Zo leest een rapport van Datavoogd

De overeenkomst beschrijft de rechten en verplichtingen van de verwerkingsverantwoordelijke.

Bron: AVG art. 28 lid 3, aanhef: rechten en verplichtingen van de verwerkingsverantwoordelijke

Datavoogd signaleert dat verschillende verantwoordelijkheden van de gemeente wél zijn vastgelegd: instructiebevoegdheid (art. 3.1), vaststellen en schriftelijk meedelen van bewaartermijnen (A.3), besluit over melding van een inbreuk (5.4), dragen van auditkosten (4.2) en algemene toestemming voor subverwerkers (4.5). Wel ontbreekt een aanduiding van wie namens de gemeente instructies geeft (functie of rol) en via welk kanaal; het contactpunt in tabel 2 is beschreven voor privacy- en incidentmeldingen, niet als instructiekanaal. Ook is niet vastgelegd dat de gemeente verantwoordelijk is voor de rechtmatigheid/grondslag van de verwerking of dat zij wijzigingen in de verwerking tijdig doorgeeft (behalve de algemene NB bij bijlage 1). De genoemde rollen (directeur Bedrijfsvoering, functionele privacymailbox) lijken actueel en niet verouderd.

[F023, Artikel 3 Onderwerp van deze Verwerkersovereenkomst] Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke

[F075, A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1)] Verwerker bewaart Persoonsgegevens niet langer dan de bewaartermijnen die Verwerkingsverantwoordelijke op grond van de Archiefwet en de geldende selectielijst heeft vastgesteld en schriftelijk aan Verwerker heeft meegedeeld.

De verwerker schakelt geen andere verwerker in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke; bij algemene toestemming informeert hij over beoogde wijzigingen zodat de verantwoordelijke bezwaar kan maken (lid 2). De verwerker legt dezelfde verplichtingen op aan de subverwerker en blijft jegens de verantwoordelijke aansprakelijk (lid 4).

Bron: AVG art. 28 lid 3 onder d, in samenhang met lid 2 en lid 4: inschakelen van subverwerkers

Datavoogd signaleert dat artikel 4.5 een subverwerkersbepaling bevat: de toestemming is expliciet algemeen en de bekende subverwerkers staan in tabel 3 van bijlage 1. Wel ontbreken een concrete aankondigingstermijn en een kanaal voor nieuwe subverwerkers ('op de hoogte houden', respectievelijk 'op korte termijn' in de NB bij bijlage 1) en is geen bezwaarprocedure met gevolg uitgewerkt; er wordt volstaan met een verwijzing naar artikel 28.2 en 28.4 AVG. Ook de doorlegging van gelijkwaardige verplichtingen aan de subverwerker en de blijvende aansprakelijkheid van Verwerker zijn niet in eigen artikeltekst uitgeschreven; het addendum regelt voor subverwerkers alleen het aantonen van een gelijkwaardig beveiligingsniveau.

[F030, Artikel 4 Inhoudelijke afspraken] De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.

[F057, Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers] NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.

De verwerker helpt de verantwoordelijke, rekening houdend met de aard van de verwerking, met passende technische en organisatorische maatregelen om te voldoen aan verzoeken van betrokkenen (hoofdstuk III AVG).

Bron: AVG art. 28 lid 3 onder e: bijstand bij verzoeken van betrokkenen

Datavoogd signaleert dat de overeenkomst met artikel 4.6 de standaardbepaling over bijstand bij verzoeken van betrokkenen bevat, maar dat deze niet verder is uitgewerkt dan de wettelijke norm. Er is geen eigen reactietermijn voor de verwerker genoemd (alleen een verwijzing naar 'de wettelijke termijnen'), er staat niet wat er gebeurt als een betrokkene zich rechtstreeks tot Leverancier Fictief BV wendt, en er is geen beschreven functionaliteit voor export, rectificatie of verwijdering per betrokkene. Het addendum vult dit onderdeel niet aan; A.3 regelt alleen bewaartermijnen en verwijdering na afloop van een bewaartermijn.

[F031, Artikel 4 Inhoudelijke afspraken] 4.6 Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.

