Belang van de juiste rol
Het bepalen van de gegevensverantwoordelijke of -verwerker is in meerdere opzichten belangrijk. Bijvoorbeeld voor de totstandkoming van de verwerkingsovereenkomst, voor het informeren van betrokkenen of het melden van een data lek.
Drie uitgangspunten
Om vast te stellen wie nu welke rol heeft zijn er de volgende uitgangspunten:
- Volgens de AVG wetgeving ben je verantwoordelijk wanneer jij degene bent die bepaalt voor welk doel, er wat er met gegevens gebeurt en hoe. Bijvoorbeeld wanneer jij patiëntgegevens verwerkt voor het kunnen verstrekken van medische zorg of wanneer jij adresgegevens beheert om een product te kunnen afleveren.
- Verwerker ben je als jij ten behoeve van een verantwoordelijke als ‘primaire opdracht’ gegevens verwerkt. Dat wil zeggen dat de dienst moet zijn gericht op het verwerken van de persoonsgegevens. Bijvoorbeeld wanneer een clouddienst gegevensopslag aanbiedt en zich enkel richt op de opslag, dan is zij de verwerker. Een ander voorbeeld kan zijn een bedrijf dat mailing verzorgt in opdracht.
- Wanneer een organisatie zelf ook invulling geeft aan de manier waarop de dienst wordt uitgevoerd dan is er is nog een derde mogelijkheid, namelijk dat zij mede verantwoordelijk is. Bijvoorbeeld wanneer een werkgever personeelsgegevens verstrekt aan een pensioendienst. De werkgever is dan in eerste instantie verantwoordelijk maar de pensioendienst bepaalt zelf hoe zij haar dienst vormgeeft en welke middelen zij daarvoor gebruikt.
Neem de juiste maatregelen
Wanneer bepaald is welke rol partijen hebben met betrekking tot de gegevensverwerking kan men de juiste maatregelen nemen om privacy te beschermen.
Bronnen: www.autoriteitpersoonsgegevens.nl www.kneppelhout.nl