GDPR relaties met derden

Derde-verwerker

In het geval dat je organisatie persoonsgegevens doorgeeft aan derden die deze verder verwerken volgens jouw instructies, spreek je over een “derde-verwerker.” Verwerken moet ruim geïnterpreteerd worden: in geval van louter stockeren van persoonsgegevens in opdracht van een organisatie is er al sprake van verwerken. Een voorbeeld van een verwerker is een ICT partner of cloud-provider.

Wanneer een verwerker dus op jouw instructie persoonsgegevens verwerkt, dan moet je een verwerkingsovereenkomst afsluiten:

Er zijn verschillende mogelijkheden om zo’n overeenkomst vorm te geven.

1. Bij contracten met ondernemingen kunnen afspraken rond privacy opgenomen worden in de algemene verkoops- of gebruiksvoorwaarden. Van de meeste grote ondernemingen mag je verwachten dat ze zelf initiatief nemen om hun voorwaarden aan te passen en hun klanten te contacteren om de aangepaste voorwaarden te aanvaarden (actief akkoord is vereist).
2. In eventuele overblijvende gevallen (geen initiatief van de leverancier in aanpassing van de voorwaarden) kan ons model verwerkersovereenkomst gebruikt worden.

Derde-ontvanger

In het geval dat je gegevens doorgeeft aan een derde die ze niet verder op jouw instructie verwerkt, dan spreek je over een “derde-ontvanger”. Op dat moment moet je als organisatie bewijs kunnen leveren dat je weet dat deze derde op een veilige manier zal omgaan met de gegevens. Hiervoor kan je onderstaand kort voorbeeldmailtje gebruiken. Een voorbeeld van een ontvanger: Sport Vlaanderen.

Lijst

Om de relaties met derden goed op te volgen, wordt best een lijst van derden (verwerkers en ontvangers) opgemaakt (zie ook stap 2 inventaris) waarin wordt bijgehouden of de organisatie in kwestie de nodige GDPR-stappen onderneemt en op welke manier de onderlinge afspraken geregeld zijn (contract, voorwaarden etc).

Praktisch

• Twijfel je hoe jouw relatie club-federatie zich verhoudt (wie is eigenaar, wie verwerker, etc)? Neem een kijkje in onze analyse met voorbeeldscenario’s.
  Specifiek voor de relatie tussen een federatie en zijn leden/clubs kunnen afspraken rond het gebruik van persoonsgegevens ook opgenomen worden in interne reglementen (huishoudelijk reglement, toetredingsformulier, etc). Het heeft weinig toegevoegde waarde om met elke club afzonderlijk een contract te gaan beheren, maar er moeten wel duidelijke afspraken zijn. Neem dus best een passage op in een intern reglement waarin de relatie tussen beide organisaties en hun wederzijdse rechten en plichten rond privacy worden beschreven.
  Federaties en hun nationale en internationale koepel kunnen het ook op deze manier vormgeven.
  Deze aanpassing in de interne reglementen hoeft niet actief goedgekeurd te worden door de leden, gezien het statutair bepaald is dat de leden de interne reglementen dienen na te leven. Wel moet er duidelijk over gecommuniceerd te worden zodat iedereen op de hoogte is van de aanpassingen.
• Voor de verwerkers die zelf geen initiatief nemen om een overeenkomst (onder de vorm van aangepaste voorwaarden of een contract) op te maken, raden we de sportorganisatie aan om zelf contact op te nemen op basis van het voorbeeldmailtje hieronder en om vervolgens
  • De instructies of stappen die de onderneming voorstelt te volgen
  • Of zelf een modelovereenkomst voor te stellen indien dit niet voldoende lijkt