Verwerker of (gezamenlijke) verantwoordelijke?

In de praktijk komt het nog vaak voor dat partijen die persoonsgegevens verwerken niet zeker weten wie van hen de Verwerker is in de zin van de AVG en wie van hen de Verantwoordelijke.

Onzekerheid rolverdeling verwerkersovereenkomst

Onzekerheid over de rolverdeling kan bijvoorbeeld boven komen drijven op het moment dat partijen een verwerkersovereenkomst moeten sluiten. De verwerkersovereenkomst wordt gesloten in verband met de verplichting uit artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (AVG). De AVG verplicht namelijk om de verwerking van persoonsgegevens ten behoeve van een verantwoordelijke door een verwerker te regelen krachtens een overeenkomst of andere rechtshandeling.

De Hoofdregel

De Verantwoordelijke is de partij die het doel en de middelen voor de verwerking van persoonsgegevens bepaalt. De verwerker is de partij die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt. Op het oog is hier sprake van simpele criteria, maar in de praktijk blijkt vaak dat partijen moeite hebben om hun activiteiten en hun verhouding tot elkaar te kwalificeren.

Wie verantwoordelijke is en wie verwerker is een feitelijke vraag, hetgeen betekent dat aan de hand van feitelijke omstandigheden wordt bepaald of een partij verantwoordelijke of verwerker is.

Rijst de vraag “Hoe weet u of uw organisatie Verantwoordelijke is in de zin van de AVG?”. Dit artikel laat zien waarom deze vraag in de praktijk zo moeilijk te beantwoorden is.

Waarom maakt het uit of je de Verantwoordelijke of een Verwerker bent?

De AVG legt verschillende wettelijk verplichtingen op aan zowel de Verantwoordelijke als de Verwerker. De wettelijke verplichtingen die op de Verantwoordelijke rusten zijn echter veelvuldiger en zwaarder dan die van de Verwerker.

Verplichtingen Verantwoordelijke veelvuldiger en zwaarder

Zo rust de verantwoordelijkheid om er zorg voor te dragen dat de verwerking van persoonsgegevens op rechtmatige, behoorlijke en transparante wijze gebeurt bij de Verantwoordelijke uit hoofde van artikel 5 lid 2 AVG.

Het is de Verantwoordelijke die onder de AVG verantwoordelijk is voor het geven van gevolg aan verzoeken van het data subject om zijn of haar rechten uit de AVG (recht op inzage, recht op gegevenswissing, recht op dataportabiliteit etc.) in te roepen.

Ook rust op de Verantwoordelijke de verplichting om slechts Verwerkers in te schakelen die afdoende garanties bieden op het gebied van passende technische en organisatorische maatregelen ter bescherming van de persoonsgegevens en de rechten van het data subject.

Indien een (vermoed) datalek zich voordoet dat een voldoende waarschijnlijk risico inhoudt voor de rechten en vrijheden van natuurlijke personen is het de Verantwoordelijke die verplicht is zonder onredelijke vertraging en, indien mogelijk, uiterlijk binnen 72 uur het (vermoede) datalek te melden bij de Autoriteit Persoonsgegevens. Het beoordelen van de ernst van een (potentieel) datalek en de noodzaak van een melding is eveneens een taak van de Verantwoordelijke, hetgeen het voor een Verantwoordelijke verstandig maakt om een datalekprotocol te implementeren en een datalekregister bij te houden.

Feitelijke uitvoering Verwerker

In de praktijk is het echter vaak de ICT-leverancier als Verwerker die het inwilligen van het verzoek feitelijk uitvoert. Het is van belang te beseffen dat de Verwerker meewerkt aan verzoeken van het data subject ten behoeve van de Verantwoordelijke en doorgaans op grond van een contractuele verplichting in de verwerkersovereenkomst om dergelijke bijstand te verlenen.

Gezamenlijke of Gedeeltelijke Verantwoordelijke

Er kan sprake zijn van meer dan één Verantwoordelijke. Ook kan sprake zijn van gezamenlijke Verantwoordelijken die samen het doel en de middelen bepalen.

Gezamenlijke Verantwoordelijken

In het laatste geval schrijft de AVG voor dat de gezamenlijke Verantwoordelijken op een transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit de AVG vastleggen en dat die onderlinge regeling vervolgens op transparante wijze aan het data subject ter beschikking wordt gesteld. Op de gezamenlijke Verantwoordelijken individueel blijven wel alle wettelijke verplichtingen van een Verantwoordelijke rusten, ook als zij onderling afspraken hebben gemaakt over de verdeling van verantwoordelijkheden.

De Verwerker heeft wettelijke verplichtingen, maar wordt binnen de systematiek van de wet voorgesteld als de ‘helpende hand’ van de Verantwoordelijke die slechts de instructies van de Verantwoordelijke opvolgt en zelf geen doelen nastreeft bij de verwerking van persoonsgegevens. De ervaring leert echter dat een partij die de persoonsgegevens verwerkt zichzelf al snel als verantwoordelijk begint te beschouwen, zelfs al heeft die partij niet de doeleinden waarvoor bepaalde persoonsgegevens zijn verwerkt bepaald.

