2.2.3.3 ‘Verwerker’

Een ‘verwerker’ in de zin van de AVG is “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt”.1 Bij een verwerking is slechts een verwerker betrokken als de verwerkingsverant­woordelijke een ander inschakelt voor het verrichten van de verwerking waarvan hij het doel heeft bepaald. Een verwerker is een van de verwerkings­verantwoordelijke losstaande (rechts)persoon.2 De handelingen van personen die onder rechtstreeks gezag van de verwerkingsverant­woordelijke staan – zoals werknemers – worden in beginsel aan de verwerkingsverantwoordelijke toegerekend.3

Net als verwerkingsverant­woordelijke is verwerker een functionele term.4 Of een partij een verwerker is, hangt af van de feitelijke verhoudingen tussen deze partij en de verwerkingsverant­woordelijke. Alle feitelijke omstandigheden zijn van belang, zoals de activiteiten van de verwerkingsverantwoordelijke en verwerker.5 Hoewel de verwerkingsverantwoordelijke en de verwerker de te verrichten verwerkingen contractueel moeten regelen, 6 is de afwezigheid van zo’n contract geen bewijs van de afwezigheid van een verwerker. Een (rechts)persoon kan de verwerkings­verantwoordelijke zijn ten aanzien van de ene verwerking en de verwerker met betrekking tot de andere.7 Een veel gebruikt voorbeeld om dit te illustreren is dat van het salarisadministratiekantoor; dat verwerkt de gegevens van de werknemers van zijn klanten (en is ten aanzien daarvan verwerker), maar ook van zijn eigen werknemers (en is ten aanzien daarvan de verwerkingsverant­woordelijke). Of een partij in een specifieke situatie verwerkings­verantwoordelijke of verwerker is, hangt af van de concrete activiteiten die zij met betrekking tot deze verwerking verricht.

Overigens is het ook mogelijk dat er meerdere verwerkers bij een verwerking zijn betrokken. Zij kunnen bijvoorbeeld verschillende bewerkingen uitvoeren. Het kan lastig zijn om in een dergelijk geval vast te stellen welke verwerker welke verantwoordelijkheid draagt. 8

Een verwerker mag in beginsel alleen persoonsgegevens verwerken op basis van schriftelijke instructies van de verwerkings­verantwoordelijke.9 Omdat hij dient te handelen ten behoeve van de verwerkingsverantwoordelijke moet hij zijn aanwijzingen opvolgen.10 Wanneer hij dit niet doet, en uit zichzelf andere verwerkingen verricht, is hij ten aanzien van deze verwerkingen de verwerkings­verantwoordelijke. Hij zal in dat geval moeten voldoen aan de verplichtingen die de AVG aan verwerkingsverantwoordelijken oplegt.11

Een verwerkingsverant­woordelijke kan de verwerker enige keuzevrijheid geven, waar­door deze bijvoorbeeld bevoegd kan zijn om de voor de verwerking meest geschikte technische en organisatorische beveiligings­maatregelen te kiezen. Het maken van de beslissingen ten aanzien van dergelijke ‘niet-essentiële middelen’ kan de verwerkingsverantwoordelijke immers delegeren (§2.2.3.2). Dit ontslaat de verwerkingsverantwoordelijke echter niet van zijn verantwoordelijkheid.12 Indien de verwerkingsverantwoordelijke de verwerker hiervoor toestemming geeft, kan de verwerker er ook voor kiezen een (sub-)verwerker in te schakelen. Ook deze moet zich houden aan de opdrachten van de verwerkings­verantwoordelijke.13 Voor wat betreft de beveiliging van persoonsgegevens klinkt de verhouding tussen verwerkingsverantwoordelijken en verwerkers ook door in art. 32 lid 4 AVG, dat bepaalt dat verwerkings­verantwoordelijke en de verwerker maatregelen moeten treffen om “ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe EU-rechtelijk of lidstaatrechtelijk is gehouden”.