Demo-omgevingSynthetisch testdossier. Uploaden, opstellen en beslissen worden hier niet opgeslagen en er gaat niets naar een taalmodel.Meedoen aan de pilotDemo verlaten
Concept. De beoordeling loopt nog: 57 van 57 signaleringen staan open. Verder beoordelen. Zodra alles beoordeeld is, wordt dit overzicht en de pdf definitief.
Welke persoonsgegevens de leverancier gebruikt en over wie. Hoe preciezer, hoe beter u kunt zien of dat niet te veel is.
Verbeteren
Is precies opgesomd welke gegevens het zijn?
Uitleg
Datavoogd ziet dat Bijlage 1 de gegevens per veld opsomt (naam, adres, telefoonnummer, e-mailadres, omschrijving van het gebrek en door de bewoner zelf gemelde bijzonderheden) en dat BSN en bijzondere persoonsgegevens expliciet aan bod komen, met een toelichting op mogelijke gezondheidsinformatie.
Volledige toelichting
Datavoogd ziet dat Bijlage 1 de gegevens per veld opsomt (naam, adres, telefoonnummer, e-mailadres, omschrijving van het gebrek en door de bewoner zelf gemelde bijzonderheden) en dat BSN en bijzondere persoonsgegevens expliciet aan bod komen, met een toelichting op mogelijke gezondheidsinformatie. Strafrechtelijke gegevens (art. 10 AVG) worden nergens expliciet benoemd of uitgesloten, waarmee niet aan alle drie de expliciete vermeldingen uit de regel is voldaan. Verder ziet Datavoogd spanning tussen Bijlage 1 ('geen bijzondere persoonsgegevens opgevraagd') en Bijlage 2, waar uitsluitend hokje B (bijzondere of gevoelige gegevens, waaronder BSN en strafrechtelijk verleden) is aangekruist en hokje A voor gewone gegevens niet. De opsomming zelf sluit inhoudelijk aan bij de beschreven onderhouds- en reparatiedienst.
Ook opgemerkt
In Bijlage 2 is het hokje voor gewone persoonsgegevens (NAW, e-mail, telefoon) niet aangekruist, terwijl die gegevens volgens Bijlage 1 juist de kern van de verwerking vormen.
De categorie 'door de bewoner zelf gemelde bijzonderheden' kan gezondheidsgegevens bevatten; Bijlage 1 duidt deze niet als art. 9-gegevens met bijbehorend regime.
→ Laat de gegevens opsommen en gevoelige gegevens (zoals gezondheid of BSN) apart noemen of uitsluiten.
AP2025-1.4 · AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: soort persoonsgegevens
Wie heeft de regie
De organisatie bepaalt wat er met de gegevens gebeurt, niet de leverancier. Dat moet uit de afspraken blijken.
Verbeteren
Staat erin wat de organisatie zelf mag en moet?
Uitleg
Datavoogd ziet dat de rechten en verplichtingen van de verantwoordelijke op hoofdlijnen zijn vastgelegd: instructierecht en zeggenschap (F033), auditrecht en keuze voor zelfevaluatie (F046, F049), bezwaar tegen subverwerkers (F037) en de eigen verantwoordelijkheid voor melden aan toezichthouder en betrokkenen (F062).
Volledige toelichting
Datavoogd ziet dat de rechten en verplichtingen van de verantwoordelijke op hoofdlijnen zijn vastgelegd: instructierecht en zeggenschap (F033), auditrecht en keuze voor zelfevaluatie (F046, F049), bezwaar tegen subverwerkers (F037) en de eigen verantwoordelijkheid voor melden aan toezichthouder en betrokkenen (F062). Niet vastgelegd is echter wie namens de corporatie instructies geeft (functie of rol) en via welk kanaal of in welke vorm instructies worden gegeven; alleen voor toestemming voor verwerking buiten de EER wordt een rol genoemd. Die genoemde rol, 'de algemeen directeur van Verwerkingsverantwoordelijke' (F053), sluit niet aan op de aanhef, waarin de corporatie wordt vertegenwoordigd door de directeur-bestuurder en de algemeen directeur juist de vertegenwoordiger van Verwerker is (F004, F006). De in de bijlagen genoemde contactpunten (privacy officer, AVG-mailbox) zijn uitsluitend gekoppeld aan datalekmeldingen, niet aan het geven van instructies.
