Door Anoniem: Ik kan me absoluut niet vinden in het antwoord van Arnoud. Je hebt een verwerkingsovereenkomst nodig als je informatie gaat verwerken in opdracht van de verantwoordelijke. Bij een pentest zal geen enkele opdrachtgever de opdracht geven om iets te gaan doen met de in het systeem opgeslagen gegevens. Het doel van de pentest is niet het verwerken van persoonsgegevens. Dat je dat soort gegevens bij je onderzoek tegenkomt staat daar los van. Een verwerkingsovereenkomst is dus niet nodig. Een geheimhoudingsverklaring is voldoende. Onthoud, niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig. Er zijn een paar uitzonderingen, waar dit er een van is. Als ik als adviseur voor een bepaald stuk software een klant met wat vragen / probleme help en meekijk op zijn scherm, dan kan ik mogelijk ook daarin opgeslagen persoonsgegevens zien. Een verwerkingsovereenkomst is dan niet nodig, slechts een ...