Verwerkingsverantwoordelijke onder de AVG: wat het betekent en wanneer jij het bent

De verwerkingsverantwoordelijke onder de AVG is de organisatie of persoon die het doel en de middelen van een gegevensverwerking bepaalt. Met andere woorden: wie beslist wáárom en hóé persoonsgegevens worden verwerkt, is de verwerkingsverantwoordelijke. Dat is een centrale rol binnen de privacywetgeving, omdat de verwerkingsverantwoordelijke de zwaarste verplichtingen draagt en direct aanspreekbaar is voor betrokkenen en de toezichthouder.

Wat is een verwerkingsverantwoordelijke precies?

De definitie staat in artikel 4 van de AVG. Een verwerkingsverantwoordelijke is een natuurlijke persoon, rechtspersoon, overheidsinstantie of ander orgaan dat, alleen of samen met anderen, het doel en de middelen van de verwerking van persoonsgegevens vaststelt. Het gaat dus om de inhoudelijke zeggenschap, niet om wie de gegevens technisch beheert.

Een concreet voorbeeld: een webwinkel die klantgegevens verzamelt voor orderverwerking en marketing, bepaalt zelf waarom die gegevens worden verzameld en hoe ze worden gebruikt. Die webwinkel is de verwerkingsverantwoordelijke. Het IT-bedrijf dat de webwinkel host en alleen de server beheert, is in dat geval de verwerker. Hetzelfde principe geldt voor een huisartsenpraktijk die patiëntgegevens bijhoudt, of een werkgever die salarisgegevens verwerkt.

Wanneer ben jij de verwerkingsverantwoordelijke?

Je bent verwerkingsverantwoordelijke zodra je zelf bepaalt welke persoonsgegevens je verzamelt, met welk doel en hoe lang je ze bewaart. Dat geldt ongeacht de omvang van je organisatie. Een zzp’er die een mailinglijst bijhoudt, een vereniging die ledengegevens beheert en een multinational die klantprofielen analyseert, zijn allemaal verwerkingsverantwoordelijk voor hun eigen verwerkingen.

De sleutelvraag is: wie neemt de beslissing? Als jij opdracht geeft aan een boekhoudkantoor om salarisstroken te maken, blijf jij de verwerkingsverantwoordelijke. Het boekhoudkantoor verwerkt de gegevens in jouw opdracht en is dus de verwerker. Zodra het boekhoudkantoor echter ook voor eigen doeleinden die gegevens gebruikt, kan het voor die verwerking zelf verwerkingsverantwoordelijke worden.

Gezamenlijke verwerkingsverantwoordelijken

Soms stellen twee of meer partijen gezamenlijk het doel en de middelen vast. De AVG noemt dit gezamenlijke verwerkingsverantwoordelijken. Denk aan twee bedrijven die een gezamenlijk loyaltyprogramma runnen en allebei beslissen hoe klantdata wordt ingezet. In dat geval zijn ze allebei verwerkingsverantwoordelijk en moeten ze onderling vastleggen wie welke AVG-verplichtingen uitvoert. Die afspraken leggen ze vast in een gezamenlijke regeling, en de hoofdlijnen daarvan moeten voor betrokkenen beschikbaar zijn.

Verplichtingen van de verwerkingsverantwoordelijke AVG

De AVG legt de verwerkingsverantwoordelijke meer verplichtingen op dan de verwerker. De belangrijkste zijn:

Rechtmatige grondslag: elke verwerking heeft een geldige wettelijke grondslag nodig, zoals toestemming, een overeenkomst of een wettelijke verplichting.
Informatieplicht: je informeert betrokkenen via een privacyverklaring over wat je met hun gegevens doet.
Verwerkingsregister: de meeste organisaties moeten een intern register bijhouden van alle verwerkingen.
Gegevensbeschermingsovereenkomst: als je verwerkers inschakelt, sluit je een verwerkersovereenkomst af.
Beveiliging: je zorgt voor passende technische en organisatorische maatregelen om gegevens te beveiligen.
Rechten van betrokkenen: je verwerkt verzoeken tot inzage, correctie of verwijdering tijdig en correct.
Datalekken melden: bij een datalek meld je dit binnen 72 uur bij de Autoriteit Persoonsgegevens als het een risico oplevert voor betrokkenen.

Sommige organisaties zijn ook verplicht een functionaris voor gegevensbescherming (FG) aan te stellen, zoals overheidsinstanties en organisaties die op grote schaal gevoelige gegevens verwerken.

Verschil tussen verwerkingsverantwoordelijke en verwerker

Het onderscheid is in de praktijk niet altijd even scherp, maar de vuistregel is duidelijk: de verwerker handelt altijd in opdracht van de verwerkingsverantwoordelijke en mag de gegevens niet voor eigen doeleinden gebruiken. De verwerkingsverantwoordelijke bepaalt het doel, de verwerker voert uit. Een salarisadministratiekantoor, een e-mailmarketingdienst of een clouddienstverlener zijn typische voorbeelden van verwerkers.

Als een partij toch zelf beslissingen begint te nemen over het gebruik van de gegevens, buiten de opdracht om, kan de Autoriteit Persoonsgegevens hen alsnog aanmerken als (mede-)verwerkingsverantwoordelijke. De feitelijke situatie telt, niet alleen wat er op papier staat.

Veelgestelde vragen

Kan een individu verwerkingsverantwoordelijke zijn?
Ja. De AVG geldt ook voor natuurlijke personen die gegevens verwerken voor professionele doeleinden. Alleen zuiver persoonlijk of huishoudelijk gebruik valt buiten de AVG.

Moet je je registreren als verwerkingsverantwoordelijke?
Nee, in Nederland is er geen centraal register waar je je als verwerkingsverantwoordelijke aanmeldt. Je bent het van rechtswege zodra je aan de definitie voldoet. Wel moet je intern een verwerkingsregister bijhouden.

Wat zijn de gevolgen als je je verplichtingen niet nakomt?
De Autoriteit Persoonsgegevens kan boetes opleggen. Bij ernstige overtredingen kunnen die oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Betrokkenen kunnen ook een schadevergoeding eisen via de rechter.

Geldt de AVG ook buiten de EU?
Ja. Als je als verwerkingsverantwoordelijke buiten de EU bent gevestigd maar goederen of diensten aanbiedt aan mensen in de EU, of hun gedrag monitort, valt je verwerking toch onder de AVG.

Wil je weten of jij de verwerkingsverantwoordelijke bent in een specifieke situatie, dan is de centrale vraag altijd dezelfde: wie bepaalt het doel en de middelen? Kun je die vraag met “wij” beantwoorden, dan zijn de AVG-verplichtingen voor die verwerking aan jou. De Autoriteit Persoonsgegevens biedt op haar website praktische handvatten om die beoordeling te maken.