Wanneer sluit u een verwerkersovereenkomst?

0

Een verwerkersovereenkomst sluit u af met een organisatie die in opdracht van uw organisatie persoonsgegevens verwerkt. Wat houdt de verwerkersovereenkomst precies in en wanneer sluit u de overeenkomst?

Advocaat Steffie Schepers gaf onlangs een XpertHR College over de Algemene Verordening Gegegevensbescherming (AVG). Tijdens het webinar werden veel vragen gesteld. In dit artikel beantwoordt Schepers de meest gestelde vragen over de verwerkersovereenkomst. Meer vragen en antwoorden zijn te vinden in de whitepaper.

Wanneer sluit u een verwerkersovereenkomst?

Er moet een verwerkersovereenkomst worden gesloten als:

  • er sprake is van een verwerkingsverantwoordelijke die een verwerker inschakelt om ten behoeve van hem persoonsgegevens te verwerken;
  • zonder dat die verwerker aan diens rechtstreekse gezag is onderworpen.

Het is dus allereerst van belang om te beoordelen of de derde aan wie je persoonsgegevens verstrekt, is aan te merken als verwerkingsverantwoordelijke of als verwerker.

Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke is degene die alleen of samen met anderen bepaalt:

  1. welke persoonsgegevens worden verzameld;
  2. waarom de persoonsgegevens worden verzameld (doel); en
  3. de manier waarop de persoonsgegevens worden verzameld (middelen).

Verwerker

De verwerker is degene die ten behoeve van een verwerkingsverantwoordelijke persoonsgegevens verwerkt. De verwerker bepaalt dan niet zelf welke, waarom en op welke manier de persoonsgegevens worden verzameld. Dat bepaalt de verwerkingsverantwoordelijke.
Om als verwerker te kunnen worden aangemerkt moet de verwerking van persoonsgegevens in principe uw primaire opdracht zijn. Als de verwerking van persoonsgegevens niet uw primaire opdracht is, maar voortvloeit uit een andere vorm van dienstverlening, kunt u waarschijnlijk als de verwerkingsverantwoordelijke worden aangemerkt. Ook wanneer u onderworpen bent aan het rechtstreekse gezag van de verwerkingsverantwoordelijke (zoals bij medewerkers) bent u geen verwerker.

Met wie sluit u een verwerkersovereenkomst?

Het is best lastig om te beoordelen met wie u nu een verwerkersovereenkomst sluit. Wij hebben een aantal instellingen op een rij gezet:

Pensioenfonds

Momenteel lijkt de opvatting te zijn dat met het pensioenfonds geen verwerkersovereenkomst hoeft te worden gesloten. Dit wordt als volgt gemotiveerd.

In de meeste gevallen zal u op basis van de uitvoeringsovereenkomst met het pensioenfonds persoonsgegevens van uw werknemers aan het pensioenfonds verstrekken. Het pensioenfonds bepaalt in het algemeen het doel en de manier waarop de persoonsgegevens van de deelnemers worden verwerkt. Oftewel, het pensioenfonds bepaalt op welke manier zij gegevens verwerkt, waarom zij die specifieke gegevens verwerkt en hoe zij die gegevens verwerkt. Hieruit kan worden geconcludeerd dat het pensioenfonds voor het verwerken van die persoonsgegevens verwerkingsverantwoordelijke is. Tussen twee verwerkingsverantwoordelijken hoeft geen verwerkersovereenkomst te worden gesloten. Daarom hoeft tussen u als werkgever en het pensioenfonds in principe geen verwerkersovereenkomst te worden gesloten.

Belastingdienst

De Belastingdienst heeft verschillende taken, zoals het innen van belasting en het verstrekken van toelagen. Voor de uitvoering van deze taken verwerkt de belastingdienst verschillende persoonsgegevens. Als werkgever bent u verplicht om bepaalde persoonsgegevens aan de Belastingdienst te verstrekken. In beginsel hoeft u geen verwerkersovereenkomst met de Belastingdienst te sluiten. De Belastingdienst verwerkt de persoonsgegevens in de meeste gevallen namelijk voor haar eigen doel c.q. taakuitoefening (bijv. aan het innen van belasting) en bepaalt zelf welke middelen zij nodig heeft voor de uitvoering van haar taken.

UWV

Het komt regelmatig voor dat een werkgever persoonsgegevens van haar (ex)werknemers aan het UWV verstrekt, bijvoorbeeld als hiervoor een wettelijke verplichting bestaat. Met het UWV hoeft u geen verwerkersovereenkomst te sluiten. Het UWV verwerkt de persoonsgegevens die u verstrekt namelijk voor haar eigen doel (c.q. taakuitvoering) en bepaalt zelf de middelen die zij nodig heeft voor de uitvoering van haar taken.

En hoe zit het met de advocatenkantoren en arbodiensten? Daarover leest u meer in XpertHR. Als geregistreerde lezer bij XpertHR Actueel kunt u maandelijks twee gratis artikelen lezen in XpertHR. Ga direct naar:
Moet u een verwerkersovereenkomst sluiten met een advocatenkantoor? 
Moet u een verwerkersovereenkomst sluiten met een arbodienst?

Vragen XpertHR College over AVG

Het is helaas niet mogelijk om alle vragen die tijdens het XpertHR College zijn gesteld te beantwoorden, omdat sommige vragen zodanig specifiek zijn dat er meer informatie nodig is om de vraag goed te beantwoorden. Daarom is er een selectie gemaakt van de meest gestelde vragen. Mocht het antwoord op uw vraag er niet bij staan, dan kunt u altijd een beroep doen op Steffie Schepers voor juridische bijstand.

Lees meer over:

Over Auteur

Redactie XpertHR

Dit artikel is geschreven door een auteur van XpertHR. XpertHR wordt gemaakt door een team van interne juristen en externe specialisten. Het XpertHR team werkt samen met arbeidsrechtadvocaten belastingadviseurs van gerenommeerde partijen en de beste specialisten uit het vak.

Reageer