Een leverancier stuurt een verwerkersovereenkomst mee en noemt zijn AI-dienst daarmee klaar voor cliëntdossiers. Maar welke verwerking dekt dat document? Alleen het maken van een samenvatting, ook het bewaren van de invoer, of daarnaast hergebruik voor andere doeleinden?

Een verwerkersovereenkomst is nodig wanneer u een partij als verwerker inschakelt om namens u persoonsgegevens te verwerken. U moet dus kunnen aanwijzen welke rol uw kantoor heeft en wat de andere partij voor u gaat doen. Pas daarna kunt u beoordelen of de afspraken passen bij de voorgenomen inzet.

De rol volgt uit de verwerking

Volgens de Data Protection Commission bepaalt de verwerkingsverantwoordelijke het doel en de middelen van de verwerking. Een verwerker verwerkt persoonsgegevens namens die verantwoordelijke, op diens gedocumenteerde instructies. De feitelijke verhouding moet per geval worden beoordeeld.

Dat maakt een functienaam of contracttitel onvoldoende. Een fiscaal kantoor is niet voor al zijn werkzaamheden automatisch verwerker, alleen omdat een cliënt de stukken aanlevert. Evenmin is iedere leverancier automatisch verwerker voor alles wat hij met gegevens doet. Breng de afzonderlijke handelingen en de partijen die daarover beslissen in beeld.

Maak daarbij de keten zichtbaar. Als uw kantoor voor een bepaalde handeling zelf als verwerker optreedt, kan het inschakelen van een andere partij ook vragen over subverwerking oproepen. Het etiket AI verandert die rolverdeling niet. Een modelnaam vertelt u weinig over de opdracht die in uw relatie met de cliënt is afgesproken.

Omschrijf wat de leverancier voor u doet

Neem een volledig fictief kantoor dat notities voor een cliëntgesprek wil laten samenvatten. De toepassing krijgt een geselecteerde tekst en levert een concept terug. Beschrijf die handeling eerst zonder leveranciersnamen: welke informatie gaat erin, voor welk werk wordt het resultaat gebruikt en wie bepaalt de grenzen?

Voeg vervolgens de concrete dienst toe. Vraag welke partij de invoer ontvangt, welke gegevens in registraties terechtkomen en welke instellingen voor de gekozen zakelijke omgeving gelden. Antwoorden voor een andere versie of een ander abonnement vullen uw eigen beschrijving niet in.

Stel dat de leverancier daarnaast gebruik voor eigen modelverbetering wil toestaan. Dat is reden om de rol en de rechtmatigheid voor dat afzonderlijke gebruik opnieuw te beoordelen. U kunt die vraag niet afdoen met de mededeling dat er ergens een verwerkersovereenkomst is getekend. Maak duidelijk welke handeling u beoordeelt en welke nog buiten de opdracht valt.

Scheid de opdracht van het kantoor, de verwerking namens het kantoor en eventueel ander gebruik door de leverancier
Begin met de handeling en de betrokken rollen. Vul de contractvorm daarna in.

Maak van standaardvoorwaarden een concrete afspraak

Wanneer een verantwoordelijke een verwerker inschakelt, is een bindende overeenkomst nodig. De uitleg van de Data Protection Commission over artikel 28 AVG benoemt onder meer het onderwerp, de duur, de aard en het doel van de verwerking, de soorten persoonsgegevens en de betrokken personen.

Een bijlage waarin alleen dienstverlening staat, helpt de beoordelaar van uw fictieve samenvattingstaak nauwelijks. Kan een collega uit de afspraken afleiden of volledige dossiers mogen worden aangeleverd of uitsluitend geselecteerde passages? Staat de afbakening van de opdracht in het document waarnaar de leverancier daadwerkelijk verwijst?

Leg ontbrekende informatie als gerichte vraag terug. Bijvoorbeeld welke registratie bij de gekozen handeling hoort en hoe de leverancier uw instructie daar uitvoert. Dat is uw praktische controle op de aansluiting tussen tekst en gebruik. Het ondertekenen van een document vervangt de inhoudelijke beoordeling van die aansluiting niet.

Vraag door over andere partijen

De contractuele keten kan verder lopen dan de leverancier met wie uw kantoor contact heeft. De DPC beschrijft dat subverwerkers onder de daarvoor geldende voorwaarden worden ingeschakeld, met voorafgaande specifieke of algemene schriftelijke toestemming. Bij algemene toestemming moet de verantwoordelijke vooraf bezwaar kunnen maken tegen de inzet van een individuele subverwerker.

Vraag daarom welke partijen bij de afgebakende taak betrokken zijn en hoe veranderingen worden gemeld. Een actuele lijst is een begin. Voor uw beoordeling wilt u ook weten welke functie een partij in deze specifieke verwerking heeft. Een lijst zonder verband met de dienst laat nog veel uitzoekwerk bij uw kantoor liggen.

Maak van een wijzigingsbericht een werkbare handeling. Wie ontvangt het, wie leest wat er verandert en waar komt de beoordeling terecht? Zo voorkomt u dat een contractueel bericht alleen in een algemene mailbox belandt. Of de voorgestelde inzet aanvaardbaar is, blijft een beoordeling van de concrete omstandigheden.

Verbind een leverancierswijziging aan een ontvanger, een inhoudelijke beoordeling en een vastgelegde beslissing
Een ontvangen wijzigingsbericht is nog geen uitgevoerde beoordeling.

Houd de uitvoering naast het contract

Laat de betrokken medewerker de fictieve samenvattingstaak uitvoeren met verzonnen stukken. Leg de gekozen omgeving en instellingen naast de beoordeelde opdracht. Een test kan een afwijking zichtbaar maken; één geslaagde proef bewijst geen volledige naleving van de AVG.

Bewaar bij de beslissing welke stukken en instellingen zijn beoordeeld en welke vragen nog openstaan. Voor de bredere zeggenschap over gegevens verwijst het artikel over datasoevereiniteit voor fiscalisten naar de organisatorische keuzes. Hier gaat het om de precieze opdracht aan de andere partij.

Als de leverancier niet kan uitleggen hoe die opdracht wordt uitgevoerd, is dat een inhoudelijke ontbrekende schakel. Los die op voordat een contracttitel het vertrouwen moet dragen dat de feitelijke beschrijving nog niet geeft.

Bronnen

Coverfoto: Mediamodifier op Unsplash. Diagrammen: eigen illustraties van FactBase.

AI-leveranciersVerwerkersovereenkomstCliëntgegevens