Heeft een webwinkel een bewerkersovereenkomst nodig?

Een bewerkersovereenkomst is een wettelijk verplichte overeenkomst op het moment dat een partij ten behoeve van een andere partij omgaat met persoonsgegevens. De afspraken over deze omgang ontbreken echter zeer regelmatig. Wat betekent dit bijvoorbeeld voor een webwinkel?

Een webwinkel verzamelt persoonsgegevens. Het meest voor de hand liggend zijn de gegevens van bezoekers die een bestelling plaatsen. Denk daarbij aan de naam, een e-mailadres, een telefoonnummer en een adres. Maar denk ook aan een e-mailadres dat uitsluitend opgegeven wordt om een nieuwsbrief te ontvangen, of een naam en e-mailadres die uitsluitend gebruikt worden om een gewild product naar een vriend door te mailen.Minder voor de hand liggende voorbeelden zijn persoonsgegevens die verzameld worden door cookies of javascripts.

Wanneer deze gegevens gedeeld worden, is het noodzakelijk om over dit delen heldere afspraken te maken. Google biedt eigenaren van websites bijvoorbeeld de mogelijkheid om online een bewerkersovereenkomst af te sluiten. Iets wat verplicht is om Google Analytics uit te kunnen zonderen van de cookiewet.

Een webwinkel is verantwoordelijk voor de omgang met deze persoonsgegevens, maar vaak wordt over het hoofd gezien waar de gegevens allemaal heen gestuurd worden en wie er iets met de gegevens doet. De Wet bescherming persoonsgegevens stelt eisen aan verwerkingen van persoonsgegevens. Een verwerking is:

elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

Hieruit volgt dat bijvoorbeeld een programmeur die de database van een webwinkel onderhoudt persoonsgegevens kan verwerken, maar ook de hoster van een website, de door een webwinkel ingeschakelde postbezorger of een externe partij die nieuwsbrieven voor een webwinkel verstuurd.

Omdat deze partijen persoonsgegevens van en voor een webwinkel verwerken zijn ze aan te merken als bewerkers. Met deze bewerkers moet een bewerkersovereenkomst gesloten worden. In een dergelijke overeenkomst kunnen onder andere over de volgende punten afspraken opgenomen worden:

• het doel van de verwerking;
• beveiligingsmaatregelen;
• meldplicht datalekken;
• het recht op een audit;
• subbewerking;
• internationale verwerking.