De drie rollen
| Rol | Kenmerk | Document |
|---|---|---|
| Verwerker | Verwerkt namens u, volgens uw instructies, niet voor eigen doeleinden | Verwerkersovereenkomst (artikel 28 AVG) |
| Zelfstandig verwerkingsverantwoordelijke | Bepaalt zelf doel en middelen, los van u | Afspraken over het delen van gegevens, vaak in een convenant of een gegevensleveringsovereenkomst |
| Gezamenlijk verwerkingsverantwoordelijke | Bepaalt samen met u doel en middelen | Onderlinge regeling (artikel 26 AVG) |
De toets: wie bepaalt het waarom en het hoe?
De Europese toezichthouders werken dit uit in de richtsnoeren 07/2020. De kern:
- Doel (waarom wordt er verwerkt?) bepaalt altijd de verwerkingsverantwoordelijke.
- Wezenlijke middelen (welke gegevens, van wie, hoe lang, wie krijgt toegang) ook.
- Niet-wezenlijke middelen, zoals de keuze van software of beveiligingstechniek, mag een verwerker zelf invullen.
- Het gaat om de feitelijke invloed, niet om wat er in het contract staat. Een partij die in een verwerkersovereenkomst "verwerker" heet maar de gegevens ook voor eigen productontwikkeling gebruikt, is voor dat deel zelf verantwoordelijk.
Gezamenlijke verantwoordelijkheid betekent niet dat beide partijen even veel doen. Het Hof van Justitie oordeelde in onder meer de zaken Wirtschaftsakademie (C-210/16), Jehovan todistajat (C-25/17) en Fashion ID (C-40/17) dat ook een beperkte, maar bepalende bijdrage genoeg kan zijn.
Vijf voorbeelden uit de praktijk
- De leverancier van het zaaksysteem van een gemeente. Verwerker: de gemeente bepaalt doel en gegevens, de leverancier host en beheert. Verwerkersovereenkomst.
- Een huurdersportaal van een corporatie. Verwerker, tenzij de leverancier de gegevens ook voor eigen analyses of marketing gebruikt. Controleer de voorwaarden.
- De accountant die de jaarrekening controleert. Meestal zelfstandig verantwoordelijk: de accountant heeft een eigen wettelijke taak en beroepsregels.
- Een wijkaanpak woonoverlast van gemeente, corporatie en politie met een gezamenlijk overleg. Vaak zelfstandige verantwoordelijken die gegevens delen; soms gezamenlijk verantwoordelijk als ze samen het doel en de gegevens bepalen. Een convenant legt de rollen vast. Doe daarbij een DPIA als de criteria dat vragen.
- Een gemeenschappelijke regeling die de uitvoering doet voor meerdere gemeenten. Dat hangt af van de regeling: voert zij taken uit namens de gemeenten, of zijn bevoegdheden aan haar overgedragen? Leg de rol per taak vast en laat de functionaris gegevensbescherming meekijken.
Hulpmiddel: de IBD heeft voor gemeenten een factsheet met een beslisboom over verwerker of verwerkingsverantwoordelijke. Loop die door voordat u een model kiest.
Wat artikel 26 vraagt bij gezamenlijke verantwoordelijkheid
- Een onderlinge regeling die op transparante wijze vastlegt wie wat doet, met name voor de rechten van betrokkenen en de informatie uit artikel 13 en 14.
- De regeling laat de rollen en de verhouding met de betrokkenen duidelijk zien.
- De wezenlijke inhoud wordt beschikbaar gesteld aan de betrokkene.
- Ongeacht de regeling kan de betrokkene zijn rechten bij elke partij uitoefenen.
Veelgemaakte fouten
- Een verwerkersovereenkomst tekenen met een samenwerkingspartner die zelf beslissingen neemt over de gegevens.
- Een convenant zonder rolverdeling, waarin alle partners "de gegevens delen" zonder dat duidelijk is wie aanspreekbaar is voor een inzageverzoek.
- Een leverancier die geanonimiseerde of "geaggregeerde" gegevens voor eigen doeleinden gebruikt, terwijl de overeenkomst dat niet regelt. Voor dat gebruik is hij geen verwerker.
Wat Datavoogd hiermee doet
De wegwijzer van Datavoogd begint bij deze vraag. U beschrijft de situatie; Datavoogd stelt een rolverdeling voor, met bron en zekerheid, en zegt welke stukken erbij horen: verwerkersovereenkomst, convenant, DPIA of een vermelding in het register. U bevestigt of wijst af. Pas daarna volgt de toets. Zie de werkwijze.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 4 onder 7 en 8, artikel 26 en artikel 28.
- EDPB, Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG, versie 2.0 (2021).
- Hof van Justitie EU: C-210/16 (Wirtschaftsakademie Schleswig-Holstein, 5 juni 2018), C-25/17 (Jehovan todistajat, 10 juli 2018), C-40/17 (Fashion ID, 29 juli 2019).
- IBD, Factsheet verwerker of verwerkingsverantwoordelijke, met beslisboom, versie 1.1 (2021).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.