Beantwoord een AVG-vragenlijst voordat ze u bindt

De AVG-vragenlijst van een koper lijkt op een beveiligingsformulier, maar de antwoorden belanden in het contract dat regelt hoe u de persoonsgegevens van de koper verwerkt. Volgens de algemene verordening gegevensbescherming (AVG) van de EU mag een koper die als verwerkingsverantwoordelijke optreedt alleen een beroep doen op een verwerker die afdoende garanties biedt voor passende technische en organisatorische maatregelen, en met de vragenlijst gaat de koper na of u die biedt. Beantwoord elke terugkerende vraag vanuit één bewijsset met een eigenaar en een datum, gekoppeld aan de contractbepaling die het antwoord wordt, en zorg dat achter elke belofte die u ondertekent bewijs staat.

Waar een AVG-vragenlijst tussen uw teams vastloopt

De meeste AVG-leveranciersvragenlijsten zien er vertrouwd uit, dus behandelt u ze al snel zoals elke andere security questionnaire. Het loopt mis wanneer antwoorden die het securityteam, de juridische dienst en de functionaris voor gegevensbescherming (DPO) elk vanuit hun eigen input opstellen, contractbepalingen worden zonder actueel bewijs erachter.

Stel dat een koper die uw gehoste payrolldienst verlengt, zijn vragenlijst over gegevensbescherming als spreadsheet stuurt. U verdeelt ze in drie delen. Het securityteam beantwoordt de vragen over maatregelen met een verwijzing naar het ISO 27001-certificaat van de groep. De juridische dienst beantwoordt de vraag over de datalekmelding met een formulering uit de overeenkomst van een andere koper. De DPO beschrijft de verwerkingslocaties op basis van de privacyverklaring, en het tabblad met subverwerkers neemt de lijst over die bij de vorige verlenging werd meegestuurd.

Elk antwoord leest op zich goed. Samen binden ze u aan het toepassingsgebied van een certificaat, een meldingstermijn, een reeks locaties en een lijst van subverwerkers die niemand heeft getoetst aan de dienst zoals die vandaag draait. Zodra het juridische team van de koper die antwoorden in het contract opneemt, komt die kloof voor uw rekening, en als bidmanager staat u in voor wat de response beloofde.

Volgens Advies 22/2024 van het Europees Comité voor gegevensbescherming (EDPB) over verwerkers kunnen contractbepalingen op zich niet aantonen dat de garanties erachter ook echt aanwezig zijn.

Sorteer elke vraag op de contractbepaling waarin het antwoord belandt

Voordat iemand begint te schrijven, koppelt u elke vraag aan de bepaling van de verwerkersovereenkomst waarin het antwoord belandt, want van die bepaling hangt af wie het antwoord goedkeurt. De verwerkersovereenkomst (DPA) is het bindende contract dat artikel 28 van de AVG tussen de koper en u als verwerker vereist. Ze omschrijft het onderwerp, de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de rechten en verplichtingen van de koper. De vragen die een AVG-leveranciersvragenlijst steeds weer stelt, sluiten aan op die bepalingen.

Een antwoord dat u tot handelen verplicht - melden, wissen, toestemming geven, uw systemen openstellen voor een audit - gaat naar de juridische dienst voordat het naar de koper gaat. Elk zo'n antwoord is een belofte die de koper in de overeenkomst kan opnemen.

Vragen die verder gaan dan wat de dienst nodig heeft

Antwoord voor de dienst die u in de offerte aanbiedt, en zeg duidelijk waar een vraag verder reikt dan wat die dienst verwerkt. Volgens het advies van het EDPB hangt de mate waarin een koper controleert af van de technische en organisatorische maatregelen in kwestie, die op hun beurt uit het risico van de verwerking volgen. Een afgebakend antwoord sluit dus aan bij wat de koper moet controleren. Gaat een vraag over gegevens die de dienst nooit ontvangt, vermeld dan dat de dienst die gegevens niet verwerkt, beschrijf wat hij wel verwerkt en bied het bewijs aan dat daarbij hoort. “Ja” aanvinken om het formulier netjes te houden is riskanter, want dat ja kan een contractbepaling worden.

Beschrijf de gegevens en waar ze worden verwerkt

Beschrijf de persoonsgegevens en elke verwerkingslocatie zoals de dienst in de praktijk draait, want de verwerkersovereenkomst verplicht u om uitsluitend te verwerken op basis van schriftelijke instructies van de koper, ook voor doorgiften naar een derde land. Een antwoord dat minder locaties noemt dan u gebruikt, legt instructies vast die de dienst nu al overtreedt.

