Kort gezegd: Krijgt een IT-dienstverlener toegang tot servers waarop persoonsgegevens staan, dan is in de regel een verwerkersovereenkomst op grond van art. 28 AVG nodig. Die legt vast dat de dienstverlener alleen volgens instructie handelt, vertrouwelijkheid bewaart, passende beveiligingsmaatregelen treft, andere partners alleen met toestemming inschakelt en datalekken onverwijld meldt. Sluit de verwerkersovereenkomst af voordat het noodgeval zich voordoet. Deze pagina is algemene informatie en geen juridisch advies.
Als het snel moet, ontbreekt vaak het contract
In de week na PHP2Shell hebben veel bedrijven op korte termijn externe hulp ingeschakeld. Een beheerder moest PHP bijwerken, een bureau de processen herstarten, een forensisch team logboeken onderzoeken. Daarvoor kregen externen toegang tot servers waarop klantaccounts, bestellingen en formuliergegevens staan. De vraag op welke privacyrechtelijke grondslag dat gebeurde, kwam vaak pas daarna op.
Dat is begrijpelijk, want in een noodgeval telt tempo. Maar het is te vermijden. Met enkele voorbereidingen is beide te combineren: snelle hulp en een nette grondslag.
Wanneer een verwerkersovereenkomst met de IT-dienstverlener nodig is
Verwerking in opdracht is aan de orde wanneer een dienstverlener in opdracht en volgens instructie van een verwerkingsverantwoordelijke persoonsgegevens verwerkt. Bij webservers volstaat daarvoor vaak al de mogelijkheid van toegang: wie met rootrechten op een server werkt, kan de database met klantgegevens lezen, ook als hij dat niet van plan is.
Typische situaties met servertoegang zijn:
- lopend onderhoud en updates door bureau of systeemhuis,
- beheer van de server door een hostingprovider met managed-diensten,
- noodhulp, opschoning en herstel na een aanval,
- forensisch onderzoek met kopieën van gegevensdragers en logboeken,
- monitoring waarbij logboekgegevens naar de dienstverlener stromen.
Ook korte inzetten tellen. Een sessie op afstand met schermdeling, waarbij een technicus "even kijkt", kan hem klantgegevens tonen. Een database-export die voor foutopsporing per e-mail wordt verstuurd, is een doorgifte. Juist zulke gelegenheden verlopen vaak zonder grondslag, omdat ze niet als project worden gezien.
Of er in het concrete geval sprake is van verwerking in opdracht of van een andere constellatie, beoordeelt uw functionaris voor gegevensbescherming. Belangrijk is de vraag überhaupt te stellen voordat toegangen worden verleend.
Wat art. 28 AVG in de overeenkomst eist
Art. 28 lid 3 AVG noemt verplichte inhoud. Naast voorwerp, duur, aard en doel van de verwerking, soorten gegevens en categorieën van betrokkenen moet de verwerker zich onder meer tot de volgende punten verplichten. De rechterkolom toont wat dat bij servertoegang in de praktijk betekent.
| Verplichting volgens art. 28 lid 3 | Praktische betekenis bij servertoegang |
|---|---|
| a) Verwerking alleen op gedocumenteerde instructie | Opdracht schriftelijk, bijvoorbeeld per ticket: wat precies moet worden gedaan |
| b) Vertrouwelijkheid van de ingezette personen | alleen verplichte, bij naam bekende personen krijgen toegang |
| c) Maatregelen volgens art. 32 | persoonlijke accounts, tweestapsverificatie, versleutelde verbindingen |
| d) Voorwaarden voor andere verwerkers | forensische of hostingpartners alleen met toestemming |
| e) Ondersteuning bij rechten van betrokkenen | medewerking als inzage of verwijdering de server betreft |
| f) Ondersteuning bij art. 32 tot en met 36 | medewerking aan beveiliging, melding en effectbeoordeling |
| g) Verwijdering of teruggave na afronding | kopieën, images en exports worden verwijderd of teruggegeven |
| h) Bewijs en controles | logboeken van de toegangen, informatie over maatregelen |
Daarnaast eist art. 33 lid 2 AVG dat de verwerker een datalek waarvan hij op de hoogte raakt, onverwijld aan de verwerkingsverantwoordelijke meldt. Bij een dienstverlener die net een gecompromitteerde server onderzoekt, is dat geen formaliteit: hij is vaak de eerste die aanwijzingen voor weggelekte gegevens ziet. De termijn en het verdere verloop van de melding aan de toezichthoudende autoriteit legt AVG-meldplicht: 72 uur na het incident uit.
