Bewerkersovereenkomst Wet bescherming persoonsgegevens

Transcriptie

1 Bewerkersovereenkomst Wet bescherming persoonsgegevens behorende bij de overeenkomst Medische advisering Participatie met kenmerk Partijen: 1. De gemeente Utrecht, te dezen rechtsgeldig vertegenwoordigd door <.> in <zijn/haar> hoedanigheid van <.>, hierna te noemen: Verantwoordelijke verantwoordelijke, en 2. <.>, statutair gevestigd te <.>, te dezen rechtsgeldig vertegenwoordigd door <.>, in <zijn/haar> hoedanigheid van <.>, hierna te noemen: BewerkerBewerker, nemen in aanmerking dat I. de onderhavige overeenkomst onderdeel is van de overeenkomst <invullen> met kenmerk <invullen> (hierna: de Hoofdovereenkomst); II. Verantwoordelijke verantwoordelijke is en bewerker Bewerker als bedoeld in de Wet bescherming persoonsgegevens (hierna: Wbp); III. de Bewerker persoonsgegevens verwerkt in opdracht van de Verantwoordelijke in het kader van de uitvoering van de Hoofdovereenkomst met als doel [doelstelling van de verwerking noemen] en met gebruikmaking van [middelen of systeem benoemen]; IV. deze bewerking [omschrijf soort persoonsgegevens] betreft en Bewerker deze gegevens [aangeven wat voor handelingen Bewerker met de gegevens verricht]; V. de Wbp aan de Verantwoordelijke de plicht oplegt om ervoor zorg te dragen dat de Bewerker voldoende waarborgen biedt ten aanzien van - technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, en - de melding van een beveiligingsinbreuk dan wel datalek die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens die door Bewerker worden verwerkt; VI. artikel 14, tweede lid van de Wbp de Verantwoordelijke de verplichting oplegt om hiertoe een overeenkomst te sluiten met de Bewerker; VII. namens Verwerker <naam> zal optreden als contactpersoon en namens Bewerker <naam>. en komen als volgt overeen: 1 Definities

2 1.1 In deze Bewerkersovereenkomst worden de begrippen gehanteerd zoals bedoeld in artikel 1 van de Wbp. In aanvulling daarop gelden de definities zoals in de artikelen hierna beschreven. 2 Reikwijdte en duur 2.1 Deze Bewerkersovereenkomst gaat in op het moment van ondertekening en de loopduur is gelijk aan de duur van de Hoofdovereenkomst, tenzij partijen anders overeenkomen. 2.2 Verplichtingen welke naar hun aard bestemd zijn om ook na ontbinding van deze Bewerkersovereenkomst voort te duren, blijven na beëindiging van de Bewerkersovereenkomst gelden. Tot deze bepalingen behoren onder meer de bepalingen betreffende geheimhouding, aansprakelijkheid en toepasselijk recht. 3 Verplichtingen Bewerker 3.1 De Bewerker neemt alle passende technische en organisatorische maatregelen om de persoonsgegevens welke worden verwerkt ten dienste van de Verantwoordelijke te beveiligen en beveiligd te houden tegen verlies of tegen enige vorm van onzorgvuldig, ondeskundig of ongeoorloofd gebruik, in ieder geval door inachtneming van de maatregelen zoals opgenomen in artikel 3.2. De te nemen maatregelen zullen steeds, met inachtneming van de stand der techniek en de kosten gemoeid met de implementatie en de uitvoering van de maatregelen, een passend beschermingsniveau verzekeren, met inachtneming van de risico s die het verwerken van de persoonsgegevens en de aard daarvan meebrengen. 3.2 Onverminderd hetgeen is gesteld in artikel 3.1, zal Bewerker in ieder geval voldoen aan de volgende eisen: [omschrijving van de door Bewerker te implementeren technische beveiligingsnormen en standaards van Verantwoordelijke en de te nemen organisatorische maatregelen. + bewaartermijnen] 3.3 De Bewerker heeft geen zeggenschap over de door de Verantwoordelijke ter beschikking gestelde persoonsgegevens. Zo neemt hij geen beslissingen over ontvangst en gebruik van de gegevens, de verstrekking aan derden en de duur van de opslag van gegevens. De zeggenschap over de persoonsgegevens komt nimmer bij de Bewerker te berusten. 3.4 De Bewerker verwerkt de persoonsgegevens zorgvuldig en in overeenstemming met de toepasselijke wet- en regelgeving betreffende de bescherming van persoonsgegevens, voor zover noodzakelijk ter uitvoering van zijn verplichtingen uit de Hoofdovereenkomst en deze Bewerkersovereenkomst. De Bewerker verwerkt persoonsgegevens slechts in opdracht en volgens instructies van de Verantwoordelijke en zal alle redelijke instructies van de Verantwoordelijke dienaangaande opvolgen, behoudens afwijkende wettelijke verplichtingen. 3.5 Bewerker zal de persoonsgegevens uitsluitend beschikbaar stellen aan die personen in dienst van, dan wel werkzaam ten behoeve van Bewerker, die noodzakelijkerwijs van de persoonsgegevens kennis dienen te nemen. 3.6 Bewerker zal er zorg voor dragen dat personen in dienst van, dan wel werkzaam ten behoeve van Bewerker zich houden aan de in deze Bewerkersovereenkomst en de daarbij behorende bijlage vastgelegde verplichtingen.

