▪
Wie bepaalt het/de doeleinde(n)waarvoor de gegevens gebruikt worden?
▪
Wie bepaalt de rechtsgrond voor de verwerking?
▪
Wie bepaalt of de gegevens moeten worden doorgegeven, en zo ja, aan wie?
▪
Wie bepaalt de inhoud van de informatie die aan de betrokkenen wordt verstrekt m.b.t de verwerking of verwerkingsactiviteiten die op hun gegevens worden toegepast?
▪
Wie bepaalt hoe lang de gegevens bewaard worden? en
▪
Wie bepaalt hoe gereageerd wordt wanneer betrokkenen hun rechten uitoefenen?
Artikel
26
van
de
AVG
verwerkingsverantwoordelijken
voorziet
ook
in
co-existeren,
de de
situatie
waarin
zogenaamde
twee
of
meer
‘gezamenlijke
verwerkingsverantwoordelijken’. Dit is het geval wanneer meerdere entiteiten gezamenlijk het doel en de middelen van de verwerking bepalen. Artikel 26 van de AVG bepaalt dat in dat geval de verwerkingsverantwoordelijken hun verplichtingen op een transparante manier moeten vastleggen door middel van een overeenkomst, die hun respectieve rollen ten aanzien van de betrokkenen correct weergeeft.
Verwerker9 Er is sprake van een verwerkersrelatie wanneer een natuurlijke persoons of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan ten behoeve van de als dusdanig geïdentificeerde verwerkingsverantwoordelijke persoonsgegevens verwerkt, zonder dat deze entiteit de doeleinden en de middelen van de verwerking kan bepalen/wijzigen. Het inschakelen van een verwerker heeft tot gevolg dat de vereisten van artikel 28 van de AVG nageleefd moeten worden. De verwerkingsverantwoordelijke mag zich overeenkomstig artikel 28.1 AVG uitsluitend beroepen op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van de AVG voldoet en de bescherming van de rechten van de betrokkenen is gewaarborgd. Hoewel de verwerkingsverantwoordelijke in principe sluitende instructies geeft aan zijn verwerker met betrekking tot de geviseerde verwerking van persoonsgegevens, is dit realiter niet steeds mogelijk en/of gewenst. Immers, de aangeduide verwerker beschikt vaak over een hoge deskundigheid op het vlak van de technologieën en/of beveiligingsmaatregelen met betrekking tot de verwerking waarvoor hij instaat. Het feit dat een verwerker over meer deskundigheid beschikt dan de verwerkingsverantwoordelijke over de te gebruiken technische middelen bij de
9
Voor een volledig overzicht inzake de relatie verwerkingsverantwoordelijke-verwerker, zie: EDPB Guidelines 07/2020 on the concepts of controller and processor in the GDPR.
10 Aanbeveling betreffende biometrie | Versie 1.1 – 01/12/2021
