Verwerkersovereenkomst KPN

Ik neem de back-up dienst af bij KPN als zakelijke klant.
Kunt u aangeven of er KPN medewerkers zijn die toegang kunnen hebben tot de opgeslagen informatie?
Kunt u ook aangeven waar deze informatie opgeslagen is?

Daarnaast valt naar mijn weten het opslaan van persoonsgegevens ook onder de definitie van gegevensverwerking. En daarmee zou ik een verwerkersovereenkomst moeten afsluiten met de KPN.
Graag uw reactie.

Goedemiddag iedereen,

Wat AVG betreft komt op de voorwaarden pagina binnen enkele dagen als aanvulling op de privacy statement een model verwerkersovereenkomst. Wat Office 365 betreft heeft mijn collega Lindsay een handige blog over de verwerkers tool van Microsoft. Hiermee moeten jullie verder komen. Als er toch nog vragen zijn hoor ik het uiteraard graag!

Via KPN beheer je office365 gebruikers. Via KPN stel je wachtwoorden in voor deze gebruikers. Je kunt als KPN hoog en laag springen voor de wet kun je er technisch bij. Dat je het niet wilt is prima, maar voor de nieuwe wet ben je gewoon een verwerker. Iets anders is beweren is wij van wc eend adviseren...

In de algemene voorwaarden staat dat KPN erbij kan en mag, dus ik snap @Mohamed Abdi Hussein niet. Je eigen algemene voorwaarden spreken je tegen.

Trouwens (encryptie) tussen haakjes plaatsen zegt niets. Al het verkeer is tegenwoordig geencrypt middels https. Ik zou de communicatieafdeling om een nieuwe schema vragen 😁

Ik ben zelf in een datacenter van KPN geweest en ik kan bevestigen uit eigen ervaring dat de beveiliging daar van een zeer hoog niveau is (En ik heb in mijn leven genoeg streng beveiligde locaties gezien 😉 In totaal was een van de locaties die ik heb gezien strenger beveiligd. Met goede reden trouwens).

In verband met de veiligheid zal ik geen expliciete voorbeelden geven, behalve dat ik er vertrouwen in heb 🙂

Beste @Mohammad,

KPN voldoet niet aan de definitie 'verwerker' in jullie geval, omdat KPN voor jullie als verwerkingsverantwoordelijken geen gegevens verwerkt. KPN verwerkt jullie eigen gegevens als klanten van KPN en niet die van jullie klanten.

Het feit dat wij in jullie klantportaal kunnen heeft niks te maken met verwerking van gegevens die jullie op bijvoorbeeld producten (servers) van Microsoft opslaan. Wij mogen daar niet bij. Als jullie een maillijst van jullie klanten opslaan in Outlook van Office365, mogen wij dit niet inzien. Deze zouden wij pas kunnen inzien als wij inloggen op de Outlook en jullie email mogen lezen. Dit is simpelweg niet het geval en zouden wij nooit doen.

Ik ben het hier niet mee eens. Voor mijn stage ben ik namelijk de AVG aan implementeren. En misschien is het handig om te vermelden wat er onder het verwerken van persoonsgegevens bestaat:
Verwerken is: alle handelingen die een organisatie kan uitvoeren met persoonsgegevens, van verzamelen tot en met vernietigen.
Dit is dus een zeer ruim begrip. Handelingen die er volgens de Wet bescherming persoonsgegevens (Wbp) in ieder geval onder vallen, zijn: het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van gegevens.
Bron: https://autoriteitpersoonsgegevens.nl/nl/over-privacy/persoonsgegevens/wat-zijn-persoonsgegevens

Dat betekent dat het opslaan van persoonsgegevens ook hieronder valt! Ondanks dat de medewerkers hier niet bij kunnen. Wat als onbevoegden hierbij kunnen? Hoe is jullie mailserver beveiligd?

Wij hebben bijvoorbeeld onze zakelijke email bij jullie afgesloten. Ik mag er inderdaad vanuit gaan dat jullie hier niet bij mogen als medewerker. Maar dat heeft niets te maken met de AVG, de AVG geeft juist aan welke beveiligingsmaatregelen er genomen zijn, zodat onbevoegden hier geen toegang toe hebben.
Dit kunnen dus ook hackers zijn die bijvoorbeeld een systeem hebben gehackt met daarbij de inloggegevens van de mailadressen die bij kpn zijn aangemaakt. Zij hebben dan toegang tot al onze emails die op de server staan van kpn.

