GDPR – Verwerking

De Algemene Verordening Gegevensbescherming (AVG) biedt een uniforme, Europa-brede mogelijkheid voor zogenoemde ‘opdrachtverwerking’, wat het verzamelen, verwerken of gebruiken van persoonsgegevens door een verwerker in overeenstemming met de instructies van de verwerkingsverantwoordelijke op basis van een overeenkomst inhoudt.

De relevante regelgeving voor uitbestede gegevensverwerking is al van toepassing als de verwerking verband houdt met activiteiten van een vestiging binnen de EU. Dit betekent dat het voldoende is als ofwel de verwerkingsverantwoordelijke of de verwerker een vestiging in de EU exploiteert en de verwerking plaatsvindt in de context van zijn activiteiten. Er moet een onderscheid worden gemaakt tussen verwerking en gezamenlijke controle (Art. 26 AVG), waarbij beide partijen gezamenlijk de doeleinden en middelen voor de gegevensverwerking bepalen en dus ook gezamenlijk verantwoordelijk zijn hiervoor.

In een verwerkingsverantwoordelijke-verwerker relatie mag laatstgenoemde alleen persoonsgegevens verwerken op basis van de gedocumenteerde instructies van de verwerkingsverantwoordelijke. De verwerker mag geen andere verwerker inschakelen om te helpen bij het uitvoeren van een specifieke overeenkomst, zonder voorafgaande specifieke of algemene schriftelijke toestemming van de betreffende verwerkingsverantwoordelijke. In het geval van een algemene toestemming moet de verwerker hem informeren over eventuele relevante wijzigingen met betrekking tot de verwerking.

In de meeste gevallen vindt gegevensverwerking in opdracht plaats op basis van een contract. Art. 28(3) AVG stelt de minimale vereisten vast. Het contract moet onder andere bevatten welk type persoonsgegevens zullen worden verwerkt, evenals het voorwerp en het doel van de verwerking. Daarnaast zijn er verdere verplichtingen voor de verwerker. Zo moet hij bijvoorbeeld ook een register bijhouden van de verwerkingsactiviteiten dat de namen en contactgegevens van elke verwerkingsverantwoordelijke voor wie hij werkt omvat, evenals de verwerkingscategorieën die voor hen worden uitgevoerd. Verder moet het register, indien van toepassing, de overdracht van persoonsgegevens naar derde landen opnemen en, indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen. De verwerkingsverantwoordelijke moet er bij de selectie van de verwerker voor zorgen dat deze voldoende technische en organisatorische maatregelen heeft getroffen om ervoor te zorgen dat de verwerking aan de vereisten van de Verordening voldoet.

In principe is de verwerkingsverantwoordelijke het eerste aanspreekpunt voor de betrokkene en verantwoordelijk ervoor dat de gegevensverwerking voldoet aan de wettelijke vereisten. Dit betekent echter niet dat de verwerker vrij is van aansprakelijkheid. Volgens Art. 82 AVG is hij samen met de verwerkingsverantwoordelijke aansprakelijk. De aansprakelijkheid van de verwerker is echter beperkt volgens lid 2 tot inbreuken op verplichtingen die specifiek voor hem gelden. Beide partijen hebben de mogelijkheid om zichzelf vrij te pleiten. Hiervoor moeten zij bewijzen dat zij op geen enkele manier verantwoordelijk waren voor de gebeurtenis die heeft geleid tot de schade.