AVG en de verwerkersovereenkomst: ook verplicht als zzp’er

Ja. De Algemene Verordening Gegevensbescherming (AVG/GDPR) maakt geen onderscheid naar bedrijfsgrootte: zij geldt voor alle organisaties, bedrijven, verenigingen en stichtingen die persoonsgegevens verwerken — dus ook voor zzp'ers en freelancers, ongeacht of je met of zonder personeel werkt.

Een verwerkersovereenkomst is verplicht zodra een externe partij persoonsgegevens namens jou verwerkt, of jij dat namens een opdrachtgever doet. Denk aan veelvoorkomende praktijksituaties:

• Je verstuurt nieuwsbrieven aan klanten via een e-mailmarketingtool.
• Je boekhouder of accountant heeft toegang tot facturen met klantgegevens.
• Je slaat klantgegevens op in een cloud-tool of CRM van een derde partij.
• Je verwerkt als freelancer klantgegevens namens een opdrachtgever, bijvoorbeeld bij marketing- of supportwerkzaamheden.

In al deze gevallen ben jij (of je opdrachtgever) de verwerkingsverantwoordelijke en de softwareleverancier of onderaannemer de verwerker — en die relatie moet contractueel zijn vastgelegd.

De Autoriteit Persoonsgegevens (AP) kan voor overtredingen van artikel 28 AVG (de verplichting tot een verwerkersovereenkomst) boetes opleggen tot €10 miljoen, of 2% van de wereldwijde jaaromzet als dat bedrag hoger uitvalt. Voor de zwaarste categorie AVG-overtredingen (zoals de grondbeginselen van gegevensverwerking) ligt dit maximum nog hoger. Voor de meeste zzp'ers is de kans op een miljoenenboete klein, maar het risico op aansprakelijkheid richting je opdrachtgever of klant bij een datalek blijft reëel.

Begin met in kaart brengen welke tools en onderaannemers namens jou persoonsgegevens verwerken, en controleer of er al een verwerkersovereenkomst ligt — grote softwareleveranciers bieden deze vaak standaard aan via hun voorwaarden. Werk je zelf als verwerker voor een opdrachtgever, zorg dan dat dit onderdeel expliciet in je opdrachtovereenkomst is geregeld, inclusief afspraken over beveiliging, subverwerkers en meldplicht bij datalekken.