Ook opgemerkt
Er is geen termijn of procedure afgesproken waarbinnen de verantwoordelijke de verwerker informeert over wijzigingen in de verwerking die gevolgen hebben voor Bijlage 1.
→ Laat vastleggen wie namens de organisatie opdrachten geeft en via welk kanaal.
ART28-03 · AVG art. 28 lid 3, aanhef: rechten en verplichtingen van de verwerkingsverantwoordelijke
Verbeteren
Waarschuwt de leverancier als een opdracht in strijd is met de privacywet?
Uitleg
Datavoogd ziet dat artikel 4.6 een meldplicht bevat met de term "onmiddellijk", maar dat deze uitsluitend verwijst naar instructies "als bedoeld in artikel 4.4", het artikel over controle en audit.
Volledige toelichting
Datavoogd ziet dat artikel 4.6 een meldplicht bevat met de term "onmiddellijk", maar dat deze uitsluitend verwijst naar instructies "als bedoeld in artikel 4.4", het artikel over controle en audit. Daarmee lijkt de meldplicht niet te zien op verwerkingsinstructies in het algemeen, zoals de slotzin van art. 28 lid 3 AVG vraagt. Ook ontbreekt een regeling over wat de verwerker in de tussentijd met de betwiste instructie doet (opschorten of overleg). Om die twee redenen is niet aan de eis van concreetheid voldaan.
Ook opgemerkt
De verwijzing naar artikel 4.4 lijkt een verschrijving in het gebruikte sjabloon; verduidelijking dat de meldplicht op alle instructies ziet, ligt voor de hand.
→ Laat vastleggen dat de leverancier dat meteen meldt en wat hij in de tussentijd doet.
ART28-H2 · AVG art. 28 lid 3, slotzin: melden van een instructie die in strijd is met de AVG
Beveiliging en toegang
Hoe de gegevens beschermd zijn, wie erbij kan en hoe u dat kunt controleren.
Verbeteren
Houden medewerkers van de leverancier de gegevens geheim?
Uitleg
Datavoogd ziet dat artikel 6 een geheimhoudingsbepaling bevat die zowel eigen personeel als ingeschakelde hulppersonen omvat en die is geborgd via een geheimhoudingsbeding in de (arbeids-)contracten. Artikel 2.4 regelt dat de geheimhoudingsplicht van Verwerker voortduurt na beëindiging van de Verwerkersovereenkomst.
Volledige toelichting
Datavoogd ziet dat artikel 6 een geheimhoudingsbepaling bevat die zowel eigen personeel als ingeschakelde hulppersonen omvat en die is geborgd via een geheimhoudingsbeding in de (arbeids-)contracten. Artikel 2.4 regelt dat de geheimhoudingsplicht van Verwerker voortduurt na beëindiging van de Verwerkersovereenkomst. Niet uitgewerkt is of de geheimhouding van individuele medewerkers, tijdelijke krachten en ZZP'ers ook na einde van hun dienstverband of inzet blijft gelden, en of dit voor niet-contractueel gebonden inhuur op andere wijze is vastgelegd (bijvoorbeeld een aparte geheimhoudingsverklaring).
Ook opgemerkt
Bijlage 1 benoemt dat 6 planners en monteurs toegang hebben (F094); er is geen afspraak over een actueel overzicht of register van personen met toegang en hun geheimhoudingsverklaring.
→ Laat een geheimhoudingsplicht voor alle medewerkers en ingehuurde mensen vastleggen.
ART28-B · AVG art. 28 lid 3 onder b: vertrouwelijkheid van gemachtigde personen
Verbeteren
Beveiligt de leverancier de gegevens goed?
