Wanneer een verwerker tevens verwerkingsverantwoordelijke is is het belangrijk deze situatie duidelijk te documenteren en de betrokkenen hierover in te lichten, en dit zowel door de organisatie die als verwerker optreedt als door de organisatie die optreedt als verwerkingsverantwoordelijke.

Hoofdstuk IV van de GDPR definieert de verantwoordelijkheid van zowel de verwerkingsverantwoordelijke als die van de verwerker.

Verwerkingsverantwoordelijken zijn verantwoordelijk voor een heleboel verplichtingen, waaronder:

• passende technische en organisatorische maatregelen treffen,
• het voeren van een passend gegevensbeschermingsbeleid,
• indien van toepassing, werken met verwerkers die voldoende garanties kunnen bieden om aan de bepalingen van de GDPR te voldoen,
• …

In sommige gevallen kan een verwerker tevens verwerkingsverantwoordelijke zijn, en vice versa.

Het is belangrijk om van deze dubbele hoedanigheid bewust te zijn, omdat het gevolgen heeft voor wat betreft de verantwoordelijkheid van de verwerkingsverantwoordelijke – verwerker.

Verwerker die tevens verwerkingsverantwoordelijke is

De situaties waarbij een verwerker tevens verwerkingsverantwoordelijke of vice versa is zijn niet altijd even duidelijk.

De situtatie komt bijvoorbeeld voor wanneer een verwerker op basis van de persoonsgegevens van de natuurlijke personen die hij verwerkt in opdracht van een verwerkingsverantwoordelijke complementaire diensten aanbiedt aan deze natuurlijke personen, en/of de persoonsgegevens van deze natuurlijke persoon, zonder dat dit werd overeengekomen met de verwerkingsverantwoordelijke doorgeeft aan een derde, bijvoorbeeld in het kader van een agentuur relatie.

Voorbeeld

Organisatie A is agent voor organisatie B, maar verwerkt in opdracht van organisatie C bepaalde persoonsgegevens voor een specifiek gedefinieerd doel dat met organisatie C werd overeengekomen.

Organisatie A gebruikt tevens de persoonsgegevens die hij verwerkt voor organisatie C om ook de producten of diensten, waarvoor hij een commissie krijgt, van organisatie B te promoten.

In sommige gevallen gebruikt organisatie A de verwerkte persoonsgegevens voor organisatie C ook om zijn eigen producten of diensten aan deze natuurlijke personen te verkopen.

Deze situatie komt o.a. voor in de verzekeringssector.

Belang van documentatie

In situaties waarbij een organisatie zowel verwerker als verwerkingsverantwoordelijke is voor dezelfde persoonsgegevens, dus niet voor dezelfde verwerking, is het belangrijk om goede en duidelijke documentatie te hebben waarbij o.a. de volgende zaken zijn opgenomen:

• voor wie welke verwerking van dezelfde persoonsgegevens en onder welke hoedanigheid (verwerker of verwerkingsverantwoordelijke) men optreedt,
• onderscheiden procedures, processen en maatregelen voor de verwerkingen als verwerker en deze als verwerkingsverantwoordelijke,
• hoe de gebruikte systemen het onderscheid kunnen maken tussen de verwerkingen die werden uitgevoerd als verwerker en die als verwerkingsverantwoordelijke.

Melding aan betrokkenen

Betrokkenen wiens persoonsgegevens worden verwerkt dienen te weten wie welke persoonsgegevens verwerkt en in welke hoedanigheid.

Dit betekent dat zowel de organisatie die als verwerker optreedt als de organisatie die als verwerkingsverantwoordelijke optreedt de betrokkenen moeten inlichten van deze (complexe) situatie in een voor hen begrijpbare taal.

Bloep, 25 september 2025.