Ben ik verwerkingsverantwoordelijke of verwerker

Verwerkingsverantwoordelijke of verwerker

door

Ben ik nu een verwerkingsverantwoordelijke of een verwerker? Of is er een gezamenlijke verantwoordelijkheid voor het verwerken van persoonsgegevens? Ondanks dat de Algemene Verordening Gegevensbescherming (AVG) al weer een behoorlijk tijdje van toepassing is, zijn er nog steeds veel vragen over deze verordening. Zo blijkt het in de praktijk lastig  te zijn om vast te stellen of je verwerkingsverantwoordelijke of verwerker bent. Laat staan of je misschien een gezamenlijke verantwoordelijkheid hebt?

Meer duidelijkheid over de vraag of je verwerkingsverantwoordelijke of verwerker bent

Op 7 juli 2021 heeft de European Data Protection Board (EDPB) guidelines gepubliceerd. Deze “Guidelines 07/2020 on the concepts of controller and processor” waren al eerder ter consultatie gepubliceerd en gaan in op de begrippen verwerker, verwerkingsverantwoordelijke en gezamenlijke verwerkingsverantwoordelijke. Ook wordt er ingegaan op de belangrijkste gevolgen voor verantwoordelijken, verwerkers en gezamenlijke verantwoordelijken van persoonsgegevens.

Guidelines EDPB als hulpmiddel

De guidelines beogen een hulpmiddel te zijn bij het vaststellen of je als verwerkingsverantwoordelijke of verwerker wordt gekwalificeerd, of dat er sprake is van een gezamenlijke verwerkingsverantwoordelijkheid. Naast de tekst die zeer uitvoerig is worden er tal van voorbeelden gegeven. Het document eindigt met een flowchart die je (relatief) eenvoudig moet helpen bij het vaststellen van je verantwoordelijkheid. Ook wordt in de guidelines ingegaan op de verantwoordelijkheden die je als verwerkingsverantwoordelijke of verwerker hebt.

Verwerkingsverantwoordelijke of verwerker?

Mocht je nu denken: “hoe zat het ook alweer met die verwerkingsverantwoordelijke en die verwerker?” Op juridict.nl zijn veel specifieke artikelen hierover terug te vinden. Een voorbeeld is altijd weer een aardige manier om mee te beginnen:

Een pakkend voorbeeld is steeds weer de werkgever die de gegevens verwerkt van zijn werknemers. De werkgever bepaalt het doel en de middelen voor de verwerking van die gegevens en is daarmee de verwerkingsverantwoordelijk. Wanneer deze werkgever vervolgens een derde inschakelt voor het uitvoeren van de salarisadministratie, dan is die derde als snel aan te merken als een verwerker. Maar wat nu als werkgever een chocolatier vraagt om een mooie doos chocolade laat bezorgen bij een aantal medewerkers? Deze chocolatier bepaalt op zijn beurt het doel en de middelen om de bezorgopdracht te kunnen uitvoeren. De chocolatier is daarmee zelf een verwerkingsverantwoordelijke. Hieronder nog even een korte samenvatting.

De verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke is op grond van art. 4 AVG een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

De verwerker

De verwerker is degene (veelal een toeleverancier/ dienstverlener) die de persoonsgegevens verwerkt in opdracht van een verantwoordelijke. Het in opdracht verwerken van persoonsgegevens impliceert dat de verwerker niet zelf het doel en de middelen voor de gegevensverwerking vaststelt. De verwerker handelt overeenkomstig de instructies van de verantwoordelijke en onder diens uitdrukkelijke verantwoordelijkheid. Wanneer een verwerker tevens de persoonsgegevens voor eigen doeleinden verwerkt, is er voor dat deel sprake van medeverantwoordelijkheid.

Ben ik verwerkingsverantwoordelijke of verwerker?

De verwerkingsverantwoordelijke is dus degene die beslist of, en zo ja, welke gegevens er worden verwerkt, met welk doel dat gebeurt en op welke wijze, terwijl de verwerker degene is die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Je wordt gekwalificeerd als een gezamenlijke verwerkingsverantwoordelijke als je samen met één of meer organisaties gezamenlijk bepaalt waarom en hoe persoonsgegevens moeten worden verwerkt De diensten die je als verwerker jegens een verwerkingsverantwoordelijke levert dienen in een verwerkersovereenkomst te worden gespecificeerd.

Vragen over de verwerkingsverantwoordelijke of over de verwerker?

Heb je nog vragen over de rol van verwerkingsverantwoordelijke of van verwerker of over het privacyrecht in het algemeen, neemt dan gerust contact op of lees andere artikelen over dit onderwerp.