Uitleg
Datavoogd ziet dat de overeenkomst een beveiligingsbepaling bevat (artikel 4.1-4.2) met een gevulde Bijlage 2 waarin concrete maatregelen staan: versleuteling, MFA, ISO 27001-certificering, gegevensscheiding en BIC 2.0 als kader.
Volledige toelichting
Datavoogd ziet dat de overeenkomst een beveiligingsbepaling bevat (artikel 4.1-4.2) met een gevulde Bijlage 2 waarin concrete maatregelen staan: versleuteling, MFA, ISO 27001-certificering, gegevensscheiding en BIC 2.0 als kader. Het normenkader is dus genoemd, maar van het ISO 27001-certificaat ontbreken nummer, geldigheidsduur en reikwijdte (welke dienst, welke locatie), zodat niet vaststaat of de gecertificeerde scope deze onderhoudsdienst en de planningsapplicatie dekt. Ook maatregelen rond logging, toegangsbeheer en back-up (bewaartermijn) zijn niet benoemd, terwijl Bijlage 1 wel back-ups in Nederland vermeldt. Bijlage 2 is niet gedateerd of geversioneerd, waardoor de actualiteit ten opzichte van de contractdatum 1 oktober 2026 niet is te beoordelen.
Ook opgemerkt
In Bijlage 2 zijn de aanvinkvakjes voor ISO 27001-certificering en MFA niet aangekruist, terwijl dezelfde maatregelen via 'Anders, namelijk' en de toelichting wél worden geclaimd.
Bijlage 2 merkt de gegevens aan als categorie B met 'verhoogd risicoprofiel', wat zwaardere maatregelen veronderstelt dan de nu benoemde set.
→ Laat de beveiligingsmaatregelen concreet opnemen in een bijlage.
ART28-C · AVG art. 28 lid 3 onder c, in samenhang met art. 32: beveiliging van de verwerking
Als er iets misgaat
Bij een datalek moet de organisatie binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Dat lukt alleen als de leverancier snel en volledig meldt.
Verbeteren
Is dat meldpunt ook 's avonds, in het weekend en in de vakantie bereikbaar?
Uitleg
Datavoogd ziet dat de overeenkomst wel contactpersonen en contactgegevens aan beide zijden vastlegt (F131, F141), maar nergens vastlegt wanneer die contactpunten bereikbaar zijn: er zijn geen bereikbaarheidstijden, geen 24/7-afspraak en geen piket- of escalatieregeling als het primaire contactpunt niet reageert.
Volledige toelichting
Datavoogd ziet dat de overeenkomst wel contactpersonen en contactgegevens aan beide zijden vastlegt (F131, F141), maar nergens vastlegt wanneer die contactpunten bereikbaar zijn: er zijn geen bereikbaarheidstijden, geen 24/7-afspraak en geen piket- of escalatieregeling als het primaire contactpunt niet reageert. Bijlage 3 volstaat met "Neem direct contact op" zonder tijdvenster. Daarmee is niet in tijden uitgedrukt hoe de meldketen buiten kantooruren, in het weekend en in vakantieperioden werkt.
Ook opgemerkt
Artikel 7.1 verplicht de verwerker tot melden binnen 24 uur (F060); zonder vastgelegde bereikbaarheid buiten kantooruren is die termijn in de praktijk moeilijk te waarborgen.
De AVG-mailbox avg@voorbeeldwonen.example fungeert feitelijk als tweede kanaal, maar er is geen reactie- of escalatietermijn aan verbonden.
→ Laat bereikbaarheidstijden en een tweede contact voor noodgevallen vastleggen.
AP2025-2.2 · AP aanbeveling 1, datalekafspraken, p. 6: bereikbaarheid van het contactpunt (gezamenlijke mailbox)
Verbeteren
Staat erin welke informatie de leverancier bij een datalek geeft?
