Rolverdeling verschillende partijen

Bij het verwerken van persoonsgegevens kunnen verschillende partijen betrokken zijn. Het gaat hierbij om de verwerkingsverantwoordelijke, de verwerker en eventuele subverwerkers. Maar het kan ook gaan om betrokkene.

De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de AVG en is degene die bepaalt welke persoonsgegevens worden verwerkt, voor welk doel en met welke middelen. De verwerkingsverantwoordelijke is verplicht passende en effectieve maatregelen te nemen om te zorgen dat de verwerkingen in lijn met de AVG plaatsvinden. Het bedrijf wat het doel en de middelen van het gebruik van de persoonsgegevens bepaalt is dus de verwerkingsverantwoordelijke. Dat is in ieder geval bijvoorbeeld de werkgever voor de persoonsgegevens van werknemers en bijvoorbeeld een winkel voor die van zijn klanten.

Een instelling, organisatie of onderzoeker kan ook optreden als verwerker. In dat geval werk de organisatie in opdracht van een andere organisatie. Het is belangrijk om alle afspraken tussen verwerkingsverantwoordelijke(n) en verwerker(s) of tussen verwerker(s) en subverwerkers vast te leggen in een overeenkomst, zoals in een verwerkersovereenkomst. Een voorbeeld van een verwerker is bijvoorbeeld het bedrijf aan wie je personeelsadministratie uitbesteedt. Om als verwerker gekwalificeerd te kunnen worden, zijn er twee criteria waaraan een partij moet voldoen. Allereerst moet de partij een afzonderlijke entiteit zijn ten opzichte van de verwerkingsverantwoordelijke. Daarnaast moet de verwerker persoonsgegevens verwerken ten behoeve van de verwerkingsverantwoordelijke. Dit houdt in dat de verwerker enkel op basis van instructies van de verwerkingsverantwoordelijke mag handelen, waarbij er wel wat ruimte voor de verwerker is om zelf de meest passende technische en organisatorische middelen te kiezen om de gegevens te verwerken. In ieder geval mag de verwerker niet zelf het doel en de middelen van de verwerking vaststellen.

De subverwerker is een entiteit die namens de verwerker (een deel) van de persoonsgegevens verwerkt. Het kan hierbij bijvoorbeeld gaan om een externe hostingpartij.

Betrokkene zijn de geïdentificeerde of identificeerbare natuurlijk persoon op wie de verwerkte en/of de te verwerken persoonsgegevens betrekking hebben. Dit zijn bijvoorbeeld klanten, werknemers of websitebezoekers. De AVG heeft mede als doel dat de betrokkenen goed worden beschermd. Om de betrokkene te beschermen zijn er in de AVG een aantal rechten opgenomen welke de betrokkenen tegen de verwerkingsverantwoordelijken kunnen uitoefenen.