In het payrollvoorbeeld noemde de privacyverklaring wel de hostingregio, maar niet waar supportmedewerkers dossiers openen of waar de back-ups staan. Baseer het antwoord daarom op de dienst zelf: vermeld de categorieën persoonsgegevens en betrokkenen, de systemen waarin de gegevens staan en elke plek waar ze worden opgeslagen of van waaruit ze worden geraadpleegd. Ligt een van die plekken in een derde land, zeg dat dan en verwijs naar de doorgiftevoorwaarden die de koper in zijn instructies zal opnemen, in plaats van de koper dat later zelf te laten ontdekken.

Dezelfde beschrijving dient ook als basis voor de gegevensbeschermingseffectbeoordeling van de koper: zijn eigen inschatting van de risico's die de verwerking meebrengt voor de mensen van wie de gegevens zijn. De AVG verplicht de verwerker onder meer om de koper bij die beoordeling bijstand te verlenen. Geef dus details waarmee de koper aan de slag kan, geen samenvatting van uw privacyverklaring.

Beantwoord beveiligingsvragen binnen het toepassingsgebied van het certificaat

Een certificaat of rapport geldt alleen voor wat het dekt. Controleer of de dienst in de offerte daaronder valt voordat u ernaar verwijst, en beantwoord elke leemte schriftelijk.

Wat een ISO 27001-certificaat dekt

Voor certificering volgens ISO/IEC 27001 moet een organisatie het toepassingsgebied van haar managementsysteem voor informatiebeveiliging vastleggen, zoals de National Standards Authority of Ireland uitlegt. Lees de beschrijving van dat toepassingsgebied voordat u naar het certificaat verwijst, en controleer of ze de dienst, de systemen en de teams dekt die de gegevens van de koper verwerken. In het payrollvoorbeeld is het groepscertificaat beperkt tot de hostingactiviteiten: het beantwoordt de infrastructuurvragen, maar voor de toegangscontroles van de applicatie is een schriftelijk antwoord nodig.

Wat een SOC 2-rapport dekt

Volgens het AICPA kan een SOC 2-onderzoek betrekking hebben op beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy, en het rapport vermeldt welke daarvan binnen het toepassingsgebied vallen. Controleer die domeinen en het systeem dat het rapport beschrijft. Een rapport dat alleen over beveiliging gaat, behandelt geen privacycriteria, dus de privacyvragen hebben nog altijd een eigen antwoord nodig.

Noem geen van beide een AVG-certificering. Verwijs naar elk voor wat het dekt en beantwoord de vragen die het openlaat, zodat uw antwoorden standhouden bij de beoordeling door de koper.

Noem elke subverwerker en houd de lijst actueel

Volgens de AVG mag een verwerker geen andere verwerker in dienst nemen zonder voorafgaande specifieke of algemene schriftelijke toestemming van de koper. Met elke subverwerker op uw lijst vraagt u de koper om toestemming, dus de lijst moet volledig zijn wanneer u ze verstuurt.

Het advies van het EDPB gaat verder. Het comité verwacht dat de verwerker proactief de naam, het adres en de contactpersoon van elke subverwerker bezorgt, met een beschrijving van de verwerking die elk ervan uitvoert, en die informatie te allen tijde actueel houdt. Zo wordt de lijst een bewijsstuk dat u onderhoudt, geen tabblad dat u telkens overneemt.

Wijs één eigenaar aan die de lijst bijwerkt telkens als er een dienstverlener bijkomt, of als een dienstverlener andere gegevens of op een andere plek gaat verwerken. In het payrollvoorbeeld ontbrak op het gekopieerde tabblad een supportdienstverlener die sinds de vorige verlenging was toegevoegd, en u blijft aansprakelijk voor de prestaties van die dienstverlener. Door de lijst één keer te publiceren hoeft u minder vaak hetzelfde antwoord te geven, op voorwaarde dat de eigenaar ze actueel houdt. Dat is de afweging achter de vraag of een gepubliceerd trustcentrum een vragenlijst kan vervangen.

Beloof de datalekmelding die het contract vastlegt

De AVG verplicht een verwerker om de koper zonder onredelijke vertraging te informeren zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens, en noemt daarbij geen aantal uren. Elk aantal uren in de vragenlijst komt uit de verwerkersovereenkomst van de koper, of uit de overeenkomst die hij u wil laten ondertekenen.

Dat verandert hoe u antwoordt. Beschrijf het proces dat u echt volgt: hoe een incident wordt gedetecteerd, wie beslist of er persoonsgegevens bij betrokken zijn, wie de koper verwittigt en via welk kanaal. Een koper kan dat aftoetsen aan zijn eigen behoeften. Een kaal “ja” op een opgegeven termijn zegt hem niets over hoe u die termijn zou halen, en bindt u aan een termijn waarvoor uw incidentproces misschien niet gebouwd is.

In het payrollvoorbeeld beloofde de formulering die de juridische dienst had overgenomen de termijn van een andere koper. Wil een vragenlijst dat u zich verbindt tot een aantal uren dat uw standaardverwerkersovereenkomst niet vastlegt, antwoord dan met de toezegging die u wel doet en leg het verzoek als contractpunt voor aan de juridische dienst.

