Organisaties die met andere partijen samenwerken bij de verwerking van persoonsgegevens zijn sinds de invoering van de AVG verplicht om een zogeheten verwerkersovereenkomst af te sluiten. De Autoriteit Persoonsgegevens heeft nu 30 organisaties op dergelijke afspraken gecontroleerd. Het gaat om organisaties in onder meer in de energiesector, media en handel.

In de verwerkersovereenkomst staat vermeld hoe persoonsgegevens worden beschermd en verwerkt. Het gaat dan om welke gegevens worden verwerkt en voor hoe lang, de aard en het doel van de verwerking en op welke manier de beveiliging van de gegevens is gewaarborgd.

Ondanks het afsluiten van een verwerkersovereenkomst blijven organisaties er zelf verantwoordelijk voor dat persoonsgegevens goed beschermd zijn. "Daarom mag een organisatie alleen verwerkers inschakelen die voldoende garanties bieden dat zij ook aan de wettelijke vereisten voldoen", aldus de Autoriteit Persoonsgegevens.

De toezichthouder controleert regelmatig of organisaties zich aan de Algemene verordening gegevensbescherming (AVG) houden. Zo werd eerder al gekeken of overheidsorganisaties, ziekenhuizen, verzekeraars en banken een functionaris voor de gegevensbescherming hebben. Ook werd er onderzocht of grote private organisaties een register van verwerkingsactiviteiten bijhouden.