Uitleg
Datavoogd ziet dat Bijlage 3 een concrete lijst met te verstrekken informatie bevat (contactgegevens, datum/tijd, omschrijving van het incident, welke gegevens en van wie) en dat artikel 7.2 verplicht tot het overleggen van getroffen maatregelen en nieuwe ontwikkelingen.
Volledige toelichting
Datavoogd ziet dat Bijlage 3 een concrete lijst met te verstrekken informatie bevat (contactgegevens, datum/tijd, omschrijving van het incident, welke gegevens en van wie) en dat artikel 7.2 verplicht tot het overleggen van getroffen maatregelen en nieuwe ontwikkelingen. Niet expliciet benoemd zijn de (geschatte) aantallen betrokkenen en records, de waarschijnlijke gevolgen van de inbreuk en de voorgestelde (nog te nemen) maatregelen. Voor nalevering van nog ontbrekende informatie is alleen een open formulering opgenomen ('op de hoogte houden van nieuwe ontwikkelingen') zonder termijn. Artikel 7.3 legt het informeren van betrokkenen bij de verantwoordelijke, maar een verplichting tot medewerking aan het onderzoek en aan die informatievoorziening (art. 34 AVG) ontbreekt.
Ook opgemerkt
Bijlage 3 vraagt om bewijsmateriaal en aangiftegegevens, maar niet om een inschatting van de waarschijnlijke gevolgen; dat is juist wat de corporatie bij de AP-melding moet invullen.
→ Laat de informatie opsommen die nodig is voor de melding, zoals aantal mensen en gevolgen.
AP2025-2.4 · AP aanbeveling 1, datalekafspraken, p. 7: minimale inhoud van de dataleknotificatie
Hulp bij vragen en onderzoeken
Mensen mogen hun gegevens inzien of laten verwijderen. De leverancier moet daarbij helpen, en ook bij een DPIA.
Verbeteren
Helpt de leverancier als iemand zijn gegevens wil inzien of laten verwijderen?
Uitleg
Datavoogd ziet dat de overeenkomst bijstand bij verzoeken van betrokkenen regelt met een termijn van 14 dagen (binnen de maand van art. 12 lid 3 AVG) en dat is vastgelegd hoe rechtstreekse verzoeken worden behandeld: onverwijld melden, niet zelf beantwoorden en doorverwijzen naar de verantwoordelijke.
Volledige toelichting
Datavoogd ziet dat de overeenkomst bijstand bij verzoeken van betrokkenen regelt met een termijn van 14 dagen (binnen de maand van art. 12 lid 3 AVG) en dat is vastgelegd hoe rechtstreekse verzoeken worden behandeld: onverwijld melden, niet zelf beantwoorden en doorverwijzen naar de verantwoordelijke. Niet beschreven is welke concrete functionaliteit of werkwijze beschikbaar is om een verzoek uit te voeren, zoals een export van gegevens per betrokkene of het doorvoeren van rectificatie en verwijdering; artikel 9 regelt alleen verwijdering en teruggave van de gehele gegevensset. Ook is niet vastgelegd of aan deze bijstand kosten verbonden zijn.
→ Laat een termijn vastleggen en beschrijven hoe de leverancier helpt, bijvoorbeeld met een export per persoon.
ART28-E · AVG art. 28 lid 3 onder e: bijstand bij verzoeken van betrokkenen
Verbeteren
Helpt de leverancier bij beveiliging, datalekken en een DPIA?
Uitleg
Datavoogd ziet dat de bijstand bij datalekken en bij beveiliging is uitgewerkt (meldtermijn van 24 uur, proces en informatielijst in Bijlage 3, jaarlijkse beveiligingsrapportage), maar dat een bepaling over bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens in de hoofdtekst en de bijlagen ontbreekt.
