Wij zijn verantwoordelijke voor de verzoeken. Verwerker voor de rest.

Bij de meeste diensten is de rolverdeling eenvoudig: de klant bepaalt wat er met de gegevens gebeurt en is verwerkingsverantwoordelijke, de leverancier voert uit en is verwerker. Bij een dienst die namens een individu rechten uitoefent, klopt dat model niet.

De reden is dat de opdrachtgever daar juist géén zeggenschap heeft over het deel dat ertoe doet. Als hij die wel had, was het verzoek ongeldig.

Waar de rol werkelijk aan hangt

Niet aan het contract, en niet aan wie betaalt. De verordening knoopt de rol aan wie het doel en de middelen van een verwerking bepaalt. Dat is een feitelijke vraag, en het antwoord kan per verwerking anders zijn binnen dezelfde dienst.

Dat laatste is het punt dat het vaakst wordt gemist. “Wij zijn verwerker” is geen eigenschap van een bedrijf maar van een verwerking. Eén leverancier kan voor het ene deel van zijn dienst verwerker zijn en voor het andere deel verantwoordelijke, en dat is geen constructie maar een gevolg.

De toets, in drie vragen per verwerking

Neem elke verwerking apart en stel deze drie vragen. Wie ze op een dienst loslaat, komt er meestal binnen een kwartier uit.

• Wie bepaalt of dit gebeurt. Kan de opdrachtgever het stopzetten? Zo ja, wijst dat richting verwerker.
• Wie bepaalt hoe het gebeurt — welke gegevens, aan wie, met welk doel. Als de leverancier dat op eigen professioneel oordeel invult en de opdrachtgever daar niets over te zeggen heeft, is de leverancier verantwoordelijke.
• Voor wiens doel gebeurt het. Als de verwerking een recht van een derde uitoefent en niet een bedrijfsdoel van de opdrachtgever dient, is de opdrachtgever hier geen verantwoordelijke.

Waarom een mandaat de rol verschuift

De rechten uit de verordening komen toe aan de betrokkene. Oefent een dienst die uit op grond van een persoonlijk mandaat, dan handelt hij naar de instructie van die betrokkene — niet naar die van de werkgever die de rekening betaalt.

Zou de werkgever wél kunnen bepalen welke verzoeken uitgaan en welke niet, dan handelde de dienst naar diens instructie en niet naar het mandaat. Dan is het verzoek geen uitoefening van een persoonsgebonden recht meer, en dat is precies de constructie waarop een ontvangende partij het mag afwijzen.

De rolverdeling volgt hier dus niet uit een juridische voorkeur maar uit de eis die het recht zelf stelt.

Waarom dat recht niet namens iemand kan worden uitgeoefend→

Wat dat betekent voor de papieren

Twee ketens betekent twee soorten afspraken, en niet één document dat alles dekt.

Voor het deel waarin de leverancier in opdracht van de organisatie verwerkt — de uitnodiging, de rapportage in aantallen — hoort een verwerkersovereenkomst. Voor het deel dat op mandaat loopt, hoort die er juist niet: daar is de organisatie geen verantwoordelijke, en een verwerkersovereenkomst die dat wel suggereert, beschrijft een zeggenschap die er niet is.

Een leverancier die één verwerkersovereenkomst aanbiedt voor het geheel, heeft de vraag niet gesteld. Dat is een bruikbaar signaal bij een beoordeling.

Hoe die twee ketens bij ons zijn belegd→

Waar dit ophoudt

De rolverdeling is een beoordeling en geen zekerheid. Zij hangt af van feiten die per dienst verschillen, en een toezichthouder kan er anders naar kijken dan de partijen zelf.

Wat u wél kunt eisen, is dat een leverancier de vraag per verwerking beantwoordt in plaats van per bedrijf. Wie dat niet kan, heeft er niet over nagedacht — en dat is op zichzelf al een antwoord.

De volledige lijst vragen voor een beoordeling→

Waar dit vandaan komt