Verwerkt jouw online toepassing persoonsgegevens voor klanten? Dan ben je doorgaans verwerker voor de activiteiten die je uitsluitend namens hen uitvoert. Gebruik je gegevens ook voor eigen doeleinden, dan moet je die verwerking afzonderlijk beoordelen. Eén onderneming kan verschillende rollen hebben onder de GDPR, ook AVG genoemd.
Hoe bepaal je jouw rol?
De centrale vraag is: wie beslist waarom de persoonsgegevens worden verwerkt en over de belangrijkste keuzes daarbij? De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. De verwerker voert de verwerking namens die verantwoordelijke uit. Dat volgt uit artikel 4(7) en 4(8) GDPR.
Bij die belangrijkste keuzes gaat het onder meer om:
- van welke personen gegevens worden verwerkt;
- welke gegevens nodig zijn;
- wie toegang krijgt;
- hoelang de gegevens worden bewaard.
Technische uitvoeringskeuzes, zoals de gebruikte software of concrete beveiligingsmaatregelen, kunnen bij de verwerker liggen. Dat jij de toepassing hebt ontwikkeld en technisch beheert, maakt je dus niet automatisch verwerkingsverantwoordelijke. Ook een gestandaardiseerde dienst kan een verwerkersdienst zijn, zoals de EDPB toelicht.
Hoe werkt dit bij een toepassing voor evenementen?
Stel dat een onderneming jouw toepassing gebruikt om inschrijvingen voor een zakelijk evenement te beheren. Zij beslist waarom deelnemersgegevens nodig zijn en welke deelnemers worden uitgenodigd. Jouw toepassing bewaart namen en e-mailadressen en verstuurt namens haar bevestigingen.
Als je deze gegevens uitsluitend volgens de afspraken met de organisator verwerkt, ben je voor dat deelnemersbeheer verwerker. De organisator is in dit voorbeeld verwerkingsverantwoordelijke.
Voor je eigen klantenadministratie kan je tegelijk een andere rol hebben. Gebruik je de contactgegevens van de organisator om je abonnement te beheren en facturen op te maken, dan ben je voor die administratie doorgaans zelf verwerkingsverantwoordelijke. Beoordeel dus elke activiteit afzonderlijk.
Wat verandert er als je deelnemersgegevens zelf wilt gebruiken?
Wil je deelnemers zelfstandig reclame voor jouw platform sturen? Of hun gegevens samenbrengen in een eigen databank voor commerciële profilering? Dan bepaal je een eigen doel en ben je voor dat gebruik verwerkingsverantwoordelijke.
Dat betekent niet dat het gebruik daardoor toegestaan is. Je mag gegevens die je als verwerker ontvangt niet zomaar voor jezelf hergebruiken. Je moet onder meer de oorspronkelijke afspraken, de verenigbaarheid met het oorspronkelijke doel, een passende rechtsgrond en de informatie aan betrokkenen beoordelen.
De Franse toezichthouder CNIL benadrukt dat een verwerker niet op eigen initiatief gegevens voor eigen doeleinden mag hergebruiken. Zij verlangt schriftelijke toestemming van de oorspronkelijke verwerkingsverantwoordelijke voor concreet beoordeeld hergebruik. Een algemene clausule waarmee de klant elk toekomstig hergebruik toestaat, volstaat niet.
Ook termen zoals “analyse” of “productverbetering” geven op zichzelf geen antwoord. Beschrijf concreet welke persoonsgegevens je gebruikt, waarvoor en voor wiens doeleinden.
Wanneer ben je gezamenlijk verwerkingsverantwoordelijke?
Dat kan wanneer jij en je klant samen de doeleinden en essentiële middelen bepalen. Denk aan een gezamenlijke campagne waarbij jullie beslissen welke deelnemersgegevens worden verzameld en hoe jullie die voor de campagne gebruiken.
Samenwerking of commercieel voordeel alleen volstaat niet. Evenmin maakt het gebruik van hetzelfde platform jullie automatisch gezamenlijk verantwoordelijk. Wel kunnen op elkaar aansluitende beslissingen waarmee jullie samen de doeleinden en essentiële middelen bepalen tot gezamenlijke verantwoordelijkheid leiden, ook zonder formeel gezamenlijk besluit.