Hier is wel degelijk een verwerkersovereenkomst nodig. Ookal hebben jullie hier als medewerker geen toegang tot.

Ik hoop dat ik hiermee ook wat meer duidelijkheid naar kpn geef... Wat overigens kpn zelf had horen uitzoeken. De gegevens die bij bijvoorbeeld Microsoft staan heeft kpn inderdaad niets mee te maken, daarvoor moet er een overeenkomst afgesloten worden met Microsoft, die Microsoft overigens online op internet heeft staan. Tenzij jullie Microsoft inschakelen als sub-verwerker.
Bij de 0365 wordt de dienst afgenomen bij kpn zelf, voor de verwerking van de gegevens schakelen jullie Microsoft in als sub-verwerker. Hiervoor moeten wij als klant toestemming voor geven dat jullie die gebruiken. Op dit gebied hoeven wij geen verwerkersovereenkomst af te sluiten bij Microsoft.

Dit is wel het geval indien wij zelf besluiten een dienst af te sluiten bij Microsoft, dan moet er een overeenkomst afgesloten worden met Mircosoft.

---

Overigens, schakelen wij als klant KPN in als verwerker voor het opslaan van de mails en de verwerking hiervan. Dit maakt een verwerkersovereenkomst ook verplicht tussen deze twee partijen....

Zojuist heb ik contact gehad via de chat, m.b.t. de Back-up Online service. Na een heel lang gesprek werd er contact gezocht met hogerop binnen KPN. Hierop werd mij verteld dat voor de Back-up Online over ongeveer een week een verwerkingsovereenkomst online te vinden zou zijn. Gezien veel van de informatie die ik ontvangen heb van KPN medewerkers feitelijk onjuist is, kan ik enkel hopen dat deze informatie wel juist is.

Wat duidelijk is dat KPN medewerkers heel erg slecht op de hoogte zijn van de AVG wetgeving en hoe KPN hier mee om gaat. Ook op de website van KPN is er veel te weinig over te vinden.

Als derde punt had KPN dit al ruime tijd op orde moeten hebben. Een organisatie van dergelijke omvang en die op deze schaal persoonsgegevens verwerkt had een veel tijdigere voorbereiding verwacht mogen worden. Het betekent dat klanten die op 25 mei de verwerkersovereenkomsten niet getekend hebben geen dienstverlening van KPN meer krijgen. Komt er simpelweg op neer dat KPN met vrij grote zekerheid bewust niet aan de AVG gaat voldoen op 25 mei.

Hallo,

Er is geen verwerkersovereenkomst nodig voor een Office365 pakket, want wij of Microsoft hebben verder geen toegang tot de data dat u opslaat van bijvoorbeeld uw klanten. U bent de enige die toegang heeft. U bent wel verplicht om te vermelden waar de data wordt opgeslagen, hiervoor verwijs u graag naar het privacy statement van Microsoft.

Ik begrijp de redenering van KPN geheel niet. Hoe ik de wet ook probeer te interpreteren, KPN is een verwerker zodra ze persoonsgegevens voor anderen verwerken. Onder verwerken valt in principe alles wat met data gedaan kan worden, inclusief het opslaan van persoonsgegevens. Dus ook het opslaan en toegankelijk maken van deze data zijn verwerkingen. Hiervoor is mijns inziens dan ook duidelijk een verwerkingsovereenkomst nodig. Een privacy statement van Microsoft voldoet dan ook geheel niet. Als het via de URL van KPN gaat, dan vermoed ik dat KPN op het minst de data doorgeeft aan Microsoft. Hiermee is het ook een verwerker, en is dus een verwerkersovereenkomst noodzakelijk.

Ons bedrijf neemt de KPN Back-up Online dienst van KPN af. Waar worden deze gegevens opgeslagen? Gebeurt dit wel op servers van KPN? Ik werd in de chat verteld dat KPN opzettelijk niet aan de AVG-wetgeving gaat voldoen voor 28 mei, en dat de (algemene) voorwaarden pas daarna aangepast gaan worden.