Houd één bewijsset actueel voor al uw kopers

De plicht van de koper om met verwerkers te werken die afdoende garanties bieden, geldt doorlopend, en volgens het advies van het EDPB hoort hij die garanties met passende tussenpozen opnieuw te verifiëren. Daarom komen dezelfde vragen terug bij een verlenging en bij elke periodieke beoordeling, en moet het bewijs erachter ook tussen twee rondes actueel blijven.

Beantwoord elke AVG-vragenlijst vanuit één bewijsset per dienst. Die bevat de beschrijving van de gegevens en locaties, het ISO 27001-certificaat en het SOC 2-rapport met hun toepassingsgebied, de lijst van subverwerkers, de procedure voor datalekmeldingen, de procedure voor wissen en terugbezorgen, en uw standaardverwerkersovereenkomst. Geef elk bewijsstuk een eigenaar, een herzieningsdatum en de bepaling van de verwerkersovereenkomst waarin het belandt, zodat u bij een wijziging meteen ziet welke antwoorden ze raakt.

Hergebruik betekent dan dat u de feiten uit de bewijsset haalt en alleen de formulering aanpast aan het formaat van elke koper, of dat nu een spreadsheet, een portaalformulier of een Word-document is. Antwoorden hergebruiken in verschillende formaten werkt alleen zolang het bewijsstuk erachter geldig is. Een antwoord dat u uit het bestand van de vorige koper kopieert, neemt zijn ouderdom mee.

Hoe SEQUESTO een AVG-vragenlijst afhandelt

In het agentic operating system (aOS) van SEQUESTO blijft de payrollvragenlijst in de eigen spreadsheet van de koper. Agent Force, de gespecialiseerde agents in het aOS, zet ze om in een lijst met vragen, en James, die het werk orkestreert, stelt elk antwoord op vanuit de Knowledge Hub. Elk bewijsstuk daarin heeft een eigenaar, een herzieningscyclus en een vervaldatum, en verlopen materiaal, ook een verlopen lijst van subverwerkers, wordt gemarkeerd voordat het in een concept belandt.

Het securityteam, de juridische dienst en de DPO putten nu uit één set bronnen in plaats van drie. Elk antwoord verwijst naar het beleidsdocument en de passage waarop het steunt, met het bronfragment ernaast, en het SOC 2-rapport kan worden toegevoegd aan de antwoorden die het onderbouwt. Waar de Knowledge Hub niets passends bevat, toont een lage betrouwbaarheidsscore de leemte voordat iemand ze met een belofte opvult.

Elke vraag kan een eigen reviewer en goedkeurder krijgen, zodat de antwoorden over datalekmelding, subverwerkers en het wissen van gegevens naar de juridische dienst gaan en de antwoorden over maatregelen naar het securityteam. Het team ziet wat James heeft opgesteld en aanvaardt het, past het aan of wijst het af. De bidmanager keurt goed vóór de export, die de oorspronkelijke structuur van de spreadsheet behoudt, zodat iemand van het team ze kan indienen.

Wanneer een beleidsdocument wordt bijgewerkt, markeert het systeem elk antwoord dat erop steunt voor review, en elk antwoord bewaart de versie van het beleidsdocument waaruit het komt. Elke actie wordt gelogd met uitvoerder, tijdstip en item, zodat het team bij de volgende beoordeling door de koper kan tonen welk bewijs achter elk antwoord stond en wie het heeft goedgekeurd.

Checklist voor elke AVG-vragenlijst

Doorloop deze controles voordat de bidmanager goedkeurt.

• Elke vraag is gekoppeld aan de bepaling van de verwerkersovereenkomst waarin het antwoord belandt en aan de persoon die het goedkeurt.
• Vragen die verder gaan dan de dienst, zijn beantwoord voor wat de dienst verwerkt, met de reden erbij.
• De gegevenscategorieën en verwerkingslocaties kloppen met de dienst zoals die draait, inclusief supporttoegang en back-ups.
• Elke doorgifte naar een derde land verwijst naar de doorgiftevoorwaarden van de koper.
• Elk vermeld certificaat of rapport dekt de dienst in de offerte, en elke leemte heeft een schriftelijk antwoord.
• De lijst van subverwerkers vermeldt van elke subverwerker de naam, het adres, de contactpersoon en de verwerking, en de eigenaar heeft bevestigd dat ze actueel is.
• Het antwoord over de datalekmelding stemt overeen met de verwerkersovereenkomst die u zult ondertekenen en noemt wie de koper verwittigt.
• Elk bewijsstuk heeft een eigenaar en een herzieningsdatum die niet verstreken is.
• De juridische dienst heeft elk antwoord goedgekeurd dat u tot handelen verplicht.