Een verwerker is een derde partij die in opdracht van de verwerkersverantwoordelijke persoonsgegevens verwerkt. Bij veel gemeentelijke processen worden gegevens verwerkt door derden. Denk hierbij naast werkzaamheden die uitgevoerd worden door leveranciers (van bijvoorbeeld Cloud-applicaties) ook aan samenwerkingsverbanden.
Het verlenen van opdrachten aan verwerkers brengt risico’s met zich mee op het gebied van gegevensverwerking en informatieveiligheid. De bestuursorganen van de Drechtsteden die persoonsgegevens verwerken, blijven verantwoordelijk voor de verwerking van de gegevens. Het afsluiten van verwerkersovereenkomsten geeft de mogelijkheid erop toe te zien dat ook door verwerkers gegevens juist worden beschermd en juist worden verwerkt (art. 32 AVG). Bij contracten waarmee persoonsgegevens door verwerkers worden verwerkt sluiten de Drechtsteden dan ook verwerkersovereenkomsten af. De modelovereenkomst van de VNG is uitgangspunt.
In de verwerkersovereenkomsten worden minimaal afspraken gemaakt over:
de doeleinden waarvoor de gegevens mogen worden verwerkt.
hoe de verwerker met de persoonsgegevens moet omgaan.
welke beveiligingsmaatregelen moeten worden genomen.
welke vormen van toezicht de eigenaar mag uitoefenen.
geheimhoudingsplicht.
inschakeling van derden en onderaannemers.
locatie van de data.
aansprakelijkheid van schade door het niet naleven van regelgeving.
exit-strategie.
Om te borgen dat er verwerkersovereenkomsten worden gesloten, vormt dit een vast onderdeel van het inkoopproces. De verwerkersovereenkomsten worden gearchiveerd, bij voorkeur samen met de hoofdovereenkomst.
Overigens is niet iedere derde met wie persoonsgegevens worden gedeeld een verwerker. De AP verwoordt dat als volgt: "Als u als verwerkingsverantwoordelijke aan een andere partij persoonsgegevens verstrekt zodat die andere partij een product of een dienst kan leveren aan een betrokkene, dan is die andere partij zelf verwerkingsverantwoordelijke. De leverancier van het product of de dienst stelt zelf namelijk het doel en de middelen vast voor de verwerking van de persoonsgegevens die hij ontvangt van de opdrachtgever voor het leveren van een product of een dienst aan betrokkene. In dat geval bent u beide verwerkingsverantwoordelijke." Kortom, onder andere de NS, het RIEC, de accountant, het UWV en het ABP zijn geen verwerker namens de Drechtsteden, maar verwerkingsverantwoordelijke.
We gebruiken noodzakelijke cookies voor je account en beveiliging. Voor anonieme gebruiksstatistieken (Google Analytics) vragen we je toestemming. Meer over cookies