Dat het privacy stement leidend is, is een feit. Tot op 25 mei zijn alle voorwaarden hierin ook rechtsgeldig en in lijn met de wet. Ik wil u graag vragen om het onderstaand artikel goed door te nemen.

Het artikel dat je linkt geeft geenszins onderbouwing voor je zienswijze. Het bevestigt eerder wat andere gebruikers en ik ook al aangeven. Daarbij is een artikel van ICTRecht ook niet bepalend. De AVG wettekst wel. De definitie van 'verwerker' staat als volgt in de AVG wettekst:

een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;

Beste @adis,

Er lijk hier sprake te zijn van een misverstand. Op het moment dat u een Office365 afneemt bij KPN en daar gegevens opslaat, bent u zelf zowel verwerkingsverantwoordelijke als verwerker. De gegevens worden overigens op de servers van Microsoft opgeslagen en niet die van KPN. Wij zijn alleen de reseller van het product Office365.

Er is geen verwerkersovereenkomst nodig voor een Office365 pakket, want wij of Microsoft hebben verder geen toegang tot de data dat u opslaat van bijvoorbeeld uw klanten. U bent de enige die toegang heeft. U bent wel verplicht om te vermelden waar de data wordt opgeslagen, hiervoor verwijs u graag naar het privacy statement van Microsoft.

Dat het privacy stement leidend is, is een feit. Tot op 25 mei zijn alle voorwaarden hierin ook rechtsgeldig en in lijn met de wet. Ik wil u graag vragen om het onderstaand artikel goed door te nemen. Hierin wordt duidelijk uitgelegd wat het inhoudt en wat u dient op te nemen in uw bewerkersovereenkomst / verwerkersovereenkomst.

De verwerkersovereenkomst: wanneer wel, wanneer niet en wat zet je erin?

Op deze pagina vindt u vanaf 25 mei 2018 onze AVG, waarin wij toelichten hoe wij omgaan met uw gegevens.

Hoi @Mohammad,

Op dit moment wordt nog gewerkt aan het bovenstaande. Een verwerkingsovereenkomst sluiten wij alleen als dit van toepassing is voor de dienst of product. Hierin is KPN de initiatiefnemer.

Wij hebben op dit moment Office365 via KPN afgesloten. Op de servers van KPN staan dus persoonsgegevens van onze klanten (op KPN Sharepoint servers). Als jullie hierin het initiatief nemen dan zou de relatie andersom moeten zijn, dan verwerken wij (persoons)gegevens voor jullie. Dus volgens mij klopt deze zin niet. KPN kan geen initiatiefnemer hierin zijn. Het is ook geen Verwerkingsovereenkomst maar een Verwerkersovereenkomst.

Daarbuiten is het privacy statement leidend.

Dit is gelukkig een van de dingen die de AVG wegnemen, bedrijven die je wegsturen met de Algemene Voorwaarden onder de hand. KPN moet zijn verantwoordelijkheid gewoon nemen en ervoor zorgen dat ze ruim op tijd AVG compliant zijn. De Privacy Verklaring is nu al verkeerd en bevat dingen die niet meer mogen zoals @SjorsK opmerkt.

Is KPN op 25 mei niet AVG compliant dan kunnen ze een klacht verwachten op 26 mei a.s., want bedrijven hebben al 2 jaar de tijd gehad om zich aan te passen aan de AVG wetgeving.

Als jullie een model Verwerkersovereenkomst klaar hebben dan ontvang ik deze graag 🙂

Ik ben trouwens ook even in de boeken gegaan en ben er achter te komen dat KPN administratiekosten vraagt voor inzage van persoonsgegevens, dit mag op zich onder de WBP (Wet Bescherming Persoonsgegevens) maar dit mag niet onder de AVG.

Screenshot:

Goed om te horen dat jullie hiermee verder kunnen! Sorry dat het even duurde. Mocht u mij weer eens nodig hebben, stel dan gerust uw vragen hier op het forum. 😄

Goedemiddag @maryswart,

Op dit moment kan ik nog geen inhoudelijke antwoord geven over specifiek de AVG van KPN. Wel zijn de punten die in de AVG richtlijnen worden genoemd verwerkt in onze privacy statement. Deze worden mooi opgesomd met veelgestelde vragen op de website onder:
Privacy statement