De verwerkersovereenkomst, vaak DPA genoemd (van het Engelse data processing agreement), is het contract dat een organisatie tekent met een dienstverlener die namens haar persoonsgegevens verwerkt. Ze is verplicht volgens artikel 28 van de AVG zodra een verwerker tussenkomt, en legt vast wat die dienstverlener met de gegevens mag doen, hoe hij ze beschermt en wat hij aan het einde van de relatie moet doen.
Verwerkingsverantwoordelijke en verwerker
De AVG onderscheidt twee rollen:
- De verwerkingsverantwoordelijke beslist over de doeleinden en de middelen: waarom gegevens verwerkt worden en hoe. Wanneer een kmo een AI-assistent op haar website zet om bezoekers te antwoorden, is zij verantwoordelijke
- De verwerker verwerkt gegevens namens de verantwoordelijke en volgens diens instructies. Het platform dat de assistent levert, is een verwerker
De verwerker kan zelf andere dienstverleners inschakelen, subverwerkers genoemd: een hostingpartner, een e-maildienst, een leverancier van een taalmodel. Elk van hen moet gebonden zijn door gelijkwaardige verplichtingen, en de verantwoordelijke moet ervan op de hoogte zijn.
Wat de overeenkomst moet bevatten
Artikel 28 somt de verplichte elementen op. De overeenkomst moet het onderwerp, de duur, de aard en het doel van de verwerking beschrijven, de categorieën gegevens en betrokkenen, en de verplichtingen van de verantwoordelijke. Vooral moet ze de verwerker verplichten om:
- Gegevens alleen te verwerken op gedocumenteerde instructie van de verantwoordelijke, ook voor doorgiften buiten de Unie
- Vertrouwelijkheid te garanderen: wie gegevens mag verwerken, is tot geheimhouding verplicht
- Passende beveiligingsmaatregelen te nemen, in de zin van artikel 32
- Alleen met toestemming van de verantwoordelijke een andere verwerker in te schakelen, en die dezelfde verplichtingen op te leggen
- De verantwoordelijke te helpen bij verzoeken van betrokkenen om hun rechten uit te oefenen
- De verantwoordelijke te helpen bij beveiliging, melding van datalekken en effectbeoordelingen
- Gegevens te verwijderen of terug te bezorgen aan het einde van de dienstverlening, naar keuze van de verantwoordelijke
- De informatie ter beschikking te stellen die nodig is om de naleving aan te tonen en audits mogelijk te maken
De Europese Commissie nam in 2021 modelcontractbepalingen aan voor overeenkomsten tussen verantwoordelijken en verwerkers, die organisaties ongewijzigd kunnen gebruiken.
Aandachtspunten voor een AI-assistent
Een standaard verwerkersovereenkomst beantwoordt niet altijd de vragen die eigen zijn aan AI. Controleer vooral:
- Het gebruik van gegevens om modellen te trainen. De overeenkomst moet uitsluiten dat de dienstverlener uw gesprekken of documenten voor eigen doeleinden gebruikt, waaronder het trainen of verbeteren van zijn modellen
- De lijst van subverwerkers, inclusief de modelleverancier(s), met hun locatie
- Doorgiften buiten de Europese Economische Ruimte en het mechanisme dat ze regelt: adequaatheidsbesluit, modelcontractbepalingen
- De bewaartermijn van gesprekken bij de dienstverlener en bij de modelleverancier, en de mogelijkheid om ze in te stellen
- De verwijdering: termijn van verwijdering aan het einde van het contract, ook in back-ups
- De melding van incidenten: de termijn waarbinnen de dienstverlener u verwittigt van een datalek, zodat u de termijn van 72 uur tegenover de toezichthouder kunt naleven
De vaakste fouten
- Algemene voorwaarden aanvaarden zonder de bijlage over gegevensbescherming te lezen. De DPA is vaak een apart document, dat u uitdrukkelijk moet vragen
- Subverwerkers vergeten. De overeenkomst met het platform volstaat niet als de modelleverancier de berichten volgens andere voorwaarden verwerkt
- De overeenkomst niet archiveren. Bij een vraag van de toezichthouder of een klant moet u ze kunnen voorleggen
- Wijzigingen niet opvolgen. Een dienstverlener kan een subverwerker toevoegen; de overeenkomst moet voorzien dat u daarvan op de hoogte gebracht wordt en bezwaar kunt maken
DPA en register van verwerkingen
De verwerkersovereenkomst en het register van verwerkingsactiviteiten vullen elkaar aan. Het register beschrijft uw verwerking, haar doeleinden, ontvangers en termijnen; de overeenkomst garandeert dat elke ontvanger die regels naleeft. Schrijf voor een AI-assistent de verwerking "websiteassistent" in het register in en bewaar ernaast de DPA van het platform en de lijst van zijn subverwerkers.
De verwerkersovereenkomst met KernChat
Voor KernChat is de klantorganisatie verwerkingsverantwoordelijke en treedt KERN-IT op als verwerker. Het platform wordt gehost in de Europese Unie. Berichten worden aan de leverancier van het gekozen taalmodel (Google Gemini, Anthropic Claude of OpenAI) doorgegeven, alleen om het antwoord te genereren, en KERN-IT gebruikt ze niet om een model te trainen. Het privacybeleid beschrijft die werking en de betrokken subverwerkers.