Misschien ook iets voor u
schadevergoeding onder de avgGeen dubbele schadevergoeding bij beroep op AVG
PatiëntgegevensHerleidbaarheid van individuele personen
Sociale MediaUitspraak in een kort geding inzake uitingen via Twitter en WordPress
RechtbankRechtbank als verwerker?
Een moeder die is ontheven van het gezag over haar kinderen, verzoekt de rechtbank Midden-Nederland om vervangende toestemming te verlenen om inzage te krijgen in het dossier van de kinderen bij Bureau Jeugdzorg in Utrecht (gecertificeerde instelling Samen Veilig Midden-Nederland, verder genoemd de GI). De moeder wordt niet ontvankelijk verklaard in haar verzoek doordat zij zich beroept op een niet bestaande rechtsfiguur. In het belang van de kinderen wijdt de rechtbank nog een aantal inhoudelijke overwegingen aan het geschil tussen partijen. Beroep op niet bestaande rechtsfiguur De rechtbank Midden-Nederland geeft aan dat zij de moeder niet ontvankelijk zal verklaren in haar verzoek. De GI heeft er naar oordeel van de rechtbank terecht op gewezen dat niet is voorzien in een procedure die er toe strekt dat een ouder vervangende toestemming kan krijgen voor inzage in het dossier. Die rechtsfiguur bestaat niet. De rechtbank behandelt en motiveert het verzoek van de moeder voorzover zij haar verzoek zou hebben gebaseerd op art. 35 UAVG Recht op inzage; de wegen van de AVG en UAVG Op grond van art.15 AVG heeft een betrokkene het recht heeft om van een verwerkingsverantwoordelijke die zijn of haar persoonsgegevens verwerkt inzage te verkrijgen in deze persoonsgegevens. De verwerkingsverantwoordelijke verstrekt de betrokkene desgevraagd een kopie van de verwerkte persoonsgegevens. Indien deze betrokkene zich niet kan vinden in het besluit dat de verwerkingsverantwoordelijke heeft genomen op zijn verzoek kan hij zich met een verzoekschrift wenden tot de rechtbank. Tenminste als de verwerkingsgerechtigde geen bestuursorgaan is. Op grond van art. 35 UAVG kan hij de rechtbank dan verzoeken de verwerkingsgerechtigde te bevelen om alsnog aan zijn initiële verzoek te voldoen. Is de verwerkingsverantwoordelijke wel een bestuursorgaan dan staat de weg naar de bestuursrechter open volgens de bepalingen van de Algemene wet bestuursrecht. Dit op grond van art. 34 UAVG. Termijnoverschrijding De GI is een rechtspersoon, geen bestuursorgaan. De moeder had dus aan de rechtbank kunnen verzoeken de GI te bevelen alsnog aan haar verzoek om inzage van het dossier te voldoen. Een dergelijk verzoek moet worden ingediend binnen een termijn van zes weken na ontvangst van het antwoord van de verwerkingsgerechtigde op het initiële verzoek. De GI heeft hier op gewezen, zo stelt de rechtbank. Het verzoek van de moeder is ruim na de termijn van zes weken ingediend. De rechtbank maakt duidelijk, ook al zou de moeder de rechtsingang van art. 35 UAVG hebben gekozen, zij eveneens niet ontvankelijk zou zijn geweest, maar dan wegens termijnoverschrijding. De advocaat van de moeder verzoekt de rechtbank om de behandeling van het verzoekschrift aan te houden om de moeder de gelegenheid te geven opnieuw eenzelfde verzoek bij de GI in te dienen. De rechtbank wijst dit verzoek af. De termijn van zes weken is er niet voor niets, zo stelt de rechtbank. Ook geen beroep op de Jeugdwet In het belang van de kinderen wijdt de rechtbank nog een aantal inhoudelijke overwegingen aan het geschil tussen partijen. Het recht op afschrift van de moeder mag geen afbreuk doen aan de rechten en vrijheden van anderen, zoals is bepaald art. 15 lid 4 AVG. De kinderen hebben uitdrukkelijk aangegeven dat zij niet willen dat hun dossier met de moeder wordt gedeeld. Daarnaast heeft de GI, als voogd, aangevoerd dat het verstrekken van het dossier niet in het belang van de kinderen is. Het recht op privacy van de kinderen, zo stelt de rechtbank, geldt ook voor de door de moeder opgeëiste verslagen van de omgang tussen haar en de kinderen en van de verslagen die gemaakt zijn van gesprekken tussen haar en de GI en/of de pleegzorginstelling. Daarnaast gaat de rechtbank in op de situatie dat de moeder zich zou beroepen op art. 7.3.10 van de Jeugdwet. Art. 7.3.10 verplicht de jeugdhulpverlener om aan de betrokkene desgevraagd inzicht te geven in, en afschrift te verstrekken van, de gegevens van het dossier over de aan de betrokkene verleende jeugdhulp. Naar het oordeel van de rechtbank is de moeder niet aan te merken als betrokkene in de zin van dit artikel. Het is niet de moeder over wie de voogdij wordt uitgevoerd maar de kinderen, zo motiveert de rechtbank. Er is met betrekking tot de moeder evenmin sprake van de uitvoering van een maatregel die haar gezag beperkt. Haar gezag is immers geëindigd. Aanvullend wordt opgemerkt dat art. 7.3.10 van de Jeugdwet een zelfde soort exceptie kent als 15 lid 4 AVG. De rechtbank verklaart de moeder niet ontvankelijk in haar verzoek. Vragen over Privacykwesties? Heb je nog vragen over dit onderwerp of over het privacyrecht in het algemeen, neemt dan gerust contact op of lees andere artikelen over dit onderwerp.Niet ontvankelijk door beroep op niet bestaande rechtsfiguur
Boete voor ontbreken risicoanalyse mobiele camera-auto’sBoete AP door ontbreken DPIA bij inzet van mobiele camera auto’s