Verwerkersovereenkomst
Een organisatie die persoonsgegevens verwerkt, kan deze verwerking uitbesteden. De organisatie die het doel en de middelen van de verwerking bepaalt is de verwerkingsverantwoordelijke. De organisatie die de daadwerkelijke verwerking uitvoert heet de verwerker. Denk hierbij bijvoorbeeld aan een softwareleverancier of externe boekhouder. Afspraken tussen de verwerkingsverantwoordelijke en de verwerker moet je vastleggen in een verwerkersovereenkomst.
In de verwerkersovereenkomst moeten afspraken staan die garanderen dat er zorgvuldig omgegaan wordt met de persoonsgegevens. Ook staan de verdeling van de taken en plichten vermeld in de overeenkomst. De verwerker moet garanderen dat hij de juiste passende technische en organisatorische maatregelen in acht neemt bij de verwerkering (artikel 28 lid 1 AVG). De verwerkingsverantwoordelijke blijft verantwoordelijk.
In de verwerkersovereenkomst moet in ieder geval het volgende staan (artikel 28 lid 3 en aanhef AVG):
- het onderwerp en de duur van de verwerking
- de aard en het doel van de verwerking
- het soort persoonsgegevens en de categorieën van betrokkenen
- de rechten en verplichtingen van de verwerkingsverantwoordelijke
Andere onderdelen die in de overeenkomst bepaald moeten zijn, staan beschreven in artikel 28 lid 3 onderdelen a t/m h AVG.