De verwerker helpt de verantwoordelijke bij het nakomen van de verplichtingen uit art. 32 t/m 36: beveiliging, melden van inbreuken aan de toezichthouder en aan betrokkenen, gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging.

Bron: AVG art. 28 lid 3 onder f: bijstand bij art. 32 t/m 36 (beveiliging, datalekken, DPIA, voorafgaande raadpleging)

Datavoogd signaleert dat bijstand op alle drie de onderwerpen is geregeld: beveiliging (art. 4.1 met Bijlage 2), datalekken (art. 5 met een termijn van 24 uur, vaste informatie-elementen, logboek en ondersteuning bij melding aan AP en betrokkenen) en DPIA/voorafgaande raadpleging (art. 4.7). Voor de datalekmelding zijn contactpunten en bereikbaarheid uitgewerkt in tabel 2 en addendum A.4, maar de opsomming van te leveren informatie noemt de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen niet expliciet (art. 33 lid 3 AVG). Voor DPIA en voorafgaande raadpleging blijft art. 4.7 bij 'werkt altijd mee', zonder te bepalen welke informatie de verwerker levert en binnen welke termijn. Daarmee is de bepaling wel aanwezig, maar op het DPIA-deel nog niet uitgewerkt tot het niveau dat deze regel vraagt.

[F026, Artikel 4 Inhoudelijke afspraken] Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG.

[F032, Artikel 4 Inhoudelijke afspraken] Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.

De doelen van de verwerking zijn concreet benoemd en de verwerker mag de gegevens niet voor eigen doelen gebruiken.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: doelen van de verwerking

Datavoogd signaleert dat de doelen per verwerking concreet zijn benoemd op het niveau van de gemeentelijke taak (meldingen woonoverlast ontvangen, vastleggen, hosten, beschikbaar stellen en beheren) in tabel 1 van bijlage 1. Een uitdrukkelijk verbod op gebruik voor eigen doeleinden van de verwerker (analyse, productverbetering, training van modellen, marketing) ontbreekt echter; artikel 3.1 sluit dat alleen indirect uit via de instructiebinding. Ook een expliciete uitsluiting of afbakening van geanonimiseerd of geaggregeerd eigen gebruik is niet opgenomen. De beschreven doelen sluiten wel aan bij de in de hoofdovereenkomst beschreven app en het zaaksysteem; een AI- of analysefunctie wordt niet genoemd en evenmin uitgesloten.

[F052, Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers] Het door inwoners laten indienen en het vastleggen van meldingen van woonoverlast ten behoeve van de behandeling daarvan door de gemeente

[F023, Artikel 3 Onderwerp van deze Verwerkersovereenkomst] Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke

De termijn waarbinnen de verwerker een inbreuk aan de verantwoordelijke meldt is vastgelegd en laat de verantwoordelijke voldoende tijd om binnen 72 uur na kennisname aan de AP te melden (art. 33 lid 1 en 2 AVG).

Bron: AP aanbeveling 1, datalekafspraken, p. 7: termijn in uren voor de dataleknotificatie

Datavoogd signaleert dat de meldtermijn concreet in uren is vastgelegd (uiterlijk 24 uur) en start bij vaststelling van een (vermoedelijke) inbreuk, dus ook bij een vermoeden en niet pas na afgerond onderzoek; dat laat ruimte binnen de 72-uurstermijn van art. 33 AVG. Datavoogd signaleert wel dat nergens expliciet is bepaald dat dezelfde 24-uurstermijn geldt voor inbreuken die bij een subverwerker plaatsvinden; artikel 4.5 legt alleen in algemene zin de art. 28 lid 2 en 4 AVG-verplichtingen door, zodat de keten melder-subverwerker-verwerker-gemeente niet is gemaximeerd. Op dit onderdeel voldoet de bepaling daarmee niet volledig aan wat de toetsregel vraagt.

[F034, Artikel 5 Inbreuk in verband met Persoonsgegevens] 5.1 Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens.

[F030, Artikel 4 Inhoudelijke afspraken] Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.

Vastgelegd is welke informatie de verwerker bij een melding levert, aansluitend op wat de verantwoordelijke aan de AP moet melden (art. 33 lid 3 AVG): aard van de inbreuk, categorieën en aantallen betrokkenen en gegevens, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen.