Volledige toelichting
Datavoogd ziet dat de bijstand bij datalekken en bij beveiliging is uitgewerkt (meldtermijn van 24 uur, proces en informatielijst in Bijlage 3, jaarlijkse beveiligingsrapportage), maar dat een bepaling over bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens in de hoofdtekst en de bijlagen ontbreekt. Bijlage 4 vermeldt alleen een door de verantwoordelijke afgenomen risicotoets en een afspraak om die binnen 12 maanden te actualiseren, zonder vast te leggen welke informatie de verwerker daarvoor levert en binnen welke termijn. Daarmee is voor twee van de drie onderwerpen niet vastgelegd wat de verwerker levert; voor het datalekonderdeel wordt de concreetheid afzonderlijk getoetst onder AP2025-2.1 t/m 2.4.
Ook opgemerkt
Bijlage 4 verplicht partijen tot actualisatie van de risicotoets binnen 12 maanden, maar legt geen medewerkingsplicht van de verwerker (aanleveren van informatie over systemen, dataflows en subverwerkers) vast.
Artikel 7.3 legt de melding aan toezichthouder en betrokkenen volledig bij de verantwoordelijke, zonder afspraak over ondersteuning door de verwerker bij het informeren van betrokkenen (art. 34 AVG).
→ Laat per onderwerp vastleggen wat de leverancier levert en binnen welke termijn.
ART28-F · AVG art. 28 lid 3 onder f: bijstand bij art. 32 t/m 36 (beveiliging, datalekken, DPIA, voorafgaande raadpleging)
Bewaren en verwijderen
Hoe lang gegevens blijven staan en wat er gebeurt als de samenwerking stopt.
Verbeteren
Worden de gegevens verwijderd of teruggegeven als de samenwerking stopt?
Uitleg
Datavoogd ziet dat artikel 9 een exit-bepaling bevat met keuze tussen teruggave en wissen, het wissen van bestaande kopieën, een schriftelijke bevestiging en doorwerking naar subverwerkers, inclusief uitzondering voor wettelijke bewaarplicht.
Volledige toelichting
Datavoogd ziet dat artikel 9 een exit-bepaling bevat met keuze tussen teruggave en wissen, het wissen van bestaande kopieën, een schriftelijke bevestiging en doorwerking naar subverwerkers, inclusief uitzondering voor wettelijke bewaarplicht. De termijn blijft echter open ('binnen een redelijke termijn') en het formaat van teruggave wordt pas later in overleg bepaald. Over back-ups en de termijn waarbinnen die zijn overschreven bevat het document geen bepaling; Bijlage 1 noemt alleen de bewaartermijn van 2 jaar na afronding van de opdracht tijdens de looptijd. Daarmee is de bepaling aanwezig maar op de punten termijn, formaat en back-ups nog niet ingevuld.
Ook opgemerkt
Artikel 9.3 spreekt van vernietiging 'op verzoek van de Verwerker'; gelet op de context lijkt de verwerkingsverantwoordelijke bedoeld, wat een tekstuele onduidelijkheid oplevert over wie het verzoek doet.
Bijlage 1 noemt back-up in Nederland (F102), maar nergens is geregeld hoe back-upkopieën na einde van de overeenkomst worden gewist of overschreven.
→ Laat een termijn vastleggen, ook voor back-ups, en een schriftelijke bevestiging dat alles is verwijderd.
ART28-G · AVG art. 28 lid 3 onder g: wissen of teruggeven na afloop
Verbeteren
Staat erin hoe lang gegevens worden bewaard?
Uitleg
Datavoogd ziet dat Bijlage 1 per gegevenscategorie een in tijd uitgedrukte bewaartermijn bevat (2 jaar na afronding van de opdracht), die in artikel 9.1 bindend is verklaard, en dat Bijlage 2 dezelfde termijn herhaalt.
Volledige toelichting
Datavoogd ziet dat Bijlage 1 per gegevenscategorie een in tijd uitgedrukte bewaartermijn bevat (2 jaar na afronding van de opdracht), die in artikel 9.1 bindend is verklaard, en dat Bijlage 2 dezelfde termijn herhaalt. Voor logbestanden en back-ups ontbreekt echter een eigen termijn: back-ups worden alleen naar locatie benoemd en logging komt in de tekst niet voor. Daarmee is de bepaling op het punt van logging en back-ups niet volledig geconcretiseerd.
