Wanneer is een virtual assistant een 'verwerker' onder de AVG?
Een virtual assistant is verwerker onder de AVG zodra die toegang heeft tot een mailbox, CRM, ledenadministratie of nieuwsbriefsysteem van een klant en daarin persoonsgegevens verwerkt namens die klant, ook als dat maar een paar uur per maand is. Vanaf dat moment is een verwerkersovereenkomst verplicht: geen formaliteit, maar een document dat vastlegt wat er wel en niet met de gegevens mag gebeuren.
Verwerker versus verwerkingsverantwoordelijke
De AVG kent twee hoofdrollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt, meestal de opdrachtgever. De verwerker voert dat uit in opdracht, zonder zelf te bepalen wat er met de gegevens gebeurt, vaak de VA. Zodra een VA namens een klant in systemen werkt waar persoonsgegevens in staan, is die feitelijk verwerker, ook zonder dat er ooit een contract voor is getekend.
Wat er dan geregeld moet zijn
Een verwerkersovereenkomst legt minimaal vast voor welk doel en hoe lang gegevens verwerkt mogen worden, welke beveiligingsmaatregelen gelden, wat er gebeurt bij een datalek en binnen welke termijn dat gemeld moet worden, of onderaannemers mogen worden ingeschakeld, en wat er met de gegevens gebeurt zodra de opdracht eindigt.
Zonder die overeenkomst is er geen onduidelijkheid over de wet, wel over de praktijk: wie is aanspreekbaar als er iets misgaat. SalDoo werkt zelf volgens deze uitgangspunten en vraagt of biedt een verwerkersovereenkomst aan bij elke opdracht waar persoonsgegevens bij komen kijken.
Andere vragen over avg & privacy in de praktijk
Kom eens sparren.
20 minuten videogesprek. Geen verplichtingen. Je krijgt direct waardevolle inzichten of een concreet voorstel.