2.7. De verantwoordelijke

Bij de uitoefening van de privacyrealisatiebeginselen speelt de verantwoordelijke een cruciale rol. Artikel 2(d) van de richtlijn 95/46/EG omschrijft de voor de verwerking verantwoordelijke, "als de natuurlijke- of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking worden vastgesteld bij nationale of communautaire wettelijke of bestuursrechtelijke bepalingen, kan in het nationale of communautaire recht worden bepaald wie de voor de verwerking verantwoordelijke is of volgens welke criteria deze wordt aangewezen".

Deze definitie is van belang voor het vaststellen wie welke verplichting draagt en wie aansprakelijk is bij onrechtmatige verwerking van persoonsgegevens. Bij de beantwoording van de vraag wie de verantwoordelijke is, dient enerzijds te worden uitgegaan van de formeel-juridische bevoegdheid om doel en middelen van de gegevensverwerking vast te stellen, anderzijds — in aanvulling daarop — van een functionele inhoud van het begrip.1 De meeste verplichtingen die in de Richtlijn 95/46/EG zijn vastgelegd, zijn bedoeld voor de verantwoordelijke. De definitie van de verantwoordelijke maakt het mogelijk dat er meer dan een verantwoordelijke is met betrekking tot de verwerking van persoonsgegevens. Als verschillende eenheden zich presenteren als medeverantwoordelijken, dan houdt dat in dat zij gezamenlijk verantwoordelijk zijn voor het voldoen aan de vereisten van de Richtlijn 95/46/EG. De verplichtingen van de verantwoordelijke worden geregeld in onder andere de artikelen 10,11,12 en 14 van de Richtlijn 95/46/EG. De verantwoordelijke moet ex artikel 16 van de Richtlijn ervoor zorgen dat de vereiste informatie aan de betrokkene in duidelijke en begrijpelijke taal geschiedt en voldoende informatie bevat om het individu zijn rechten te kunnen laten uitoefenen om toegang tot eigen gegevens te krijgen, te kunnen rectificeren, bezwaar te maken met name wanneer de persoonsgegevens worden gebruikt voor direct marketing doeleinden. Voorts is de verantwoordelijke aansprakelijk voor de rechtmatigheid en vertrouwelijkheid van de verwerking van de persoonsgegevens, de beveiliging van de verwerking en de melding aan de toezichthouder conform de artikelen 17, 18 en 19 van de Richtlijn 95/ 46/EG. Artikel 23 regelt de aansprakelijkheid van de verantwoordelijke.

Tijdens de 31^e International conference of data protection and privacy commissioners in Madrid is op 6 november 2009 een resolutie aangenomen waarin wordt aangedrongen de verantwoordelijke aansprakelijk te stellen als hij adequate organisatorische en technische maatregelen heeft achterwege gelaten om de verwerking van persoonsgegevens privacyveilig te laten plaatsvinden.2 Daardoor zal de druk op de verantwoordelijke om een privacyimpact- of bedreigingsanalyse te laten uitvoeren voordat de verwerking van persoonsgegevens plaatsvinden, toenemen.