Adfiz en Verbond: verwerkersovereenkomsten niet nodig

1. 5 april 2018
2. 0 reacties

Verzekeraars en intermediair moeten van alles doen om zich voor te bereiden op de Algemene Verordening Gegevensbescherming (Avg), maar ze hoeven onderling geen verwerkingsovereenkomsten af te sluiten. Reden is dat zowel verzekeraar als intermediair zelfstandig aan te merken zijn als ‘verantwoordelijke’ op grond van de privacy-regelgeving. Dit is het gemeenschappelijke statement van Adfiz en het Verbond van Verzekeraars.

Het Verbond en Adfiz stellen vast dat verzekeraars en adviseurs in principe allen zelfstandig als Verwerkingsverantwoordelijke moeten worden beschouwd: ieder van deze partijen bepaalt zelf het doel en middelen van de gegevensverwerking en is zelfstandig verantwoordelijk voor het eigen privacy beleid. Daarmee is er dan ook geen noodzaak voor verwerkersovereenkomsten tussen deze partijen. Adfiz brengt dit standpunt gelijktijdig bij zijn leden onder de aandacht.

"Bepalend voor het onderscheid Verwerkingsverantwoordelijke of Verwerker is dat een verwerkingsverantwoordelijke degene is die het doel en de middelen voor de gegevensverwerking vaststelt. Een Verwerker daarentegen heeft geen zeggenschap over het doel en de middelen en handelt uitsluitend in opdracht van de Verwerkingsverantwoordelijke bij het verwerken van persoonsgegevens, waarbij de verwerking de primaire opdracht is", zo schrijft Verbondsdirecteur Leo de Boer in een brief aan de leden van het Verbond.

"De verwerking van persoonsgegevens is zowel voor een Aanbieder als ook voor een Adviseur/
Bemiddelaar niet te beschouwen als een primaire opdracht, maar is boven alles een uitvloeisel
van een andere vorm van dienstverlening die als kernactiviteit binnen het bedrijf wordt
uitgevoerd. Ook kan niet gesteld worden dat de ene partij ten behoeve van de andere partij de
gegevens verwerkt c.q. dat er sprake is van een vorm van inschakeling voor de eigen gegevensverwerking."

Volgens Adfiz en het Verbond is dit niet het geval en is dus het sluiten van een verwerkersovereenkomst
niet aan de orde. Volgens de twee belangenorganisaties is dit geen nieuws. "In de oude, nog geldende, Gedragscode Verwerking Persoonsgegevens Financiële Instellingen werd deze lijn reeds ingenomen. Het is ook logisch: alleen als de Adviseur/Bemiddelaar in opdracht van de Verzekeraar zou werken, zou overwogen kunnen worden of het Intermediair verwerker is. Maar de Adviseur/Bemiddelaar heeft een eigen rol richting de klant en bepaalt zelf de bijbehorende middelen. Doel is niet het afsluiten van verzekeringen, maar het leveren van onafhankelijk advies en/of het (assisteren bij) het beheer van producten. Dat advies kan ook zijn, dat voor een bepaald risico geen verzekering nodig is, of een ander product: daarom is de Adviseur/Bemiddelaar geen Verwerker."

Ook al is er geen Verantwoordelijke/Verwerkersrelatie, toch kunnen het Verbond en Adfiz zich voorstellen dat er datalekken en/of andere problemen zijn, waarin de ketenpartners elkaar over en weer informeren. "Als bij een datalek bijvoorbeeld inloggegevens verloren raken, waarmee op gezamenlijke systemen ingelogd kan worden, dan is het belangrijk elkaar daarover te informeren, om de schade zoveel mogelijk te beperken."

Reactie toevoegen

Naam

E-mailadres

Reactie

Organisatie

Telefoonnummer

VVPVIP HypothekenVVP Innovatie PlatformVIP SchadeVVP Twitter

Toevoegen 

Meer over

• wet avg 2018
• avg

Abonnement aanvragen