Gedeeltelijke Verantwoordelijke

Andersom is het ook mogelijk dat een partij die zichzelf wel (terecht) als grotendeels Verwerker ziet alsnog als (gezamenlijke) Verantwoordelijke wordt aangemerkt voor een deel van de verwerkingen van persoonsgegevens.

De vraag of een bepaalde partij Verantwoordelijke is dient doorgaans per verwerking en op basis van de feiten en omstandigheden van het geval te worden bekeken.

Het kan voorkomen dat twee partijen bezig zijn met een project ten behoeve van één partij waarbij veel verschillende verwerkingen van persoonsgegevens plaatsvinden, de rolverdeling lijkt dan duidelijk. Het is echter mogelijk dat binnen het kader van dat project in een bepaalde verwerking plaatsvindt waarvoor

• de ‘Verwerker’ de doeleinden en de middelen bepaalt, of
• die uit het geheel van verwerkingen dat plaatsvindt eerder de (economische) belangen van de ‘Verwerker’ dient.

In het laatste kan de partij die voor het grootste deel van de verwerkingen ‘ Verwerker’ is alsnog worden aangemerkt als (mede-) Verantwoordelijke voor dat gedeelte van de verwerkingen

Aanknopingspunten uit de jurisprudentie

Het privacyrecht is nog een relatief jong rechtsgebied, in die zin dat veel is veranderd als gevolg van de digitalisering. Het grondrecht op de eerbiediging van de persoonlijke levenssfeer en de erkenning van het recht op privacy als mensenrecht zijn ouder dan de inhoud van de AVG.

Interpretatie begrip “Verantwoordelijke”

Toch is de invulling van het begrip “Verantwoordelijke” uit de AVG een onderwerp waarover in korte tijd al veel gezaghebbende uitspraken zijn gewezen. Uit deze jurisprudentie kan een enigszins voorspelbare lijn van interpretatie worden opgemaakt bij het invullen van het begrip “Verantwoordelijke”.

Google Spain/Costeja Gonzalez

In de geruchtmakende zaak HvJ EU 13 mei 2014, Case C‑131/12, (Google Spain/Costeja Gonzalez), waarin onder andere het zogeheten ‘recht op vergetelheid ’ (“right to be forgotten”) voor het eerst is erkend, is ook een belangrijk aanknopingspunt vastgesteld voor de kwalificering van het begrip “Verantwoordelijke”.

Begrip “Verantwoordelijke” breed uitgelegd

Het EU Hof van Justitie oordeelde in deze zaak dat het begrip “Verantwoordelijke” breed dient te worden uitgelegd, met het oog op het bieden van een doeltreffende en volledige bescherming van de data subjecten.

De AVG beoogt de data subjecten te beschermen door middel van informatieverplichtingen. De AVG beoogt de data subjecten ook te beschermen door hen de bevoegdheid te geven bepaalde rechten in te roepen, op het moment dat hun persoonsgegevens worden verwerkt voor andermans doeleinden. Het Hof van Justitie oordeelde als volgt:

Het doel van en de middelen

“33. Het is de exploitant van de zoekmachine die het doel van en de middelen voor deze activiteit vaststelt en dus van de door hem zelf in dat kader verrichte verwerking van persoonsgegevens, zodat hij krachtens dat artikel 2, sub d, moet worden geacht de „verantwoordelijke” voor deze verwerking te zijn.

34. Overigens moet worden vastgesteld dat het niet enkel in strijd zou zijn met de duidelijke bewoordingen, maar tevens met de doelstelling van deze bepaling, die erin bestaat een doeltreffende en volledige bescherming van de betrokkenen te verzekeren via een ruime omschrijving van het begrip „verantwoordelijke”, indien de exploitant van een zoekmachine van die omschrijving zou worden uitgesloten omdat hij geen controle uitoefent over de op webpagina’s van derden gepubliceerde persoonsgegevens.”

Wirtschaftsakademie & Fashion ID

In de zaak HvJ EU 5 juni 2018, Case C- 210/16, (Wirtschaftsakademie) en in de zaak HvJ EU 29 juli 2019, C-40/17, (Fashion ID) is die lijn van doeltreffende en volledige bescherming bevestigd en uitgebreid met het meewegen van de commerciële belangen die een bepaalde partij bij een verwerking van persoonsgegevens heeft. Zoals

• “het beheer of de promotie van zijn activiteiten” en
• “Het verkrijgen van dit commerciële voordeel, dat in meer reclame voor haar producten bestaat”.

Commerciële belangen 

Er wordt bij de toewijzing van de status van Verantwoordelijke nadrukkelijk voor gekozen om niet zozeer te kijken naar hoeveel feitelijke controle de (vermoedelijke) Verantwoordelijke had over de persoonsgegevens en of hij daar überhaupt rechtstreekse toegang toe heeft, maar of zijn (economische) belangen zijn gebaat bij een bepaalde verwerking van een persoonsgegeven.

