Klantgegevens delen met partners

Beschrijf de overdracht op het niveau van een werkopdracht

Schrijf op wie welke informatie ontvangt, waarvoor die partij haar gebruikt en wanneer de informatie beschikbaar moet zijn. Het etiket samenwerking zegt hierover vrijwel niets. Een vervoerder die een afleveradres nodig heeft, een marketingpartner die nieuwe klanten zoekt en een softwareleverancier die gegevens opslaat, verrichten verschillende handelingen. Zij kunnen daarom niet zonder verdere beoordeling onder één algemene afspraak vallen.

Verstrekking vraagt een passende grondslag en naleving van de overige AVG-verplichtingen. Soms is delen noodzakelijk om een overeenkomst met de klant uit te voeren. Soms moet een andere grondslag worden onderzocht. Toestemming is niet voor elke verstrekking verplicht, maar een algemene vermelding dat gegevens met partners worden gedeeld creëert evenmin zelfstandig toestemming of een andere rechtvaardiging.

Bepaal wie het gebruik van de gegevens beslist

Een ontvanger die uitsluitend volgens uw instructies persoonsgegevens verwerkt, kan verwerker zijn. Bepaalt de ontvanger zelf waarom en op welke essentiële wijze hij gegevens gebruikt, dan kan hij zelfstandig verwerkingsverantwoordelijke zijn. Bepalen partijen dit samen, onderzoek dan gezamenlijke verwerkingsverantwoordelijkheid. De feitelijke uitvoering is bepalend; een overeenkomst kan een zelfstandige beslisser niet door alleen een titel tot verwerker maken.

Kies vervolgens afspraken die bij de vastgestelde rollen horen. Bij een verwerker zijn de voorwaarden van artikel 28 AVG relevant. Bij zelfstandige verantwoordelijken moet onder meer duidelijk zijn waarvoor de ontvanger de gegevens mag gebruiken en hoe vragen of fouten worden behandeld. Een verwerkersovereenkomst is op zichzelf geen grondslag voor de verstrekking van klantgegevens.

Geef de klant bruikbare informatie over de ontvanger

Stem de informatie aan de klant af op de daadwerkelijke verstrekking. Maak het doel en de ontvangers of relevante categorieën duidelijk volgens de toepasselijke informatieplicht. Een partner die gegevens niet rechtstreeks van de klant krijgt, moet zijn eigen informatieverplichtingen eveneens beoordelen. Verstop een nieuw marketingdoel niet in een technische omschrijving van de levering.

Bij toestemming moet voldoende duidelijk zijn waarvoor de keuze geldt en wat daarvan de gevolgen zijn. Bij een beroep op gerechtvaardigd belang is een eigen onderbouwde afweging nodig. Verander de gekozen grondslag niet achteraf alleen omdat een klant bezwaren uit. Onderzoek het concrete bezwaar en de consequenties voor de voorgenomen gegevensstroom voordat de overdracht verdergaat.

Beperk toegang ook nadat de eerste overdracht is gelukt

Controleer het adres of account van de ontvanger en gebruik een beveiligde overdrachtsroute die past bij de informatie. Een gedeelde map moet niet automatisch toegang geven tot eerdere opdrachten. Maak duidelijk wie nieuwe medewerkers van de partner mag toevoegen en hoe toegang eindigt wanneer een opdracht of samenwerking stopt. Controleer ook downloads en lokale kopieën waarover afspraken nodig zijn.

Leg vast hoe partijen onjuiste contactgegevens corrigeren, een incident melden en bewaartermijnen uitvoeren. Onderzoek daarnaast waar de leverancier en zijn ondersteuners gegevens verwerken; doorgifte buiten de EER kan aanvullende voorwaarden vragen. Plan een controle aan het einde van de keukenmontage: welke stukken blijven aantoonbaar nodig, wie bewaart ze en welke werkbestanden worden verwijderd? Daarmee wordt gegevensdeling een begrensd onderdeel van de opdracht in plaats van een blijvende toegang zonder eigenaar.

Gebruik de uitkomsten van die controle bij een volgende montage, zodat dezelfde onnodige dossierbijlagen niet telkens opnieuw via handmatige e-mails worden verspreid.