Er is inmiddels veel duidelijkheid gekomen in de aanvullende eisen die de AVG stelt bovenop datgeen we al hadden onder het regime van de WBP. Interessante kwesties zijn de revue gepasseerd. Vooral wie nu eigenlijk de Verwerkersovereenkomst moet sturen. Het blijkt dat veel verwerkers zelf, als ontzorging, een overeenkomst sturen naar de opdrachtgevers. Ha fijn denkt het kleine bedrijf en tekent. Echter, de Verantwoordelijke is ook de inkoper van de dienst. Ik ben veel van dit type verwerkersovereenkomsten tegengekomen die een beetje vanuit het gezichtspunt van de verwerker zijn geschreven, met name op het gebied van het afhouden van aansprakelijkheid. Ook de beëindiging van de overeenkomst is niet goed uitgewerkt in die gevallen waar er wettelijke bewaartermijnen van bijvoorbeeld medische-dossiers (Arbeidsgeneeskunde 15 jaar, asbestblootstelling 40 jaar etc.) of blootstellingsregisters in het geding zijn. Niet alleen de beëindiging van de overeenkomst is dan een aandachtspunt, maar ook het teruggeven van gegevens of de wens "vergeten" te worden.
De Betrokkene kan het wel willen, maar het kan niet vanuit van toepassing zijnde wetgeving.
Het is in ieder geval zaak, als Verantwoordelijke ook de regie te behouden over de inhoud van de Verwerkersovereenkomst.