gegevensverwerker

Een gegevensverwerker is een natuurlijke of rechtspersoon die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke (de controller) op basis van een overeenkomst. De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking; de gegevensverwerker voert de verwerking uit volgens diens instructies en mag meestal niet zelfstandig beslissen waarom of hoe de gegevens worden verwerkt.

Voorbeelden van een gegevensverwerker zijn cloudserviceproviders, IT-dienstverleners die systemen beheren, salaris- of HR-processors, en e-mail- of CRM-diensten die persoonsgegevens namens een organisatie verwerken. De relatie tussen controller en processor wordt doorgaans vastgelegd in een gegevensverwerkersovereenkomst (DPA), waarin onder meer de aard en categorieën van gegevens, de verwerkingsdoeleinden, de duur van de verwerking en de verantwoordelijkheden zijn beschreven.

Belangrijke verplichtingen van een gegevensverwerker zijn onder andere het verwerken van persoonsgegevens uitsluitend volgens de instructies van de controller, het implementeren van passende technische en organisatorische maatregelen om de gegevens te beschermen, en geheimhouding van de informatie. Een gegevensverwerker mag in principe geen eigen doeleinden aanwenden met de verwerkte data. Vaak is ook opgenomen dat de processor toestemming nodig heeft voor subverwerkers, en dat hij helpt bij het afhandelen van verzoeken van betrokkenen, het uitvoeren van een DPIA (indien vereist), en het melden van beveiligingsinbreuken aan de controller en eventueel aan de toezichthouder.

Bij internationale gegevensoverdrachten gelden aanvullende waarborgen, zoals standaardcontractbepalingen of adequaatheidsbesluiten. Bij beëindiging van de overeenkomst moet de verwerker de data teruggeven of verwijderen, afhankelijk van de afspraken. De controller blijft uiteindelijk verantwoordelijk voor naleving en voor de rechten van betrokkenen.