Overeenkomst inzake gegevensverwerking (DPA)
is de verplichte overeenkomst (Artikel 28 van de AVG) tussen een verwerkingsverantwoordelijke en elke verwerker die namens hem persoonsgegevens verwerkt — salarisadministratiebureaus, EOR’s, platforms voor arbeidsvoorwaarden. Hierin worden instructies, beveiliging, onderverwerking, melding van inbreuken, auditrechten en verwijdering na beëindiging van de dienstverlening vastgelegd.
Een DPA van een leverancier snel doorlezen
- Instructies en toepassingsgebied: verwerking uitsluitend op basis van gedocumenteerde instructies; de genoemde doeleinden komen overeen met de dienst.
- Subverwerkers: actuele lijst, kennisgeving van wijzigingen en bezwaarprocedure — loonverwerkingsketens maken altijd gebruik van subverwerkers.
- Overdrachten: genoemde mechanismen (toereikendheid, SCC’s) met zichtbaarheid per land.
- Beveiliging en inbreuken: concrete maatregelen en meldingstermijnen waarmee u aan uw eigen 72-uursverplichting kunt voldoen.
- Beëindiging: teruggave of verwijdering met certificering — de clausule die iedereen nodig heeft, maar die niemand controleert totdat een leverancier wordt uitgeschakeld.
Veelgestelde vragen
Hebben we een DPA nodig bij een EOR?
Ja, voor de verwerking die de EOR op uw instructies uitvoert — en let op het nuanceverschil: voor zijn eigen werkgeversverplichtingen (loonadministratie, sociale verzekeringen) treedt de EOR zelf op als verwerkingsverantwoordelijke. In goede EOR-contracten worden de rollen expliciet gescheiden; ontbrekende gegevensverwerkingsovereenkomsten (DPA’s) zijn een veelvoorkomende bevinding bij audits van leveranciers.
Wie ondertekent DPA’s binnen een groep?
Elke controller die de processor inschakelt — in de praktijk opgelost door een groepsmaster-DPA met toetredingsmogelijkheid voor aangesloten partijen. Het overzicht van wie de gegevens van welke werknemers beheert (thuiswerkgever versus gastorganisatie versus gedeeld) moet aanwezig zijn voordat het ondertekeningsblok wordt opgesteld.