3 3.7 De Bewerker zal te allen tijde op eerste verzoek van de Verantwoordelijke alle van de Verantwoordelijke afkomstige persoonsgegevens met betrekking tot de Hoofdovereenkomst ter hand stellen. 3.8 De Bewerker zal alle van de Verantwoordelijke met betrekking tot de Hoofdovereenkomst verkregen persoonsgegevens, in welke vorm dan ook, op een nader te bepalen wijze [omschrijf dit nu reeds zo concreet mogelijk] vernietigen op uitdrukkelijk verzoek van de Verantwoordelijke hiertoe. Deze vernietiging moet binnen nader overeen te komen termijn uitgevoerd worden en hiervan maakt Bewerker een verslag. 3.9 De Bewerker stelt de Verantwoordelijke te allen tijde in staat om binnen de wettelijke termijnen te voldoen aan de verplichtingen op grond van de Wbp, meer in het bijzonder de rechten van degene op wie een persoonsgegeven betrekking heeft, zoals, maar niet beperkt tot een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens en het uitvoeren van een gehonoreerd aangetekend verzet. 4. Inschakeling derden 4.1 Bewerker is slechts gerechtigd de uitvoering van de werkzaamheden geheel of ten dele uit te besteden aan derden na voorafgaande schriftelijke toestemming van de Verantwoordelijke. 4.2 Verantwoordelijke kan aan de schriftelijke toestemming voorwaarden verbinden. 4.3 Bewerker mag in het kader van deze Bewerkersovereenkomst enkel gebruik maken van (de diensten) van een derde partij onder dezelfde contractuele bedingen als opgenomen in deze Bewerkersovereenkomst. 4.4 Bewerker blijft in deze gevallen te allen tijde aanspreekpunt en verantwoordelijk voor de naleving van de bepalingen uit deze Bewerkersovereenkomst. 5. Beveiligingsincidenten en datalekken 5.1 Indien Bewerker een beveiligingsinbreuk of datalek ontdekt, zal de Bewerker onverwijld maatregelen treffen om de nadelige gevolgen van de beveiligingsinbreuk of het datalek te herstellen dan wel zoveel mogelijk te voorkomen. 5.2 De Bewerker zal bij het ontdekken van beveiligingsinbreuken of datalekken deze onmiddellijk melden aan de Verantwoordelijke. Bewerker geeft daarbij aan wat de aard van de inbreuk of lek is, welke maatregelen hij heeft getroffen, zal treffen en voorstelt te treffen om de gevolgen van de inbreuk of lek te verhelpen of zoveel mogelijk te beperken. 5.3 De melding zoals bedoeld in art. 5.2 zal geschieden via de procedure voor het melden van datalekken zoals omschreven op De Bewerker houdt een overzicht bij van alle beveiligingsinbreuken of datalekken en overlegt deze aan Verantwoordelijke op verzoek van laatstgenoemde.

