verwerkingsopdrachten

Verwerkingsopdrachten is een term uit de Nederlandse praktijk op het gebied van gegevensbescherming. Het verwijst naar de instructie van een verwerkingsverantwoordelijke (de controller) aan een verwerker (de processor) om persoonsgegevens te verwerken ten behoeve van de controller. De opdracht bepaalt wat er precies met de data moet gebeuren, en onder welke omstandigheden en beperkingen dit gebeurt.

Inhoudelijke elementen

Een verwerkingsopdracht beschrijft doorgaans de verwerkingdoeleinden, de aard van de verwerking, de categorieën persoonsgegevens en de categorieën betrokken subjecten, de duur van de verwerking en eventuele andere concrete instructies over verwerkingstechnieken en beveiligingsmaatregelen. Vaak maakt deze opdracht deel uit van, of wordt gekoppeld aan, een verwerkersovereenkomst (DPA). De DPA regelt de rechten, plichten en verantwoordelijkheden van beide partijen, terwijl de verwerkingsopdracht de feitelijke instructies bevat.

Verantwoordelijkheden en naleving

De verwerker mag de persoonsgegevens uitsluitend verwerken volgens de schriftelijk vastgelegde instructies van de controller en moet passende technische en organisatorische maatregelen nemen om de gegevens te beschermen. De verwerker dient de controller te helpen bij rechten van betrokkenen, meldingen van datalekken en verwerkingen die vereenvoudigen bij een DPIA. Als subprocessors worden ingezet, vereist de opdracht vaak toestemming of een herbevestiging van de controller en moet de verwerkingsovereenkomst hereindien zorgen voor toezicht en contractuele waarborgen.

Wijzigingen

Wijzigingen in doel of aard van de verwerking vereisen nieuwe of aangepaste instructies, en mogelijk een gewijzigde verwerkersovereenkomst. Verwerkingsopdrachten helpen bij het vastleggen van heldere verwerkingsgrenzen en verantwoordelijkheden in data‑verwerkingstransacties.