Wat de AVG onder de twee rollen verstaat
De definities in artikel 4 zijn kort. Verwerkingsverantwoordelijke is wie, alleen of samen met anderen, «het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt». Verwerker is wie «ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt».
Het scharnierpunt is dus zeggenschap, niet de omvang van het werk en niet de vraag wie de opdracht betaalt. En — belangrijk — het is geen kwestie van afspraak: de partij die feitelijk doel en middelen bepaalt, is verantwoordelijke, ongeacht wat er in een overeenkomst is opgeschreven.
De vergelijking die de doorslag geeft
De Europese toezichthouders werken dit uit aan de hand van beroepen met een eigen professionele verantwoordelijkheid. Over advocatenkantoren zeggen de richtsnoeren dat het kantoor «handelt met een aanzienlijke mate van onafhankelijkheid» en dat de verwerking «verband houdt met de functionele rol van het advocatenkantoor», zodat het «als verwerkingsverantwoordelijke voor deze verwerking moet worden beschouwd».
Voor een beëdigd vertaler ligt de parallel voor de hand. U bepaalt zelf hoe u vertaalt, welke transliteratie u toepast, wat u in een voetnoot zet en wat u weigert te gladstrijken. U waarmerkt op eigen naam en draagt daarvoor de verantwoordelijkheid — het bureau kan u dat niet opdragen.
Maar het hangt af van de instructies
Hier past een waarschuwing tegen te snelle zekerheid. Bij het voorbeeld van accountantskantoren merken dezelfde richtsnoeren op dat de beoordeling «kan verschillen naar gelang van het niveau van de instructies». Waar de wet geen specifieke verplichtingen oplegt en de opdrachtgever «zeer gedetailleerde instructies geeft over de verwerking», zou het kantoor «inderdaad als gegevensverwerker optreden».
Vertaald naar uw praktijk: werkt u met eigen vakinhoudelijk oordeel binnen de kaders van de Wbtv, dan wijst veel richting eigen verantwoordelijkheid. Voert u daarentegen strikt omschreven instructies uit — vaste terminologielijst, voorgeschreven opslag, geen eigen afweging — dan schuift het beeld richting verwerkerschap.
Eén ding staat wel vast: het is een beoordeling van de feitelijke omstandigheden per opdracht, niet een etiket dat u eens en voorgoed opplakt. Wie twijfelt bij een concrete constructie, legt die voor aan een jurist — deze pagina vervangt dat niet.
Wat er in een verwerkersovereenkomst moet staan
Bént u verwerker, dan wordt de verwerking geregeld in een overeenkomst of andere rechtshandeling die u ten aanzien van de verwerkingsverantwoordelijke bindt. Artikel 28 lid 3 schrijft onder meer voor dat daarin staan: onderwerp en duur, aard en doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en dat de verwerker:
- uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke;
- waarborgt dat gemachtigde personen tot vertrouwelijkheid gehouden zijn;
- alle maatregelen van artikel 32 neemt;
- alleen onder de voorwaarden van de leden 2 en 4 een andere verwerker inschakelt;
- bijstand verleent bij verzoeken van betrokkenen en bij de artikelen 32 tot en met 36;
- na afloop alle persoonsgegevens wist of terugbezorgt;
- informatie ter beschikking stelt en audits mogelijk maakt.
Artikel 28 lid 1 stelt daarnaast een eis aan de keuze zelf: er mag alleen een beroep worden gedaan op verwerkers die «afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden».
Subverwerkers: waar software in beeld komt
Zet u voor een opdracht software of een dienstverlener in die persoonsgegevens verwerkt, dan is dat een subverwerker. Bent u zelf verwerker, dan hebt u daarvoor toestemming van de opdrachtgever nodig en gelden voor die partij dezelfde verplichtingen als voor u.
Bent u zelf verwerkingsverantwoordelijke, dan is die partij úw verwerker — en sluit u met haar een verwerkersovereenkomst. In beide gevallen loont het te weten waar de gegevens staan, hoe lang ze bewaard blijven en hoe ze worden gewist.
Bij Lingverra is dat vastgelegd in een verwerkersovereenkomst die u kunt lezen vóórdat u iets uploadt: welke subverwerkers er zijn, waar verwerkt wordt en welke bewaartermijn geldt. Documenten worden na de bewaartermijn automatisch verwijderd; wat u zelf eerder wist, is direct weg.
Praktisch: wat u kunt doen
- Kijk eerst naar de feitelijke rolverdeling, pas daarna naar het aangeboden contract.
- Laat u geen rol toeschrijven die niet klopt: het etiket in het contract is niet doorslaggevend.
- Loopt de opdracht via een bureau, vraag dan wélke gegevens u krijgt en waarom — dataminimalisatie begint bij de aanlevering.
- Leg vast wat er na afloop met de bestanden gebeurt; dit is een verplicht onderdeel van artikel 28.
- Twijfelt u bij een concrete constructie: juridisch advies, niet een blogpagina.