Een geheimhoudingsovereenkomst (NDA) is een juridisch bindend contract waarin een of beide partijen afspreken bepaalde informatie geheim te houden. Een bruikbare NDA geeft antwoord op vier vragen: wat is vertrouwelijk, wie mag het zien, hoe lang, en wat gebeurt er als het uitlekt.
Eenzijdig of wederzijds?
Dit is de praktische keuze, en die volgt uit wie er daadwerkelijk deelt. Hier de verkeerde vorm kiezen is de meest voorkomende reden dat een NDA halverwege een gesprek opnieuw moet worden opgesteld.
| Vorm | Gebruik deze als |
|---|---|
| Eenzijdig (unilateraal) | Alleen jij deelt informatie. Gebruikelijk wanneer je een opdrachtnemer, kandidaat of bureau inzage geeft in je systemen. |
| Wederzijds (bilateraal) | Beide partijen delen. Het uitgangspunt bij leveranciersselectie, samenwerkingen en due diligence, omdat beide partijen iets van de ander te zien krijgen. |
Word je gevraagd een eenzijdige NDA te ondertekenen terwijl je zelf ook iets prijsgeeft, vraag dan om een wederzijdse. Dat is een gebruikelijk verzoek, en een weigering zegt iets.
De clausules die bepalen of hij bruikbaar is
De meeste NDA's lijken op elkaar. De verschillen die er in de praktijk toe doen, zitten op vijf plekken, en die lees je beter vooraf dan na een incident.
| Clausule | Waar je op let |
|---|---|
| Definitie van vertrouwelijke informatie | Ruim genoeg voor wat je echt gaat delen, en niet afhankelijk van het label "vertrouwelijk" op elk document. |
| Toegestane ontvangers | Of onderaannemers en groepsmaatschappijen eronder vallen, en of die aan dezelfde voorwaarden zijn gebonden. |
| Duur | Hoe lang de plicht doorloopt na het einde van de samenwerking. Onbeperkt voor bedrijfsgeheimen, een vaste termijn voor commerciële details. |
| Teruggave en verwijdering | Wat er aan het eind met de informatie gebeurt, inclusief kopieën in back-ups, en of je daarvan bevestiging krijgt. |
| Uitzonderingen | De gebruikelijke: al openbaar, zelf ontwikkeld, of wettelijk verplicht. Controleer of je bij een wettelijk verzoek op de hoogte wordt gesteld, waar dat is toegestaan. |
Een NDA is geen technische maatregel
Dit is het punt om te onthouden. Een NDA geeft je een remedie nadat informatie al weg is. Dat werkt afschrikkend, maar het is geen preventie: hij voorkomt niet dat er een kopie wordt gemaakt.
Zie hem als de juridische laag boven de technische. Gaat het om gegevens die ertoe doen, combineer hem dan met beperkte toegang, een afgesproken manier van uitwisselen en een leveranciersbeoordeling. Auditors zoeken precies die combinatie, want een NDA alleen toont een intentie en geen beheersing.
Waar ISO 27001 een NDA eist
Annex A 6.6 gaat rechtstreeks over vertrouwelijkheids- en geheimhoudingsovereenkomsten, en verwacht dat die zijn vastgesteld, vastgelegd, periodiek beoordeeld en ondertekend door personeel en externe partijen. A.5.20 gaat daarna over wat je leveranciersovereenkomsten over beveiliging moeten zeggen, en daar zit een NDA meestal in het leveranciersdossier.
In de praktijk is de bevinding zelden een ontbrekende NDA. Het is dat niemand kan zeggen welke leveranciers er een hebben ondertekend, of dat de versie in het dossier ouder is dan de huidige dienst. Bewaar ze bij het leveranciersrecord en beoordeel ze op dezelfde cyclus.