Vraag & antwoord praktijksituaties AVG

Hier is sprake van medeverantwoordelijkheid, aangezien de opdrachtnemer niet zozeer wordt ingeschakeld om de persoonsgegevens te gebruiken, maar om werkzaamheden uit te voeren. Dit betekent dat voor het gebruik dat onder het beheer van de opdrachtnemer plaatsvindt de opdrachtnemer verantwoordelijke is. De opdrachtgever blijft verantwoordelijke voor het verstrekken van de persoonsgegevens aan de opdrachtnemer.

Actie:

Zorg dat door zowel opdrachtgever als opdrachtnemer zorgvuldig wordt omgegaan met persoonsgegevens. Neem hiervoor de standaardbepalingen met betrekking tot privacy op in de algemene voorwaarden, overeenkomst of inkoopvoorwaarden. Als de behoefte bestaat om bepaalde zaken met betrekking tot de verwerking van persoonsgegevens gedetailleerder te regelen, sluit dan een overeenkomst met betrekking tot medeverantwoordelijkheid af.

Hier is sprake van individuele verantwoordelijkheid. De opdrachtgever blijft verantwoordelijke voor de gegevens in zijn eigen beheer, maar de opdrachtnemer wordt afzonderlijke verantwoordelijke voor het gedeelte dat hij onder zich heeft gekregen. Hier hoeft dan ook geen extra overeenkomst voor worden afgesloten. Wel is het aan te raden om in de overeenkomst van opdracht een clausule op te nemen waaruit blijkt dat de betreffende gegevens na afloop van de overeenkomst worden teruggegeven. Dit om te voorkomen dat gegevens gaan rondzwerven.

Actie:

Zorg dat er een clausule met betrekking tot teruggave van gegevens wordt opgenomen in de overeenkomst tot opdracht.

Deze situatie komt overeen met de traditionele situatie onder 1.

Hier is sprake van een situatie van medeverantwoordelijkheid zoals hierboven beschreven. De hoeveelheid persoonsgegevens is niet leidend als het gaat om de verhouding die partijen met elkaar hebben.

Actie:

Neem de standaardbepalingen met betrekking tot privacy op in de algemene voorwaarden, overeenkomst of inkoopvoorwaarden of sluit een overeenkomst met betrekking tot medeverantwoordelijkheid af.

In deze situatie is er sprake van een verantwoordelijke-verwerkersrelatie. De opdrachtnemer levert in de hoedanigheid van bewerker de gegevens van haar medewerkers. De klant zelf (de opdrachtgever) is verantwoordelijke met betrekking tot het verwerken van de persoonsgegevens voor het verschaffen van toegang. De opdrachtgever is in dit geval dus ook verantwoordelijk voor het hebben van een goede grondslag voor het verwerken van persoonsgegevens. Door de afhankelijkheidsrelatie is ‘toestemming’ hier niet voldoende

Actie:

Sluit een verwerkersovereenkomst af met de opdrachtgever in aanvulling op de hoofdovereenkomst, waarin duidelijk wordt afgebakend wat wel en niet toegestaan is met de persoonsgegevens van de werknemers. Geef in de onderhandelingen aan dat een goede grondslag voor het verwerken van persoonsgegevens een wettelijke verplichting is en dat de verantwoordelijke hieraan dient te voldoen.