Het verwerken van persoonsgegevens wordt meer dan eens gedaan door een aantal partijen gezamenlijk. Indien het ook die gezamenlijke partijen zijn die het doel van de verwerking van persoonsgegevens bedenken en vaststellen, wordt er gesproken over “gezamenlijke verantwoordelijkheid”. Hoe handelt men in een situatie waarin er niet simpel weg één verantwoordelijke en één verwerker is?
In het geval er meer dan één verantwoordelijke valt aan te wijzen voor één specifieke verwerking, komt artikel 26 lid 1 AVG om de hoek kijken:
Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken.[..]
In art. 26 AVG wordt voorgeschreven dat de verantwoordelijken onderling afspreken wie aan welke eisen van de AVG dient te voldoen. Wie gaat bijvoorbeeld de betrokkenen informeren over de verwerking(en) en op welke wijze wordt er voldaan aan een inzageverzoek of een verzoek tot verwijdering van persoonsgegevens.
Ben ik verplicht een overeenkomst te sluiten met de andere verantwoordelijke(n)?
De wetgever schrijft voor dat verantwoordelijken onderling afspraken maken over hun gezamenlijke verantwoordelijkheid. Art. 26 AVG geeft echter geen vormvereiste voor deze afspraken.
In theorie zouden partijen dus mondeling kunnen komen tot afspraken over de toepassing van de AVG en de bescherming van de rechten en vrijheden van betrokkenen.
Om geen misverstanden te krijgen, is het opstellen van een samenwerkingsovereenkomst, consortium agreement of andersoortige overeenkomst wel aan te raden.
Transparant richting betrokkenen
De afspraken die verantwoordelijken maken in het kader van de AVG, moeten beschikbaar worden gesteld aan de betrokkenen. Zie art. 26 lid 2 AVG:
Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkenen is. De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld.
Zo moet duidelijk zijn waar een betrokkene terecht kan voor het uitoefenen van zijn rechten (of het stellen van vragen omtrent de verwerking van zijn/haar persoonsgegevens).
Ondanks het delen van de afspraken tussen gezamenlijke verantwoordelijke, kan een betrokkene altijd bij elke individuele partij aankloppen om het recht op inzage, correctie, verwijdering en dataportabiliteit te doen.
Vragen over de overeenkomst tussen gezamenlijke verantwoordelijken?
Heeft u vragen over de inhoud van de samenwerkingsovereenkomst, wilt u een samenwerkingsovereenkomst laten nakijken of wilt u een samenwerkingsovereenkomst laten opstellen?
Neem dan contact met ons op en wij helpen u verder met de overeenkomst tussen gezamenlijk verantwoordelijken.