Werkgevers zijn o.b.v. de Arbowet verplicht een contract met een arbodienst af te sluiten. Arbodiensten hebben een aantal wettelijke taken, waaronder ondersteuning van de werkgever bij ziekteverzuimbegeleiding, arbeidsgezondheidskundige onderzoeken en de risico inventarisatie & -evaluatie (RI&E). Hierbij worden door de arbodienst logischerwijs persoonsgegevens verwerkt, vaak ook bijzondere persoonsgegevens (gegevens m.b.t. iemands gezondheid) of andere gevoelige gegevens zoals BSN-nummers.

Bij de uitvoering van deze wettelijke taken is de arbodienst zelf verwerkingsverantwoordelijk voor deze gegevens. Zij heeft haar eigen wettelijke taak en werkt daarbij niet op instructie van de werkgever, zodat de arbodienst bij deze taken geen verwerker is voor de werkgever. Dit is alleen anders als de arbodienst nog aanvullende diensten verleent welke niet onder haar wettelijke taken vallen; alleen in dat geval kan er sprake zijn van een verwerkersrelatie t.o.v. de werkgever, waarvoor een verwerkersovereenkomst nodig is. In de regel wordt er dus geen verwerkersovereenkomst met de arbodienst afgesloten.

Uiteraard is het van belang dat de uitwisseling van de – vaak gevoelige – persoonsgegevens wordt beperkt tot de noodzakelijke gegevens en dat dit op een veilige manier gebeurt, bijvoorbeeld via een speciale beveiligde tool. Het is belangrijk dat de afspraken hierover vastliggen in het contract met de arbodienst, bijvoorbeeld middels een Data Uitwisseling Overeenkomst.