Die verantwoordelijkheid kan beperkt zijn tot een bepaalde verwerking. Ze hoeft niet alle activiteiten van beide ondernemingen te omvatten.
Welke afspraken heb je nodig?
Een verwerkersovereenkomst regelt de verhouding tussen de verwerkingsverantwoordelijke en de verwerker. Beide partijen moeten ervoor zorgen dat deze overeenkomst aanwezig is en aansluit op de werkelijke verwerking. Ze legt vast wat de verwerker met de gegevens mag doen en welke waarborgen hij moet bieden.
| Jouw rol | Wat moet je regelen? |
|---|---|
| Verwerker | Sluit met je opdrachtgever een verwerkersovereenkomst volgens artikel 28 GDPR. Leg onder meer instructies, beveiliging, ondersteuning en verwijdering of teruggave van gegevens vast. Voor het inschakelen van subverwerkers gelden bijkomende voorwaarden en contractuele verplichtingen. |
| Zelfstandig verwerkingsverantwoordelijke | Zorg voor een passende rechtsgrond, duidelijke informatie aan betrokkenen, bewaartermijnen en de uitoefening van hun rechten. Schakel je verwerkers in? Beoordeel hun waarborgen en sluit met hen een verwerkersovereenkomst volgens artikel 28 GDPR. |
| Gezamenlijk verwerkingsverantwoordelijke | Leg volgens artikel 26 GDPR vast hoe jullie de verantwoordelijkheden verdelen en maak de essentie daarvan toegankelijk voor betrokkenen. Schakelen jullie voor die verwerking een verwerker in, dan moet ook de relatie met die verwerker volgens artikel 28 GDPR worden geregeld. |
Een regeling tussen gezamenlijke verwerkingsverantwoordelijken en een verwerkersovereenkomst regelen dus verschillende verhoudingen. Binnen één dienstverlening kunnen beide nodig zijn. De regels staan in artikelen 26 en 28 GDPR.
Is je klant zelf verwerker voor een andere organisatie? Dan kan jij subverwerker zijn. Daarvoor is voorafgaande specifieke of algemene schriftelijke toestemming van de oorspronkelijke verwerkingsverantwoordelijke nodig. De toepasselijke verplichtingen moeten contractueel worden doorgelegd. Bij algemene toestemming moet die verantwoordelijke vooraf over wijzigingen worden geïnformeerd en daartegen bezwaar kunnen maken.
Lees ook ons artikel over de verwerkersovereenkomst.
Hoe pak je dit praktisch aan?
- Maak een overzicht van je activiteiten. Splits bijvoorbeeld deelnemersbeheer, klantenadministratie, eigen marketing en analyses.
- Beschrijf per activiteit de beslissingen. Noteer wie het doel bepaalt en wie beslist over gegevens, toegang en bewaartermijnen.
- Controleer de echte werking. Bekijk ook automatische e-mails, standaardinstellingen, exports en gegevens die na het einde van een abonnement blijven staan.
- Leg de juiste rol vast. Vermeld per activiteit of je verwerker, zelfstandig verantwoordelijke of gezamenlijk verantwoordelijke bent.
- Stem je documentatie daarop af. Controleer je register, overeenkomsten en privacyverklaring. Herbekijk de beoordeling wanneer je nieuwe functies of nieuwe doeleinden toevoegt.
Een bruikbare interne beschrijving is bijvoorbeeld: “Wij verwerken deelnemersgegevens namens de organisator voor inschrijvingen en evenementcommunicatie. Voor onze eigen klantenadministratie bepalen wij zelf het doel en de middelen.”
Gebruik zo’n beschrijving alleen als ze overeenstemt met jouw dienstverlening.
Breng je gegevensverwerkingen en de betrokken partijen in kaart. Gebruik GDPRWise om je processen te documenteren en je privacyverklaring en overeenkomsten daarop af te stemmen.