6.2.1 Algemeen: art. 5 lid 2, 24 en 28 AVG

Vele materieelrechtelijke AVG-bepalingen stellen eisen aan persoons­gegevens en persoonsgegevens­verwerkingen zonder een specifieke partij met de naleving daarvan te belasten.1 De beginselen inzake verwerking van persoonsgegevens, waaronder art. 5 lid 1 onder f AVG, doen dit ook. Art. 5 lid 2, 24 en 28 AVG verduidelijken hoe verwerkings­verantwoordelijken en verwerkers zich ten aanzien van deze verplichtingen tot elkaar verhouden. Zij gaan respectievelijk over de verantwoordingsplicht (principle of accountability), de positie en verplichtingen van de verwerkings­verantwoordelijke en de positie en verplichtingen van de verwerker.2

De verwerkingsverant­woordelijke – de partij die kort gezegd het doel en de middelen van een verwerking vaststelt, zie §2.2.3.2 – is verantwoordelijk (accountable) voor de naleving van de AVG.3 Hij moet waarborgen en aantonen dat ‘zijn’ persoonsgegevensverwerking in overeenstemming is met de AVG.4 In dit kader moet hij verzekeren en aan kunnen tonen dat hij de AVG naleeft en de rechten van betrokkenen beschermt,5 en dat de eventuele door hem ingeschakelde verwerkers dit doen.6 Daarbij gaat het onder andere om “het normatieve hart van de AVG”: de beginselen inzake verwerking van persoonsgegevens (zoals het beginsel van integriteit en vertrouwelijkheid).7

Om het bovenstaande te garanderen, moeten verwerkingsverantwoordelijken volgens art. 24 AVG passende technische en organisatorische maatregelen treffen (zie §6.2.3).8 Hiertoe dienen zij afspraken te maken met hun verwerkers in een zogenoemde verwerkings­overeenkomst.9 Wanneer deze afspraken niet voldoen aan de eisen van de AVG, kan de toezichthouder een sanctie opleggen aan de verwerkingsverantwoordelijke.10

De verplichtingen van verwerkers zijn beperkt tot de verantwoordelijkheden die de AVG hen nadrukkelijk oplegt.11 Zij zijn niet in het algemeen verantwoordelijk voor de naleving van de AVG, en dus ook niet voor de handelingen van de verwerkings­verantwoordelijke.12

Beginselen inzake verwerking van persoonsgegevens zijn niet nadrukkelijk op verwerkers gericht.13 Dit betekent dat de bepalingen waarvan schendingen het zwaarst kunnen worden beboet alleen verplichtingen meebrengen voor de verwerkingsverantwoordelijke (zie ook §6.6). De verwerkings­verantwoordelijke heeft zo bezien zwaardere wettelijke verplichtingen dan de verwerker. Wel zullen voor de verwerker nog verplichtingen voortvloeien uit de verwerkingsovereenkomst die hij met de verwerkingsverantwoordelijke sluit.