“100% Europese” migratie. Due diligence: de DPA vermeldt een Franse host – en in bijlage objectopslag in de Verenigde Staten, wereldwijd CDN, ticketondersteuning in India. Niemand had de onderaannemerupdate van vorig jaar herlezen. Het interne register vertoonde nog steeds een puur Europese zender.
De AVG vereist dat de onderaannemer – uw host – strikt toezicht houdt op subverwerkers. U moet in staat zijn om te weten wie tussenbeide komt, waarop, en een verandering aan te vechten die uw beschermingsniveau verlaagt. Dit is geen optionele wettigheid voor gevoelige projecten: het is de voorwaarde voor het uitleggen van uw verwerkingsketen aan een auditor of een zakelijke klant.
Clausules die vereist zijn in de DPA
Eis eerst een initiële lijst met de namen, landen, het doel en de betrokken gegevens – en niet de bewoordingen van “standaard dienstverleners in de sector”. Voeg voorafgaande kennisgeving toe vóór elke nieuwe onderaannemer of wijziging van land van verwerking. Zorg voor een recht van bezwaar met de tijd om te weigeren, plus een alternatief of beëindiging zonder boete in geval van legitieme onenigheid.
flow-down legt dezelfde AVG-verplichtingen op in cascade tot aan de laatste link. Ten slotte maakt een audit-mechanisme – toegang tot de noodzakelijke informatie of rapporten van derden – het mogelijk om in het veld te verifiëren of de contractuele belofte wordt nagekomen.
| Contractuele schending | Gevolg | Vereiste |
|---|---|---|
| Geen lijst | Dodehoekregister | Bijlage actueel gehouden |
| Geen meldingen | Late ontdekking | E-mail plus dertig dagen |
| Bezwaar onmogelijk | Lockdownrisico | Beëindiging wegens dringende reden |
Het ondertekenen van een DPA zonder onderaannemersbijlage betekent het accepteren van een black box.
Dagelijks gebruik
Abonneer u op waarschuwingen van het hostingvertrouwencentrum. Koppel elke onderaannemer aan uw verwerkingsregister. Kruis locatie van back-ups en Cloud Act in het contract aan als er een Amerikaanse actor in de keten verschijnt.
Vergelijk de transparantie van providers via de overzicht vóór heronderhandeling of migratie.
Wanneer opnieuw onderhandelen of migreren
Als de host voorafgaande kennisgeving weigert, zonder voorafgaande kennisgeving van belangrijke onderaannemer verandert, of een Amerikaanse cloud toevoegt zonder gedocumenteerd overdrachtsmechanisme, wordt heronderhandeling – of migratie – een prioriteit. Wachten tot de klantaudit de echte keten ontdekt, is duurder dan vooraf een sterke clausule hebben.
De top: de “EU”-stapel die multi-jurisdictioneel wordt
Beslis en ga vooruit zonder blinde vlek
Lees deze week uw DPA en de bijlage met de onderaannemers nog eens door, noteer de afwijkingen van uw interne register en onderhandel vervolgens opnieuw over de melding en het recht van bezwaar indien nodig. Gebruik de vergelijker om de transparantie van de spelers te vergelijken en raadpleeg Audit a hosting provider om uw volgende jaaroverzicht te structureren.
Veelgestelde vragen
Wat is een subverwerker?
Een derde partij van de host die uw gegevens verwerkt: datacenter, CDN, ondersteuning, back-up. Het moet worden gedocumenteerd in de DPA en uw register.
Moet de host autorisatie aanvragen?
Algemene of specifieke toestemming volgens de DPA. Vereist voorafgaande kennisgeving en het recht om bezwaar te maken met een gedocumenteerd alternatief.
Waar vindt u de huidige lijst?
Bijlage DPA, vertrouwenscentrum of dienstverlenerregister. Werk uw register bij zodra er wijzigingen optreden.
Wat te doen als een onderaannemer zich buiten de EU bevindt?
Controleer VCA, geschiktheid of overdrachtsanalyse. Maak bezwaar als het risico onverenigbaar is met uw project.
Houd het recht om dit te weten voordat een nieuw logo in het kanaal verschijnt, niet na de verrassingsaudit.