Ook opgemerkt
Artikel 9.1 koppelt verwijdering aan een verzoek van de verantwoordelijke; wat er automatisch gebeurt zodra de termijn van 2 jaar verstrijkt, is niet vastgelegd.
→ Laat bewaartermijnen in dagen, maanden of jaren vastleggen, ook voor back-ups en logbestanden.
AP2025-1.2 · AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: duur en bewaartermijnen, dataminimalisatie
Up-to-date houden
Afspraken verouderen. Een datum, een versie en een moment om te herzien houden ze bij de praktijk.
Verbeteren
Hebben de overeenkomst en de bijlagen een datum en versie?
Uitleg
Datavoogd ziet dat de hoofdtekst wel een datum draagt (1 oktober 2026) maar geen eigen versienummer; het genoemde versienummer 1.3 van 12 september 2023 betreft het onderliggende Aedes-sjabloon, niet deze overeenkomst.
Volledige toelichting
Datavoogd ziet dat de hoofdtekst wel een datum draagt (1 oktober 2026) maar geen eigen versienummer; het genoemde versienummer 1.3 van 12 september 2023 betreft het onderliggende Aedes-sjabloon, niet deze overeenkomst. De bijlagen 1 tot en met 5 hebben zelf geen datum of versieaanduiding, zodat niet vaststaat welke versie van een bijlage geldt en wanneer die voor het laatst is herzien; alleen Bijlage 4 noemt een uitvoeringsdatum van de risicotoets (15 februari 2026). Harde verouderingssignalen ontbreken: er wordt verwezen naar de AVG, de UAVG en de modelbepalingen C/2021/3972 van 2021, niet naar Wbp, Safe Harbor of Privacy Shield. De beoordeling of de nu vermelde datum te oud is, laat Datavoogd aan de FG.
Ook opgemerkt
De ondertekeningsdatum in het handtekeningenblok is nog een placeholder (F080), terwijl artikel 2.1 de inwerkingtreding juist aan de datum van ondertekening koppelt.
Bijlage 4 spreekt af de risicotoets binnen 12 maanden te actualiseren; zonder versieaanduiding per bijlage is later niet na te gaan welke versie van de bijlage bij welke actualisatie hoort.
→ Zet een datum en versienummer op de overeenkomst en op elke bijlage.
AP2025-4.1 · AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: bijhouden en periodiek herzien
Verbeteren
Is afgesproken wanneer de afspraken opnieuw worden bekeken?
Uitleg
Datavoogd ziet dat het document alleen een algemene wijzigingsbepaling kent (art. 10.3) en losse afspraken over actualisering van de risicotoets (Bijlage 4) en overleg bij wijziging van beveiligingsmaatregelen (art. 4.9).
Volledige toelichting
Datavoogd ziet dat het document alleen een algemene wijzigingsbepaling kent (art. 10.3) en losse afspraken over actualisering van de risicotoets (Bijlage 4) en overleg bij wijziging van beveiligingsmaatregelen (art. 4.9). Een herzieningsbepaling voor de overeenkomst en de bijlagen zelf, met frequentie én triggers (wijziging in de verwerking, subverwerkers, wetgeving, beveiliging), ontbreekt. Ook is geen procedure vastgelegd om bijlagen bij te werken via bijvoorbeeld een gedateerd addendum met versienummer, zonder de hele overeenkomst opnieuw te tekenen. De enige termijn die wel is vastgelegd (12 maanden na de toets van 15 februari 2026) is op de documentdatum 1 oktober 2026 nog niet verstreken.
Ook opgemerkt
De jaarlijkse beveiligingsrapportage (art. 4.3) en de actualisering van de risicotoets (Bijlage 4) bieden een natuurlijk moment om ook de verwerkersovereenkomst en bijlagen te herzien; dat verband is nu niet gelegd.