Toegang privacyconform organiseren
Een ondertekende verwerkersovereenkomst is de basis. Of de toezeggingen worden nagekomen, wordt in de dagelijkse praktijk beslist. Deze stappen hebben zich bewezen:
- Eigen, persoonlijke toegangen voor elke persoon van de dienstverlener, nooit gedeelde beheeraccounts. Hoe u die beveiligt, staat onder Tweestapsverificatie voor beheertoegang.
- In tijd beperken: toegangen voor een inzet na afronding deactiveren, permanente accounts regelmatig controleren.
- Loggen: aanmeldingen en opdrachten van de accounts van de dienstverlener vastleggen, zodat navolgbaar blijft wie wat heeft gedaan.
- Gegevenszuinig werken: voor analyses alleen de noodzakelijke gegevens kopiëren, kopieën versleuteld opslaan, opslaglocatie en verwijderdatum vastleggen.
- Afronding documenteren: toegangen ingetrokken, kopieën verwijderd of overgedragen, bevestiging schriftelijk.
Een forensisch onderzoek maakt vaak volledige images van servers, inclusief alle klantgegevens. Regel vooraf waar zulke images staan, wie er toegang toe heeft en wanneer ze worden verwijderd, zonder de bewijsveiligstelling in gevaar te brengen.
De verwerkersovereenkomst afsluiten vóór het noodgeval
Het beste moment voor de verwerkersovereenkomst is een rustige dag. Benoem de dienstverleners die in een noodgeval moeten optreden, dus hostingprovider, bureau en eventueel een team voor incidentafhandeling en forensisch onderzoek, en sluit de overeenkomsten met hen vooraf af. Leg daarbij ook vast welke andere partners de dienstverlener mag inzetten.
Bewaar de ondertekende overeenkomsten op de plek waar het noodplan ligt en noteer in de contactlijst met wie een verwerkersovereenkomst bestaat. De overige beveiligingsplichten, zoals updatetermijnen en bewijs, horen in het dienstencontract; meer daarover onder Contracten met IT-dienstverleners: beveiligingsplichten helder regelen. Voor alle juridische vragen zijn uw functionaris voor gegevensbescherming en een advocaat de juiste aanspreekpunten.
Hoe helpt PHP SOS concreet?
- Wij zoeken vóór de eerste toegang uit welke gegevens op de betrokken systemen staan en stemmen het kader af met uw functionaris voor gegevensbescherming.
- Wij werken met persoonlijke, gelogde toegangen en documenteren elke ingreep navolgbaar.
- Wij benoemen de gespecialiseerde partners die wij bijvoorbeeld voor IT-forensica zouden inschakelen, zodat u vooraf kunt beslissen.
- Na afronding van een incident response bevestigen wij schriftelijk de intrekking van toegangen en de verwijdering of overdracht van alle kopieën.
Conclusie: Privacy en snelle hulp sluiten elkaar niet uit als de grondslag vooraf vaststaat. Een verwerkersovereenkomst met de dienstverleners voor het ergste geval hoort in elke noodvoorziening. Deze pagina is algemene informatie en geen juridisch advies.
Veelgestelde vragen
Is elk beheer op afstand een verwerking in opdracht?
Niet automatisch. Beslissend is of de dienstverlener in opdracht persoonsgegevens verwerkt of er toegang toe kan krijgen. Bij webservers met klantaccounts, bestellingen of formulieren is dat meestal het geval. De beoordeling in het concrete geval neemt uw functionaris voor gegevensbescherming voor zijn rekening.
Kan ik een verwerkersovereenkomst ook tijdens een incident afsluiten?
Het is mogelijk, maar onder tijdsdruk ontbreekt vaak de rust voor een toetsing. Beter is het de verwerkersovereenkomst vooraf af te sluiten met dienstverleners die in een noodgeval moeten optreden. Dan kan het werk meteen beginnen.
Moet de dienstverlener mij informeren als hij een datalek opmerkt?
Ja. Volgens art. 33 lid 2 AVG meldt de verwerker een inbreuk op de beveiliging van persoonsgegevens onverwijld aan de verwerkingsverantwoordelijke, nadat hij ervan op de hoogte is geraakt. De melding aan de toezichthoudende autoriteit blijft de zaak van de verwerkingsverantwoordelijke.
Mag de dienstverlener andere partners inschakelen, bijvoorbeeld voor forensisch onderzoek?
Volgens art. 28 lid 2 AVG alleen met voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke, die specifiek of algemeen kan worden gegeven. Bij een algemene toestemming moet de dienstverlener over wijzigingen informeren, zodat u bezwaar kunt maken.