Moet ik een verwerkersovereenkomst sluiten met de arbodienst?

De AVG bepaalt dat in sommige gevallen een verwerkersovereenkomst nodig is. Vaak wordt gesproken van een ‘uitbestedingsrelatie’. Dit is de verhouding tussen de verwerkingsverantwoordelijke en de verwerker waarin de verwerkingsverantwoordelijke opdracht geeft aan de verwerker om namens hem gegevens te verwerken. Zo kan een werkgever bepaalde taken uitbesteden aan een derde. Denk aan de salarisadministratie, het beheren van een website of webwinkel of het exploiteren van een administratieprogramma. In die gevallen moet met betrekking tot de verwerking van persoonsgegevens een verwerkersovereenkomst worden afgesloten.

Leidend voor de vraag wanneer een verwerkersovereenkomst verplicht is, is de vraag wie het doel en de middelen van de verwerking bepaalt. De AVG noemt diegene de verwerkingsverantwoordelijke. Vaak is de werkgever verwerkingsverantwoordelijke. Hij bepaalt de verwerkingsdoelen in zijn onderneming of de doelen met betrekking tot P&O. De AVG neemt als uitgangspunt dat het bedrijf dat het doel en de middelen van verwerking bepaalt, het initiatief moet nemen met betrekking tot een verwerkingsovereenkomst. Op de verwerker rust onder andere de plicht om instructies van de verwerkingsverantwoordelijke met betrekking tot verwerking op te volgen, audits te ondergaan en geheimhouding te bedingen ten overstaan van eventuele subverwerkers.

Is SuperGarant Zorg een verwerker en de werkgever een verwerkingsverantwoordelijke? Of is SuperGarant Zorg verwerkingsverantwoordelijke en de werkgever verwerker?

Het College Bescherming persoonsgegevens (thans de Autoriteit Persoonsgegevens) heeft in zijn rapport ‘Onderzoek naar de verstrekking van medische gegevens van werknemers aan werkgevers door arbodienst Perspectief Group B.V.’ uit 2013 bevonden dat de arbodienst een (verwerkings)verantwoordelijke is. Volgens het CPb is de arbodienst die het doel en middelen van de verwerking bepaalt, aan te merken als verantwoordelijke in de Wbp. Onder de AVG blijft deze visie gehandhaafd. Een arbodienstverlener is met zoveel woorden een verwerkingsverantwoordelijke.

Dit betekent dat zowel SuperGarant Zorg als de werkgever verwerkingsverantwoordelijke zijn. Let er dus op dat er geen sprake meer is van een ‘ uitbestedingsrelatie’ waar volgens artikel 28 lid 3 AVG een verwerkersovereenkomst voor nodig is. De werkgever stelt de verwerkingsdoelen vast met betrekking tot bedrijfsprocessen. SuperGarant Zorg stelt verwerkingsdoelen vast met betrekking tot verzuim. Zie hiervoor ons privacyreglement.

Werkgevers kunnen dus geen verwerkersovereenkomst afsluiten met hun arbodienst. Er is geen sprake van een verwerkingsrelatie. SuperGarant Zorg bepaalt zelf de doelen en is daar zelfs wettelijke toe verplicht. Aangezien er voor een verwerkingsovereenkomst niet twee verwerkingsverantwoordelijke kunnen zijn, is het niet mogelijk om een verwerkingsovereenkomst af te sluiten.


[1] CPb, ‘Onderzoek naar de verstrekking van medische gegevens van werknemers aan werkgevers door arbodienst Perspectief Group B.V’, Z2012-00770, 2013, pagina 20. Klik hier voor het volledige rapport.
[2] Zie artikel 7:658a lid 5 Burgerlijk Wetboek, artikel 14a Arobwet en artikel 42 lid 3 WIA.