Ben ik verwerker of verwerkingsverantwoordelijke?

Doel en middelen bepalen wie verantwoordelijke is

Wie bepaalt waarom en hoe persoonsgegevens worden verwerkt, geldt als verwerkingsverantwoordelijke; wie die gegevens alleen verwerkt in opdracht en volgens instructies van een ander, geldt als verwerker. Het gaat dus niet om wie de gegevens feitelijk in handen heeft of wie de systemen beheert, maar om wie de beslissingen neemt over het doel van de verwerking en over de belangrijkste middelen daarbij. Een webshop die klantgegevens verzamelt om eigen marketing te voeren, bepaalt zelf dat doel en is daarmee verwerkingsverantwoordelijke. Een boekhouder die salarisgegevens verwerkt om voor een klant de loonadministratie te doen, verwerkt die gegevens voor het doel van de klant en is daarmee verwerker.

In de praktijk kan een en dezelfde onderneming voor het ene proces verwerkingsverantwoordelijke zijn en voor het andere verwerker. Een IT-leverancier die klantensystemen host, is meestal verwerker voor de gegevens die in die systemen staan, maar verwerkingsverantwoordelijke voor de gegevens van zijn eigen personeel of eigen facturatie. Ook een samenwerking waarin partijen samen het doel van een verwerking bepalen, kan leiden tot een gedeelde verantwoordelijkheid, waarbij beide partijen als verwerkingsverantwoordelijke worden gezien voor dat deel van de verwerking.

Dit volgt uit artikel 4 AVG en EDPB-richtsnoeren

De definities van verwerkingsverantwoordelijke en verwerker staan in artikel 4, onder 7 en 8, van de AVG (Verordening (EU) 2016/679). Daarin draait het om wie het doel en de middelen van de verwerking vaststelt. De European Data Protection Board werkt deze begrippen verder uit in haar richtsnoeren over de begrippen verwerkingsverantwoordelijke, verwerker en gezamenlijke verwerkingsverantwoordelijken, met praktische aanwijzingen om vast te stellen wie in een concrete samenwerking welke rol vervult.