verwerkersplicht

Verwerkersplicht is een term uit het Europese en Nederlandse privacyrecht die de verplichtingen beschrijft van een verwerker die persoonsgegevens verwerkt namens een verwerkingsverantwoordelijke (controller). De verwerkersplicht vloeit voort uit de Algemene Verordening Gegevensbescherming (AVG) en de implementatie daarvan in de Nederlandse wetgeving; de kern ligt vooral bij artikel 28 van de AVG.

Belangrijke verplichtingen zijn onder meer: de verwerking van persoonsgegevens uitsluitend op schriftelijke instructie van de verwerkingsverantwoordelijke uitvoeren; passende technische en organisatorische beveiligingsmaatregelen nemen die passen bij de risico’s van de verwerking; geen verwerking door derden toestaan zonder toestemming of contractuele verplichting (subverwerkers); en een geheimhoudingsplicht naleven voor alle personen die betrokken zijn bij de verwerking.

Daarnaast moet de verwerker de verwerkingsverantwoordelijke bijstaan bij het voldoen aan rechten van betrokkenen (inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar) en bij de beoordeling en uitvoering van dat protection impact assessments. Bij een beveiligingsincident moet de verwerker de verwerkingsverantwoordelijke onverwijld informeren en meewerken aan de afhandeling en melding aan de toezichthouder indien nodig.

Aan het einde van de dienstverlening of op verzoek moet de verwerker alle persoonsgegevens teruggeven of vernietigen, tenzij wettelijke bewaarplichten dit verhinderen. Een verwerker is doorgaans verplicht om een schriftelijke verwerkersovereenkomst gesloten te hebben met de verwerkingsverantwoordelijke en een passende administratie bij te houden van de verwerkingen die zij namens de controller uitvoeren. Overtredingen kunnen leiden tot toezicht en boetes door de bevoegde autoriteiten.