4 5.5 Bewerker zal aan Verantwoordelijke waar mogelijk medewerking verlenen bij het opstellen van een beschrijving van de geconstateerde beveiligingsinbreuken en datalekken en de vermoedelijke gevolgen daarvan voor de verwerking van persoonsgegevens ten behoeve van de meldplicht van Verantwoordelijke. 6 Geheimhoudingsplicht 6.1 Bewerker, personen in dienst van, dan wel werkzaam ten behoeve van de Bewerker zijn verplicht tot geheimhouding met betrekking tot de persoonsgegevens waarvan zij kennis kunnen nemen, voor zover de wet niet anders bepaalt. De medewerkers van de Bewerker tekenen hiertoe een geheimhoudingsverklaring. 6.2 Indien de Bewerker op grond van een wettelijke verplichting gegevens dient te verstrekken, zal de Bewerker de grondslag van het verzoek en de identiteit van de verzoeker verifiëren en zal de Bewerker de Verantwoordelijke onmiddellijk, voorafgaand aan de verstrekking, ter zake informeren voor zover dit wettelijk is toegestaan. 7 Controle nakoming 7.1 De Verantwoordelijke is te allen tijde gerechtigd de verwerking van persoonsgegevens en nakoming van deze overeenkomst te (doen) controleren. De Bewerker is verplicht de Verantwoordelijke of controlerende instantie in opdracht van Verantwoordelijke toe te laten en verplicht medewerking te verlenen zodat de controle daadwerkelijk uitgevoerd kan worden. De Verantwoordelijke, of de door de Verantwoordelijke ingeschakelde derde, is gehouden alle informatie betreffende deze controles vertrouwelijk te behandelen. 7.2 De Verantwoordelijke zal de in artikel 7.1 genoemde audit slechts (laten) uitvoeren na een voorafgaande schriftelijke melding aan de Bewerker. 7.3 Bewerker staat er voor in, de door Verantwoordelijke of ingeschakelde derde, aangegeven aanbevelingen ter verbetering binnen de daartoe door de Verantwoordelijke te bepalen termijn uit te voeren. 7.4 Bewerker rapporteert jaarlijks voor 1 januari over de opzet en werking van het stelsel van maatregelen en procedures, gericht op naleving van deze Bewerkersovereenkomst. 8 Wijziging overeenkomst 8.1 Wijziging van deze overeenkomst kan slechts schriftelijk plaatsvinden middels een door beide partijen geaccordeerd voorstel. 9 Aansprakelijkheid 9.1 Onverminderd hetgeen is gesteld in artikel 49, derde lid Wbp, is Bewerker is aansprakelijk voor alle schade, waaronder ook eventuele boetes vallen die de Verantwoordelijke krijgt opgelegd op grond van de Wbp, voortvloeiende uit het niet-nakomen van of in strijd handelen met de bij of krachtens de Wbp gegeven voorschriften en/of het niet-nakomen van of in strijd handelen met het in deze Bewerkersovereenkomst bepaalde, voor zover ontstaan door zijn werkzaamheid. Bewerker is tevens aansprakelijk voor alle schade voortvloeiende uit de door

5 zijn werkzaamheid ontstane inbreuken op de persoonlijke levenssfeer van betrokkenen. Voornoemde aansprakelijkheid geldt tot een maximumbedrag van miljoen euro per kalenderjaar. 10 Gevolgen beëindiging 10.1 Bewerker bewaart de persoonsgegevens niet langer dan zoals is weergegeven in artikel 3.2. Hierna worden de gegevens vernietigd door [aangeven hoe vernietigd wordt]. Gegevens worden nooit langer bewaard dan strikt noodzakelijk voor de verwerkingsdoeleinden Op verzoek van Verantwoordelijke zal Bewerker binnen redelijke termijn na het einde van de Overeenkomst een back-up van de persoonsgegevens verstrekken zoals zich op het systeem (onder beheer) van Bewerker bevinden in een alsdan leesbaar standaard formaat op een gangbaar medium. Een dergelijk verzoek dient voor het einde van de Overeenkomst te worden gedaan, tenzij dit redelijkerwijs niet van Verantwoordelijke kan worden verwacht, in welk geval het verzoek tot uiterlijk twee maanden na het einde van de Overeenkomst kan worden gedaan. 11 Toepasselijk recht en geschilbeslechting 11.1 Op deze overeenkomst en op alle geschillen die daaruit mogen voortvloeien of daarmee mogen samenhangen, is het Nederlands recht van toepassing Partijen zullen, indien sprake is van een geschil, trachten dit geschil bij te leggen door middel van (bestuurlijk) overleg, vóórdat zij zich wenden tot de rechter, spoedeisende gevallen daargelaten. Geschillen zullen in eerste aanleg met uitsluiting worden voorgelegd aan de rechtbank Midden-Nederland. Aldus overeengekomen en in tweevoud opgesteld en ondertekend, Plaats: Plaats: Datum: Datum: Verantwoordelijke, <Bewerker> <naam tekeningsbevoegde> <naam tekeningsbevoegde> Handtekening: Handtekening: Bijlage 1 : Bijlage 2 :