Nee, tenzij deze zorgaanbieder een verwerker is in de zin van de Algemene verordening gegevensbescherming (AVG). In de praktijk is dat bijna nooit het geval.
Een verwerkingsverantwoordelijke is degene die het doel en de middelen van de gegevensverwerking bepaalt. De concrete, feitelijke omstandigheden zijn hierbij belangrijker dan wat er in een contract staat.
Een verwerker heeft als primaire taak het verwerken van persoonsgegevens voor de verwerkingsverantwoordelijke. Maar staat niet onder het rechtstreekse gezag van de verwerkingsverantwoordelijke.
Is het verwerken van persoonsgegevens niet de primaire taak van een organisatie die in opdracht van de gemeente werkt, maar iets dat daaruit voortvloeit? Dan is deze organisatie geen verwerker, maar (mede)verwerkingsverantwoordelijke.
Een voorbeeld van een (mede)verwerkingsverantwoordelijke is een zorgorganisatie die op grond van de Wet maatschappelijke ondersteuning (Wmo) in opdracht van de gemeente huishoudelijke hulp verleent. Deze zorgorganisatie verwerkt bij die zorgverlening gegevens van de cliënten.
Het verlenen van de huishoudelijke zorg is de primaire taak, het verwerken van de persoonsgegevens vloeit hieruit voort. De zorgorganisatie is geen verwerker, maar (mede)verwerkingsverantwoordelijke.
Een door de gemeente gecontracteerde zorgaanbieder is meestal een (mede)verwerkingsverantwoordelijke en geen verwerker. Zorgaanbieders hebben vaak veel zeggenschap over de geboden hulp en welke persoonsgegevens zij daarbij nodig hebben.
Als gemeente hoeft u voor de verwerking van persoonsgegevens die voortvloeit uit de verlening van zorg dus bijna nooit een verwerkersovereenkomst af te sluiten met een gecontracteerde zorgaanbieder.
Let op: het is wel belangrijk dat in het contract tussen de gemeente en de zorgaanbieder afspraken worden opgenomen over de verwerking van persoonsgegevens.