Bron: AP aanbeveling 1, datalekafspraken, p. 7: minimale inhoud van de dataleknotificatie

Datavoogd signaleert dat artikel 5.1 een opsomming van meldinhoud bevat (oorzaak, categorie persoonsgegevens, categorie en aantal betrokkenen), maar dat de waarschijnlijke gevolgen van de inbreuk en de genomen en voorgestelde maatregelen niet als verplichte onderdelen van de melding zijn benoemd; artikel 5.2 regelt wel het treffen van maatregelen en het voortdurend informeren, maar niet als vast meldingselement. Ondersteuning bij de melding aan de AP en aan betrokkenen is vastgelegd in artikel 5.4, medewerking aan onderzoek volgt hooguit indirect uit het logboek in artikel 5.3. Voor informatie die bij de eerste melding nog niet bekend is ('voor zover bekend') is geen concrete nalevertermijn afgesproken, alleen 'voortdurend op de hoogte houden'. Daarmee dekt de meldinhoud art. 33 lid 3 AVG niet volledig.

[F034, Artikel 5 Inbreuk in verband met Persoonsgegevens] Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen.

[F035, Artikel 5 Inbreuk in verband met Persoonsgegevens] In geval van een Inbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen en houdt de Verwerkingsverantwoordelijke hiervan voortdurend op de hoogte.

Er is een procedure voor het toevoegen, wijzigen of vervangen van subverwerkers: hoe en wanneer wordt aangekondigd, hoe de verantwoordelijke bezwaar maakt en wat het gevolg van bezwaar is.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 9, en art. 28 lid 2 AVG: instemming met subverwerkers en wijzigingen

Datavoogd signaleert dat er wel een bepaling over nieuwe subverwerkers is (algemene toestemming plus een informatieplicht), maar dat de procedure niet is uitgewerkt: er is geen aankondigingstermijn in dagen, geen kanaal, geen bezwaartermijn en geen omschrijving van het gevolg van bezwaar (niet inschakelen, alternatief of opzeggen). De verwijzing naar artikel 28.2 en 28.4 AVG houdt het bezwaarrecht formeel in stand, maar vult de procedure niet in. Ook de notitie bij bijlage 1 blijft bij "op korte termijn", zonder termijn of gevolg. Het addendum bevat geen aanvulling op artikel 4.5.

[F030, Artikel 4 Inhoudelijke afspraken] Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.

[F057, Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers] NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.

De verwerker verwerkt uitsluitend in opdracht en volgens schriftelijke instructies; elke verdere verwerking buiten tabel 1 van bijlage 1, inclusief elke toepassing van kunstmatige intelligentie (waaronder testen en trainen), vereist vooraf uitdrukkelijke toestemming.

Bron: IBD Standaard VWO v2.54, art. 3.1 en toelichting 3.1: uitsluitend op schriftelijke instructies; verdere verwerking en AI alleen met toestemming

Datavoogd signaleert dat de instructiebepaling van de Standaard volledig is opgenomen, inclusief de uitzondering voor een wettelijke verplichting met voorafgaande kennisgeving, en dat de toegestane verwerkingen zijn begrensd tot tabel 1 van Bijlage 1. Datavoogd signaleert wel dat een expliciete bepaling over verdere verwerking buiten tabel 1 ontbreekt en dat de tekst en het addendum nergens ingaan op toepassing van kunstmatige intelligentie, testen, trainen of productverbetering. Er is ook geen ruime toestemming voor eigen doelen opgenomen, zodat de begrenzing alleen impliciet uit artikel 3.1 en 3.2 volgt. Daarmee is niet uitdrukkelijk vastgelegd dat AI-toepassing voorafgaande schriftelijke toestemming vereist.

[F023, Artikel 3 Onderwerp van deze Verwerkersovereenkomst] Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

[F024, Artikel 3 Onderwerp van deze Verwerkersovereenkomst] De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.

De verwerker werkt mee aan audits door een gecertificeerde auditor, tenzij hij met een geldige, periodiek getoetste certificering aantoont dat hij de afspraken nakomt; de kosten zijn voor de verantwoordelijke tenzij de auditor tekortkomingen van niet ondergeschikte aard constateert.

