In principe is het zo dat een arbodienst een verwerkingsverantwoordelijke is. Dat betekent dat er geen verwerkersovereenkomst hoeft te worden afgesloten. Het is echter wel aan te raden om gemaakte afspraken op te nemen in de (hoofd)overeenkomst die de organisatie met de arbodienst afsluit. In ieder geval moet daarin het volgende worden opgenomen:
- Dat de arbodienst en de organisatie beide erkennen dat arbodienst een verwerkingsverantwoordelijke is;
- Dat de arbodienst daarom verplicht is om zelfstandig te voldoen aan privacywet- en regelgeving, zoals de AVG;
- Dat de arbodienst uitsluitend persoonsgegevens (van de medewerkers van de organisatie) zal verwerken in overeenstemming met de beleidsregels De Zieke werknemer van de Autoriteit Persoonsgegevens.
