het opzetten en beheren van uw ISMS zo eenvoudig mogelijk.
Als u ISMS.online niet gebruikt, maakt u uw leven moeilijker dan nodig is!