Bron: IBD Standaard VWO v2.54, art. 4.2 en toelichting 4.2: audits, certificering als alternatief, kosten

Datavoogd signaleert dat de auditbepaling van de Standaard integraal is overgenomen: auditor, certificeringsuitzondering en kostenverdeling zijn benoemd, en addendum A.5 vult de geldigheid en reikwijdte van de certificering aan. Niet vastgelegd zijn een auditfrequentie (de toelichting bij art. 4.2 gaat ervan uit dat partijen die vooraf afspreken) en een termijn waarbinnen constateringen van de auditor worden hersteld. De certificering (ISO/IEC 27001, laatste certificering 1 maart 2025, geldig tot 1 maart 2028) is bij de documentdatum van 15 april 2026 geldig en de scope sluit aan bij de verwerkingen in bijlage 1.

[F027, Artikel 4 Inhoudelijke afspraken] Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke.

[F061, Bijlage 2: Aantonen passend niveau van beveiliging] Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.

De bekende subverwerkers staan in tabel 3 van bijlage 1 (naam en contactgegevens, KvK-nummer, uitbestede verwerkingen per categorie, toepassing, verwerkingslocatie, doorgifte-instrument, aanvullende maatregelen); de verantwoordelijke geeft algemene toestemming; de verwerker meldt nieuwe subverwerkers en art. 28 lid 2 en 4 AVG blijven van kracht (bezwaarrecht, doorlegging, aansprakelijkheid).

Bron: IBD Standaard VWO v2.54, art. 4.5, toelichting 4.5 en bijlage 1 tabel 3: subverwerkers

Datavoogd signaleert dat artikel 4.5 en tabel 3 van bijlage 1 aanwezig zijn, met algemene toestemming, een meldplicht voor nieuwe subverwerkers en een verwijzing naar artikel 28 lid 2 en 4 AVG, en dat de uitbestede verwerkingen, toepassing en verwerkingslocatie per subverwerker zijn ingevuld. Tegelijk staan bij beide subverwerkers nog placeholders voor contactgegevens (<contactgegevens>) en KvK- of registratienummer, zodat de door de Standaard gevraagde kolommen niet volledig zijn ingevuld. Ook is voor de melding van nieuwe subverwerkers geen kanaal of termijn vastgelegd en is niet uitgewerkt wat er na bezwaar gebeurt. De tabel sluit inhoudelijk aan bij de verwerkingen in tabel 1 (hosting in Nederland, tweedelijns support vanuit Duitsland) en kent de NB over doorgeven van substantiële wijzigingen.

[F030, Artikel 4 Inhoudelijke afspraken] De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.

[F056, Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers] Hostingpartner Fictief BV, Almere (uitwijklocatie Zwolle), <contactgegevens> | <KvK-nummer> | Opslaan en hosten van persoonsgegevens; Back-ups, herstel en continuïteitsvoorzieningen | Hosting van de app en het zaaksysteem Voorbeeldzaak, inclusief back-up- en uitwijkvoorzieningen | Nederland (EER) | Niet van toepassing | Niet van toepassing

Bij een beroep op de rechten van art. 12 t/m 22 AVG helpt de verwerker de verantwoordelijke om binnen de wettelijke termijn te beslissen; een betrokkene die zich rechtstreeks tot de verwerker wendt wordt direct doorgeleid naar de verantwoordelijke.

Bron: IBD Standaard VWO v2.54, art. 4.6 en toelichting 4.6: bijstand bij rechten van betrokkenen

Datavoogd signaleert dat de bijstandsbepaling aanwezig is en dat daarbij naar de wettelijke termijnen wordt verwezen (F031, standaardtekst art. 4.6). Er is echter geen bepaling gevonden over de situatie waarin een betrokkene zich rechtstreeks tot Verwerker wendt (directe doorgeleiding naar Verwerkingsverantwoordelijke), en het addendum vult dit punt niet aan. Ook een concrete aanlevertermijn voor Verwerker en een kostenafspraak (volgens de toelichting in de hoofdovereenkomst) ontbreken in dit document.

[F031, Artikel 4 Inhoudelijke afspraken] 4.6 Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.