Niet per se commercieel van aard

Overigens hoeven de belangen van de (vermoedelijke) Verantwoordelijke niet per se commercieel van aard te zijn, zoals is gebleken in de zaak HvJ EU 10 juli 2018, C-25/17, (Jehova’s Getuigen).

In deze zaak werd zelfs geoordeeld dat uit de schriftelijke richtsnoeren of instructies van de Jehova Gemeenschap voor de leden-verkondigers niet kon worden opgemaakt dat de leden-verkondigers zelf geen Verantwoordelijken waren. De leden-verkondigers deelden de doelen van hele de gemeenschap van Jehova’s getuigen. De leden-verkondigers bepaalden zelf in welke concrete gevallen zij persoonsgegevens over de bezochte personen verzamelen, welke gegevens zij precies verzamelen en hoe zij die gegevens later verwerken. De gemeenschap van Jehova’s getuigen en de leden-verkondigers konden als gezamenlijke Verantwoordelijken worden aangemerkt.

Doeltreffende en volledige bescherming van het data subject

Het begrip 'Verantwoordelijke' moet dus breed worden uitgelegd, om te zorgen voor volledige en effectieve bescherming voor data subjecten. Het is niet nodig dat een partij toegang heeft tot de persoonsgegevens om Verantwoordelijke te kunnen zijn, want het is ook mogelijk om voor een deel van de verwerkingen die plaatsvinden Verantwoordelijke te zijn.

Waar een partij enige invloed uitoefent op de verwerking voor eigen doeleinden of voor hun eigen (commercieel) voordeel of (economische) belangen, dan zou deze partij voor een bepaalde verwerking als Verantwoordelijke kunnen worden aangemerkt.

Het meest gunstig is voor het data-subject

Het is een belangrijk uitgangspunt dat de bescherming van het data-subject voorop staat. Bij onduidelijkheid over de kwalificatie van de rechtsverhouding dient de rechter de interpretatie te kiezen die het meest gunstig is voor het data-subject dat zijn rechten onder de AVG wil uitoefenen. De gekozen interpretatie die leidt tot de meest complete en effectieve bescherming van de natuurlijke persoon wiens persoonsgegevens worden verwerkt, kan voor een ICT-leverancier nadelig uitpakken. Zeker wanneer die zichzelf Verwerker in de zin van de AVG achtte, maar met het oog op het belang van een doeltreffende bescherming van de belangen van het datasubject alsnog als (mede-)Verantwoordelijke wordt aangemerkt in een specifiek geval.

Waar moet een ICT – leverancier rekening mee houden?

Helaas zal het voor de ICT-leverancier moeilijk te voorspellen zijn wanneer hij in een concrete situatie als Verantwoordelijke kan worden aangemerkt door een rechter. In een concrete situatie kan een rechter een bepaalde partij aanmerken als (gedeeltelijke of gedeelde) Verantwoordelijke met als onderliggende redenering om doeltreffende en volledige bescherming te bieden aan data subjecten te bieden.

Kwalificeren

Waar een ICT-leverancier of andere organisatie vaak wel meer invloed op kan uitoefenen is de wijze waarop zijzelf zichzelf, hun rol en hun verantwoordelijkheden ook -in relatie tot de AVG- op schrift kwalificeren. De AVG biedt ruime bescherming aan de persoonlijke levenssfeer van natuurlijke personen. Het is mede daarom niet noodzakelijk om uzelf of uw bedrijf dan wel organisatie meer verplichtingen op te leggen dan de AVG oplegt. Het is daarom van belang dat u bij het opstellen van privacy-gerelateerde documentatie de juiste afweging(en) maakt op basis van welke verplichtingen op u wel of niet van toepassing zijn.

Meeste gevallen ICT- leverancier slechts Verwerker

In de meeste gevallen zal een ICT- leverancier slechts een Verwerker zijn. Hij stelt immers slechts de middelen ter beschikking waarmee zijn opdrachtgever zijn doelen kan bereiken. Het is in ieder geval niet in het belang van een Verwerker om zich in een verwerkersovereenkomst, of anderszins schriftelijk, meer verplichtingen op te laten leggen dan strikt volgt uit de AVG.

Accepteer als ICT-leverancier niet te snel een overeenkomst die meer verantwoordelijkheid dan is vereist onder de AVG bij u legt, of waarin zonder toelichting wordt gesteld dat beide partijen gezamenlijke verantwoordelijke zijn.

Advies

Heeft u een verwerkersovereenkomst gesloten of staat u op het punt die te sluiten? Heeft u privacy-verklaringen gepubliceerd op uw website of bij uw producten? Laat controleren of u niet meer verplichtingen op u neem dan ingevolge de AVG op uw bedrijf of organisatie rusten. Neem ook contact met ons op als u privacy-gerelateerde documentatie wilt laten opstellen.

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!