1.5 — Artikel 14 Wbp: beveiliging bij verwerking door een bewerker CBP richtsnoeren: beveiliging van persoonsgegevens
Artikel 14 Wbp: beveiliging bij verwerking door een bewerker
Bij verwerking door een bewerker zorgt de verantwoordelijke voor voldoende waarborgen en ziet deze toe op naleving:
“Indien de verantwoordelijke persoonsgegevens te zijnen behoeve laat verwerken door een bewerker, draagt hij zorg dat deze voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen. De verantwoordelijke ziet toe op de naleving van die maatregelen.”
32 Artikel 14 lid 1 Wbp.
“De verantwoordelijke draagt zorg dat de bewerker
a. de persoonsgegevens verwerkt in overeenstemming met artikel 12, eerste lid en
b. de verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.”
33 Artikel 14 lid 3 Wbp.
“De strekking van de bepaling is te voorkomen dat bij eventuele tekortkomingen in de gegevensverwerking, verantwoordelijke en bewerker zich wat betreft hun verantwoordelijkheden achter elkaar zouden kunnen verschuilen. De verplichtingen moeten over en weer duidelijk zijn neergelegd. Op de verantwoordelijke rust een zorgplicht daarvoor zorg te dragen. Niet alleen dient hij civielrechtelijk de bewerker voldoende te hebben duidelijk gemaakt hoe met de persoonsgegevens wordt omgegaan, tevens dient hij toe te zien op de feitelijke naleving van de aldus gecreëerde verplichtingen.”
34 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 99.
De te treffen beveiligingsmaatregelen worden vastgelegd in de bewerkersovereenkomst:
“De uitvoering van verwerkingen door een bewerker wordt geregeld in een overeenkomst of krachtens een andere rechtshandeling waardoor een verbintenis ontstaat tussen de bewerker en de verantwoordelijke.”
35 Artikel 14 lid 2 Wbp.
“Met het oog op het bewaren van het bewijs worden de onderdelen van de overeenkomst of de rechtshandeling die betrekking hebben op de bescherming van persoonsgegevens, alsmede de beveiligingsmaatregelen als bedoeld in artikel 13 schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.”
36 Artikel 14 lid 5 Wbp.
“De ratio is dat de betrokkene als een soort impliciete derde belanghebbende, in geval jegens hem onrechtmatig wordt gehandeld, over de nodige bewijsstukken kan beschikken wanneer deze overeenkomstig de regels van het procesrecht een rol gaan spelen. Klassiek zou daartoe een schriftelijke neerslag van de afspraken, van belang kunnen zijn. In de toekomstige informatiemaatschappij zijn ook andere, gelijkwaardige vormen van gegevensopslag denkbaar [...].”
37 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 100.
De bewerker kan bij de verwerking van persoonsgegevens een subbewerker inschakelen. Dit gebeurt uitsluitend met uitdrukkelijke instemming van de verantwoordelijke:
“Uit de verantwoordelijkheid van de opdrachtgever – die in de zin van de wet geldt als verantwoordelijke voor de gegevensverwerking – vloeit voort dat hij uitdrukkelijk heeft ingestemd met het subbewerkerschap. Indien de verantwoordelijke daarvoor in zijn overeenkomst met de bewerker uitdrukkelijk ruimte heeft gegeven, kan de bewerker – met behoud van zijn volle aansprakelijkheid voor de naleving van zijn contract met de verantwoordelijke – delen van de verwerking uitbesteden aan ‘subbewerkers’.”
38 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 63.
De door de subbewerker te treffen beveiligingsmaatregelen worden vastgelegd in de overeenkomst tussen de bewerker en de subbewerker en de verantwoordelijke wordt in staat gesteld om toe te zien op naleving:
“De bewerker dient [...] contractueel verzekerd te hebben dat de subbewerker zich eveneens richt naar de instructies van de verantwoordelijke, tot geheimhouding verplicht is en de nodige beveiligingsmaatregelen ten opzichte van de gegevensverwerking neemt. De verantwoordelijke dient hiervan wel op de hoogte te worden gesteld opdat deze in staat is toe te zien op de naleving van zijn afspraken met de bewerker.”
39 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 63.
- Regeling
- CBP richtsnoeren: beveiliging van persoonsgegevens
- Soort
- ZBO-regeling
- Geldend vanaf
- 01-03-2013
- BWB-id
- BWBR0033572
- Versie
- 2013-03-01_0