Ben ik verwerker of verwerkingsverantwoordelijke?

Wie het doel bepaalt, is verwerkingsverantwoordelijke

De rol volgt uit de vraag wie beslist waaróm en hoe gegevens worden verwerkt, niet uit de vraag wie de gegevens feitelijk invoert of opslaat. Een onderneming die zelf bepaalt welke klantgegevens ze verzamelt, met welk doel, en hoe lang ze die bewaart, is verwerkingsverantwoordelijke voor die gegevens. Een partij die diezelfde gegevens uitsluitend verwerkt in opdracht — volgens instructies van een ander, zonder daar zelf een doel aan toe te voegen — is verwerker. Een boekhoudpakket dat facturen verwerkt volgens de instellingen van de gebruiker is typisch verwerker; de onderneming die het pakket gebruikt en bepaalt welke klantgegevens erin komen, is verantwoordelijke.

In de praktijk is één bedrijf vaak beide tegelijk, afhankelijk van welke gegevensstroom je bekijkt. Een salarisadministratiekantoor is verwerker voor de personeelsgegevens die het namens klanten verwerkt, en tegelijk verwerkingsverantwoordelijke voor de gegevens van de eigen medewerkers. De rol hangt dus vast aan de specifieke verwerking, niet aan het type organisatie of de sector waarin die opereert. Dat onderscheid bepaalt vervolgens welke verplichtingen gelden: een verwerkingsverantwoordelijke draagt de hoofdverantwoordelijkheid voor rechtmatigheid en verantwoording, een verwerker werkt binnen de grenzen van een verwerkersovereenkomst en de instructies daarin.

Waar dat in artikel 4 en 28 AVG staat

Artikel 4 van de AVG geeft de definities van beide rollen: de verwerkingsverantwoordelijke is wie het doel en de middelen van de verwerking vaststelt, de verwerker is wie ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Artikel 28 van de AVG bouwt daarop voort en beschrijft wat er specifiek van een verwerker wordt verwacht, onder meer het werken volgens een verwerkersovereenkomst. De richtsnoeren van de EDPB werken deze afbakening verder uit met praktijkvoorbeelden, juist omdat de scheidslijn in de praktijk niet altijd vanzelf duidelijk is.