Direct antwoord · AVG
Verwerker en verwerkersovereenkomst
Een leverancier die persoonsgegevens alleen in opdracht en volgens de instructies van de klant verwerkt, is verwerker (artikel 4 punt 8). De verwerking moet dan geregeld zijn in een verwerkersovereenkomst (artikel 28 lid 3) met onder meer: verwerking alleen op schriftelijke instructie; geheimhouding van wie de gegevens verwerkt; beveiliging volgens artikel 32; voorwaarden voor subverwerkers (artikel 28 lid 2 en 4); hulp bij verzoeken van betrokkenen en bij de plichten van de artikelen 32 tot en met 36; verwijderen of teruggeven van de gegevens na afloop; en informatie en medewerking bij audits. Bepaalt de leverancier zelf doelen of middelen, dan wordt hij voor dat deel zelf verwerkingsverantwoordelijke (artikel 28 lid 10).
Dit stelt u zelf vast
- Gebruikt de leverancier de gegevens ook voor eigen doelen, zoals het verbeteren van zijn product?
Wetsartikelen
- art. 4 punt 8 AVG Definitie van verwerker.
- art. 28 lid 3 onder a tot en met h AVG Verplichte inhoud van de verwerkersovereenkomst.
- art. 28 lid 10 AVG Wie zelf doelen en middelen bepaalt, is verwerkingsverantwoordelijke.
Richtsnoeren en besluiten
- Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG (EDPB, v2.1, 2021-07-07)Richtsnoeren over verwerkingsverantwoordelijke en verwerker.
- Standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers (Europese Commissie, (EU) 2021/915, 2021-06-04)Standaardcontractbepalingen tussen verantwoordelijke en verwerker.
- Advies 22/2024 over bepaalde verplichtingen bij het inschakelen van verwerkers en subverwerkers (EDPB, 2024-10-07)Plichten bij het inschakelen van verwerkers en subverwerkers.
