Of u verwerker of verwerkingsverantwoordelijke bent, bepaalt welke verplichtingen u heeft en wie aanspreekbaar is als het misgaat. Die rol volgt uit de feiten en niet uit wat er in het contract staat.
Kort samengevat
- Doel en middelen zijn beslissend. Wie die bepaalt, is verwerkingsverantwoordelijke.
- Het contract volgt de werkelijkheid. Niet andersom.
- Beroepsbeoefenaren zijn zelden verwerker. Een accountant of advocaat bepaalt zijn eigen werkwijze.
- Gezamenlijke verantwoordelijkheid bestaat. En vraagt om een eigen schriftelijke regeling.
- Een verwerker kan omslaan. Zodra hij de gegevens voor eigen doelen gaat gebruiken.
De verkeerde rolbepaling is een fout die zich pas laat voelen bij een datalek of een inzageverzoek, wanneer blijkt dat niemand zich verantwoordelijk acht voor de afhandeling.
Verwerker of verwerkingsverantwoordelijke: welke vragen stelt u?
Drie vragen brengen u in vrijwel alle gevallen bij het juiste antwoord.
Wie bepaalt waarom de gegevens worden verwerkt? Dat is het doel. De partij die beslist waarvoor de gegevens worden gebruikt, is verwerkingsverantwoordelijke.
Wie bepaalt hoe dat gebeurt op de punten die ertoe doen? Dat zijn de wezenlijke middelen: welke gegevens worden verzameld, van wie, hoe lang ze worden bewaard en wie er toegang toe heeft. Technische keuzes zoals de gebruikte software of de inrichting van een database mag de verwerker zelf maken.
Heeft de andere partij een eigen belang bij de verwerking? Zo ja, dan is de kans groot dat zij voor dat deel zelfstandig verantwoordelijk is.
Komt u er met deze drie niet uit, dan is de praktijktoets: zou deze partij de gegevens ook verwerken als u er niet was? Bij een salarisverwerker is het antwoord nee, die verwerkt uitsluitend voor u. Bij een accountant die een wettelijke controletaak uitvoert is het antwoord genuanceerder, en dat verklaart waarom die doorgaans zelfstandig verantwoordelijk is.
Wat zijn typische verwerkers?
Partijen die uitvoeren wat u opdraagt, zonder eigen zeggenschap over het waarom.
- Salarisverwerkers en administratiekantoren die uw administratie voeren.
- Hostingpartijen en aanbieders van software als dienst.
- Leveranciers van mailingsoftware, mits zij de gegevens niet voor eigen doelen gebruiken.
- Callcenters die namens u klantcontact afhandelen.
- Archief- en vernietigingsbedrijven.
En typische verwerkingsverantwoordelijken naast u: accountants met een wettelijke taak, advocaten, arbodiensten en bedrijfsartsen, pensioenuitvoerders en incassobureaus die op eigen titel vorderen. Bij een AVG M&A Audit is het bepalen van deze rollen standaard onderdeel van het onderzoek, omdat de overname zelf de rolverdeling verandert.
Wanneer is er gezamenlijke verantwoordelijkheid?
Wanneer twee partijen samen het doel en de middelen bepalen. Dat is geen tussenvorm en geen halve verantwoordelijkheid: beide partijen zijn volwaardig verantwoordelijk, en beide zijn aanspreekbaar door betrokkenen.
Het komt vaker voor dan organisaties denken. Twee partijen die samen een dienst aanbieden en daarvoor gegevens delen, een samenwerkingsverband in de zorg met een gedeeld dossier, of een platform waarop u zelf de klantrelatie voert.
De AVG verlangt in dat geval een schriftelijke regeling waarin staat wie welke verplichting nakomt. Leg in elk geval vast wie de betrokkenen informeert, wie verzoeken van betrokkenen afhandelt, wie meldt bij een datalek en hoe u onderling afstemt. De hoofdlijn van die regeling maakt u kenbaar aan betrokkenen.
Waarom maakt de rol zoveel uit?
Omdat er per rol een ander pakket verplichtingen aan hangt, en omdat betrokkenen weten moeten bij wie zij aankloppen.
Als verwerkingsverantwoordelijke bepaalt u de grondslag, informeert u de betrokkenen, handelt u hun verzoeken af, houdt u het register bij, beoordeelt u of er een gegevensbeschermingseffectbeoordeling nodig is en meldt u datalekken bij de toezichthouder. Als verwerker heeft u een aanzienlijk kleiner pakket: u verwerkt op instructie, beveiligt, meldt lekken aan uw opdrachtgever en helpt hem aan zijn verplichtingen te voldoen.
Bij een verkeerde rolbepaling ontstaat er een gat. De verwerker gaat ervan uit dat de opdrachtgever de informatieplicht regelt, de opdrachtgever gaat ervan uit dat de leverancier dat doet, en de betrokkene krijgt van niemand antwoord. Dat is precies het scenario waarin een klacht bij de toezichthouder terechtkomt.
Wanneer slaat een verwerker om?
Op het moment dat hij de gegevens voor een eigen doel gaat gebruiken. Dat is een reëel risico en het staat vaak gewoon in de voorwaarden.
Let op formuleringen als “ter verbetering van onze dienstverlening”, “voor analyse- en statistische doeleinden” of “voor de ontwikkeling van nieuwe functionaliteit”. Zodra een leverancier dat doet, bepaalt hij voor dat deel zelf het doel en is hij daarvoor zelfstandig verantwoordelijk. U moet dan weten of dat mag, en of het uit te leggen valt aan uw eigen klanten.
Dat speelt sterk bij AI-functies in bestaande software, waar gegevens soms worden gebruikt om modellen te trainen. Over die vraag in de dagelijkse praktijk schreven wij in persoonsgegevens in ChatGPT of Copilot.
Wat doet u met de uitkomst?
Leg de rol per leverancier vast in uw waarom u een register van verwerkingen bijhoudt en zorg dat het contract erop aansluit. Is er sprake van een verwerker, dan hoort er een verwerkersovereenkomst te liggen. Zijn beide partijen zelfstandig verantwoordelijk, dan is die overeenkomst juist niet passend en maakt u afspraken over de rechtmatigheid van de verstrekking.
Klopt de rol in een lopend contract niet, dan is dat geen reden tot paniek maar wel iets om bij de eerstvolgende verlenging recht te zetten. Twijfelt u over een specifieke relatie, dan is juridisch privacy advies de snelste manier om die knoop door te hakken, en met een AVG audit en nulmeting brengt u uw hele leveranciersbestand in kaart.
