Wanneer ben je verwerker en wanneer ben je verwerkingsverantwoordelijke?
Volgens de AVG is de 'verantwoordelijke' degene die 'doel en middelen' van de verwerking bepaalt - oftewel: het waarom en het hoe van de verwerking. De vraag is in welke mate je de bepaler bent van het waarom en het hoe om ook echt als ‘verantwoordelijke’ bestempeld te worden. En dit dan bekeken in relatie tot de bewegingsvrijheid van de ‘verwerker’. De Artikel-29 Werkgroep heeft hier een mening over:
Je bent een verwerker als…
Als het gaat om het bepalen van de technische en organisatorische maatregelen (bijvoorbeeld welke hardware en software wordt gebruikt), kun je dit delegeren aan een verwerker. De bepaler van de techniek hiervan is dus niet per definitie de verantwoordelijke. Dat geldt ook als je alleen maar financiële middelen verstrekt: dat is in termen van de AVG niet genoeg om als verantwoordelijke te worden aangemerkt en dan ben je hoogstwaarschijnlijk verwerker.
Je bent verantwoordelijke als…
Maar het bepalen van maatregelen gaat verder dan alleen de technische en organisatorische maatregelen. Het gaat er namelijk ook om welke gegevens hoe worden verwerkt, wie er toegang heeft tot de gegevens en hoe lang ze worden bewaard (c.q. wanneer ze worden verwijderd). Degene die deze vragen beantwoordt, is de verwerkingsverantwoordelijke. Deze vragen zijn namelijk de kern van de rechtmatigheid van de verwerking.
Op de website van de Autoriteit Persoonsgegevens lees je meer over het thema van verwerkingsverantwoordelijkheid.