2.2.3.2 ‘Verwerkingsverantwoordelijke’

Een verwerkingsverantwoordelijke is “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (…)”.1 Iedere verwerking kent minimaal één verwerkings­verantwoordelijke. Er kunnen ook meerdere verwerkingsverant­woordelijken bij een persoonsgegevens­verwerking zijn betrokken (zie de laatste alinea van deze paragraaf).2

Verwerkingsverantwoordelijken dienen ervoor te zorgen dat hun verwerkingen aan de AVG voldoen en dragen hier ook de juridische verantwoordelijkheid voor.3 Omwille van de waarborging van een “doeltreffende en volledige bescherming van betrokkenen” legt het HvJ EU het begrip verwerkingsverantwoordelijke ruim uit.4 Het heeft echter nog geen duidelijke criteria geformuleerd aan de hand waarvan kan worden beoordeeld of iemand ‘het doel en de middelen’ van een verwerking vaststelt, maar lijkt zich op dit punt aan te sluiten bij de hierop betrekking hebbende aanwijzingen van de art. 29-werkgroep/het Europees Comité voor gegevensbescherming.5 In deze paragraaf verwijs ik daarom geregeld naar deze aanwijzingen.

Verwerkings­verantwoordelijke is een functioneel begrip. Het uitgangspunt is dat de partij die feitelijk voor een verwerking verantwoordelijk is, ook de juridische verantwoordelijkheid draagt.6 Bij de vaststelling van de verwerkings­verantwoordelijke ten aanzien van een specifieke verwerking spelen feitelijke omstandigheden dan ook een grote rol.7 Het is van belang wie het doel en de middelen van de betreffende verwerking daadwerkelijk heeft vastgesteld. Verwerkingsverant­woordelijkheid draait, met andere woorden, om beslissingsmacht. Daarbij is vooral belangrijk wie het doel (het ‘waarom’) van de verwerking heeft bepaald. De verwerkings­verantwoordelijke kan het vaststellen van sommige middelen (het ‘hoe’) delegeren aan een verwerker.8 Bij de vaststelling van de verwerkingsverantwoordelijke moet daarom hoofdzakelijk worden onderzocht wie besluit persoonsgegevens voor eigen doeleinden te verwerken en beslist over de redenen die aan de verwerking ten grondslag liggen.9 De AVG gaat ervan uit dat deze entiteit ook de verwerking vormgeeft, en dus de middelen ervoor bepaalt. Dit betekent dat zij onder meer beslist welke gegevens worden verwerkt, hoe lang de verwerking duurt en wie de verwerking verricht.10 Zoals gezegd kan de verwerkings­verantwoordelijke het vaststellen van bepaalde middelen delegeren. Het gaat daarbij om de zogenoemde niet-essentiële middelen. Dit zijn veelal de praktische aspecten van de verwerking, zoals de keuze voor specifieke beveiligings­maatregelen.11 Het doet dan ook niet aan de kwalificatie van een entiteit als ‘verwerkings­verantwoordelijke’ af (en evenmin aan haar verantwoordelijkheden), als hij het aan een verwerker laat om de specifieke te treffen beveiligingsmaatregelen te kiezen.12

Het Europees Comité voor gegevensbescherming onderscheidt twee omstandigheden waaruit beslissingsmacht (en dus verwerkings­verantwoordelijkheid) kan worden afgeleid.13

De eerste grond voor beslissingsmacht speelt als de wet aangeeft wie de verwerkings­verant­woordelijke voor een verwerking is of criteria geeft voor de vaststelling van de identiteit van de verwerkings­verantwoordelijke.14 Dergelijke ‘uitdrukkelijke juridische bevoegdheid’ gaat vaak gepaard met de wettelijke verplichting tot het verrichten van een bepaalde verwerking.15 In strikte zin heeft de verwerkingsverantwoordelijke in deze gevallen niet zozeer het doel van de verwerking bepaald (dit zal veelal de wetgever zijn geweest), maar heeft hij vanwege de wet toch de beslissingsmacht en verantwoordelijkheid. Een Nederlands voorbeeld van een bepaling waarin de beslissingsmacht op deze manier wordt toegekend, is de zogenoemde know your customer-verplichting, op grond waarvan financiële ondernemingen in bepaalde situaties informatie dienen in te winnen over een klant ten behoeve van de beoordeling van de geschiktheid van een financiële dienst of een financieel product voor een bepaalde klant.16

De tweede omstandigheid waaruit beslissingsmacht blijkt is de feitelijke invloed. Of er sprake is van feitelijke invloed moet blijken uit een diepgaande analyse van de feitelijke situatie. Contracten zijn daarbij van belang, maar niet doorslaggevend. Een partij zonder feitelijke invloed is nooit verwerkingsverantwoordelijke, ook niet als een contract bepaalt van wel.17 De feitelijke invloed van een entiteit moet worden beoordeeld per verwerking.18 Doordat in de praktijk vaak vele verschillende verwerkingen door elkaar lopen, kan het lastig zijn een verwerking geïsoleerd te bekijken en te beoordelen welke partij ten aanzien waarvan feitelijk het doel en de middelen bepaalt.19 Het HvJ EU heeft in ieder geval verduidelijkt dat een partij feitelijke invloed kan hebben ten aanzien van een verwerking die wordt verricht door een door haar gekozen platform (in de uitspraak Facebook) – bijvoorbeeld indien zij via de door haar gekozen instellingen invloed op deze verwerking heeft kunnen uitoefenen.20

De ruime uitleg van het begrip verwerkingsverantwoordelijke brengt mee dat er vaak meerdere verwerkingsverant­woordelijken zijn betrokken bij een verwerking.21 Als uitgangspunt geldt dan dat deze partijen slechts verantwoordelijk zijn voor de verwerkingen waarvan ze daadwerkelijk het doel en de middelen hebben vastgesteld.22 Wanneer meerdere partijen dit tezamen hebben gedaan, is er gezamenlijke verantwoordelijkheid.23 Als een verwerking is op te splitsen in meerdere delen, en de middelen en doelen van de verschillende delen door verschillende partijen zijn bepaald, zijn de partijen zelfstandig verwerkingsv­erantwoordelijk voor het deel waarvan zij het doel en de middelen hebben bepaald.24 Zij zijn dan dus niet gezamenlijk verantwoordelijk voor verwerkingen die plaatsvinden voorafgaand aan of na afloop van ‘hun’ verwerking, ook niet als er wel een relatie tussen deze handelingen bestaat.25

Bij gezamenlijke verantwoordelijkheid is niet per se iedere betrokken verwerkingsverantwoordelijke in gelijke mate verantwoordelijk.26 Hoewel zij doorgaans allemaal kunnen worden aangesproken voor de gehele ontstane schade,27 dient in hun onderlinge relatie de verantwoordelijkheid te worden verdeeld. Hoe deze verdeling plaatsvindt, is nog onduidelijk.28 Per geval moet worden onderzocht welke verantwoordelijkheid de betrokken partijen precies hebben en hoe die inwerkt op hun aansprakelijkheid. Hieruit volgt onder meer dat zij niet per se allemaal verantwoordelijk zijn voor de beveiliging van de te verwerken persoonsgegevens.29