Vergroot contrast

Bewerkers en verantwoordelijke: de relatie nader toegelicht  

Samenvatting Naar aanleiding van diverse vragen heeft het CBP de begrippen verantwoordelijke en bewerker van persoonsgegevens binnen organisaties en hun relatie nader uitgewerkt.

Wie is de verantwoordelijke?
De verantwoordelijke is volgens artikel 1, onder d, Wbp de natuurlijke persoon, rechtspersoon
of ieder ander die of het bestuursorgaan dat, alleen of te samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Het is derhalve de verantwoordelijke die de doeleinden van de verwerking bepaalt en beslist over het gebruik van de persoonsgegevens, de verstrekking aan derden, de duur van de opslag van gegevens enz.

Wie is de bewerker?
De bewerker is ingevolge artikel 1, onder e, Wbp degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. De bewerker verwerkt derhalve gegevens ten behoeve van de verantwoordelijke, dat wil zeggen overeenkomstig diens instructies en onder diens (uitdrukkelijke) verantwoordelijkheid. Bepalend voor de afbakening van het begrip is de relatie met de verantwoordelijke voor de gegevensverwerking en de mate van zeggenschap waarmee de verwerking van persoonsgegevens gepaard gaat. (II, nr. 3, blz. 61) Relatie verantwoordelijke - bewerker
De verantwoordelijke die een bewerker inschakelt, is op grond van artikel 14, tweede lid, Wbp verplicht een overeenkomst met de bewerker aan te gaan. Voor de afgrenzing van het begrip «bewerker» ten opzichte van het begrip «verantwoordelijke» is de inhoud van de overeenkomst die de bewerker sluit met de verantwoordelijke van belang. Daarnaast is echter ook van belang hoe zich het één en ander vervolgens in de praktijk feitelijk ontwikkelt (II, nr. 3, blz. 62). In beide situaties kunnen de details van de verwerkingswijze worden overgelaten aan de bewerker zonder dat deze daardoor verantwoordelijke of medeverantwoordelijke wordt.

Daarnaast beperkt de bewerker zich tot het verwerken van persoonsgegevens zonder zeggenschap te hebben over het doel van en de middelen voor de verwerking van persoonsgegevens. Zou hij immers deze zeggenschap wel verwerven dan dient hij als verantwoordelijke te worden aangemerkt. Wanneer de bewerker zelf de details van de verwerkingswijze bepaalt, impliceert dat niet dat hij daarmee ook de zeggenschap verkrijgt over de verwerking van persoonsgegevens als zodanig. Het bepalen van de details van de verwerkingswijze door de bewerker zal in de praktijk veelal zijn grondslag vinden in de deskundigheid die de bewerker in huis heeft, de (keuze van de) apparatuur en de software die hij daarbij gebruikt of de mankracht waarover hij beschikt.

Samenvatting
Voor de afbakening van de relatie verantwoordelijke en bewerker zijn het bepalen van de doeleinden van de verwerking en de zeggenschap daarover doorslaggevend. Of en hoeverre de bewerker de details van de verwerkingswijze van persoonsgegevens kan bepalen hangt in grote mate af van hetgeen hierover is bepaald in de overeenkomst die de verantwoordelijke ingevolge artikel 14, tweede lid, Wbp heeft afgesloten met de bewerker.

14 mei 2002, z2002-00362