→ Spreek een vast moment af, bijvoorbeeld jaarlijks, en bij grote veranderingen.
AP2025-4.2 · AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 11: periodiek herzien van afspraken
Verbeteren
Kloppen de bijlagen met hoe het nu echt gaat?
Uitleg
Datavoogd ziet dat alle vijf bijlagen zijn ingevuld en op hoofdlijnen aansluiten op de hoofdtekst: de subverwerkerslijst (Nederland, EER) spreekt de doorgiftebepaling in artikel 5 niet tegen en bijlage 5 verklaart de SCC's om die reden niet van toepassing.
Volledige toelichting
Datavoogd ziet dat alle vijf bijlagen zijn ingevuld en op hoofdlijnen aansluiten op de hoofdtekst: de subverwerkerslijst (Nederland, EER) spreekt de doorgiftebepaling in artikel 5 niet tegen en bijlage 5 verklaart de SCC's om die reden niet van toepassing. Wel valt op dat bijlage 1 stelt dat geen bijzondere persoonsgegevens en geen BSN worden verwerkt, terwijl bijlage 2 uitsluitend het vakje 'bijzondere of gevoelige persoonsgegevens (verhoogd risicoprofiel)' aankruist en het vakje voor gewone gegevens leeg laat; dat is een onderlinge spanning die mogelijk uit de zelfgemelde gezondheidsbijzonderheid voortkomt maar niet als zodanig is toegelicht. Verder bevat de subverwerkerstabel nog de openstaande plaatshouder '<aantal>' bij het aantal personen met toegang. Datavoogd kan alleen de interne consistentie en datering van de bijlagen beoordelen; of de bijlagen de feitelijke verwerking beschrijven, moet de FG bij de organisatie nagaan.
Ook opgemerkt
In bijlage 2 zijn de vakjes 'Certificering ISO 27001' en 'Multi Factor Authenticatie' niet aangekruist, terwijl bij 'Anders' juist ISO 27001 en MFA worden genoemd; dezelfde dubbeling staat bij de dienstomschrijving in bijlage 1 (vakje reparatie-/onderhoudswerkzaamheden leeg, 'Anders' beschrijft hetzelfde).
De risicotoets in bijlage 4 dateert van 15 februari 2026, ruim voor de documentdatum van 1 oktober 2026; partijen spreken af de toets binnen 12 maanden te actualiseren.
→ Loop de bijlagen samen met de leverancier na, vul ze volledig in en haal tegenstrijdigheden weg.
AP2025-4.3 · AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: afspraken sluiten aan op de praktijk; gebruik van bijlagen
Hier vond Datavoogd niets
Bij deze vragen is geen punt gevonden. Dat is geen oordeel dat de afspraak voldoet.
Staat erin waar de samenwerking over gaat en hoe lang die duurt?
Staat erin wat de leverancier met de gegevens doet en waarom?
Is de overeenkomst echt op deze dienst gemaakt?
Gebruikt de leverancier de gegevens alleen voor deze opdracht?
Staat erin welke gegevens worden gebruikt en van wie?
Is duidelijk over welke mensen het gaat?
Doet de leverancier alleen wat de organisatie vraagt?
Kan de organisatie controleren of de leverancier zich aan de afspraken houdt?
Staat erin welke systemen worden gebruikt, waar de gegevens staan en wie erbij kan?
Is er aan beide kanten een vast meldpunt voor datalekken?
Meldt de leverancier een datalek snel genoeg?
Mag de leverancier zomaar andere bedrijven inschakelen?
Staat erin welke andere bedrijven meewerken en waar die zitten?
Wat gebeurt er als de leverancier een ander bedrijf wil inschakelen?
Kunnen gegevens buiten Europa terechtkomen?
Daarnaast noteerde Datavoogd 43 kleine opmerkingen. Die staan in het volledige rapport; na de beoordeling komen de bevestigde opmerkingen in dit overzicht.