Wanneer moet een organisatie een verwerkersovereenkomst afsluiten?

10 juli 2019

Moet onze organisatie een verwerkersovereenkomst afsluiten met een externe partij die medische gegevens verwerkt, zoals de arbodienst?

Als u persoonsgegevens van werknemers doorgeeft aan een ‘verwerker’ in de zin van de Algemene verordening gegevensbescherming (AVG), is uw organisatie verplicht om een verwerkersovereenkomst te sluiten. Een externe salarisadministrateur is bijvoorbeeld een verwerker: hij voert (een deel van) het verwerkingsproces uit voor uw organisatie, namelijk het opmaken van de loonstrook en het bepalen van het salaris. Uw organisatie is in dit geval de verwerkingsverantwoordelijke en bepaalt welke persoonsgegevens u doorgeeft en wat ermee gebeurt. U kunt ook samenwerken met een partij die zelf verwerkingsverantwoordelijke is. Dit houdt in dat de partij zelf het doel van en de middelen voor de verwerking bepaalt van de persoonsgegevens die u doorgeeft. Bij een arbodienst bijvoorbeeld is dit het geval; het verwerken van medische gegevens is zelfs een wettelijk aangewezen taak. Dan is een verwerkersovereenkomst niet verplicht.

Invloed op verwerking van gegevens vaak doorslaggevend

Zodra u de arbodiensten vraagt ook een eenvoudige verzuimadministratie voor (sommige) te verzorgen of een plan van aanpak te maken voor re-integratie, is er wel een verwerkersovereenkomst nodig. Dit zijn namelijk geen wettelijk aangewezen taken en de arbodienst fungeert dan als verwerker. De mate van zeggenschap over en invloed op de verwerking van gegevens spelen dus een belangrijke rol.