Aangestelden, zoals bijvoorbeeld medewerkers, kunnen in sommige omstandigheden zelfstandig bepaalde beslissingen nemen die een invloed hebben op het vlak van de privacyafdruk van een organisatie.

Zo kan het voorkomen dat deze aangestelden zelfstandig bepalen dat om een bepaald doel, bijvoorbeeld een marketing doel, te bereiken er bijkomend bepaalde persoonsgegevens moeten worden verwerkt en met welke middelen via welke weg men deze gegevens het best opvraagt.

In sommige gevallen wordt de eis van deze bijkomend gevraagde persoonsgegevens, al dan niet bewust, nergens gedocumenteerd.

Dit kan de verantwoordelijkheid van de verwerkingsverantwoordelijke-aansteller verzwaren.

Aangestelden als verwerkingsverantwoordelijke

Aangezien de aangestelde doorgaans onder het toezicht opereert van de verwerkingsverantwoordelijke-aansteller zal in de meeste gevallen de verwerkingsverantwoordelijke-aansteller de verantwoordelijkheid dragen van de bijkomende verwerking van persoonsgegevens.

Maar wat indien de verwerkingsverantwoordelijke helemaal niet op de hoogte werd gesteld, en dus ook geen weet heeft, van de eenzijdig besliste bijkomende verwerking van persoonsgegevens?

In een dergelijke geval zou men kunnen zeggen dat de aangestelde, althans voor wat betreft de bijkomende niet geauthoriseerde verwerkingen van persoonsgegevens, en de verwerkingsverantwoordelijke-aansteller samen de verwerkingsverantwoordelijken zullen zijn.

Het kan ook zijn dat de verwerkingsverantwoordelijke-aansteller achteraf, na ontdekking, helemaal niet akkoord gaat met de bijkomende niet geauthoriseerde verwerking van persoonsgegevens, in welk geval de aangestelde dan, voor wat betreft de periode vòòr de ontdekking van de ongeauthoriseerde bijkomende verwerking van persoonsgegevens, beschouwd kan worden als verwerkingsverantwoordelijke; in de veronderstelling weliswaar dat er op de verwerkingsverantwoordelijke-aansteller geen fout rust.

Of men te maken zal hebben met gezamenlijke verwerkingsverantwoordelijken zal beoordeeld moeten worden aan de hand van de feitelijke situatie.

Gezamenlijke verwerkingsverantwoordelijken

In sommige gevallen is de aangestelde een medewerker van een aanverwante organisatie van de verwerkingsverantwoordelijke-aansteller, die tevens gebruiker is van bijvoorbeeld de software die door de verwerkingsverantwoordelijke-aansteller wordt ter beschikking gesteld.

Aangezien de aangestelde bijkomende, en eigenlijk door de verwerkingsverantwoordelijke-aansteller niet geauthoriseerde, verwerkingen van persoonsgegevens toevoegt aan de software ten voordele van de aanverwante organisatie is de vraag of deze aanverwante organisatie van de verwerkingsverantwoordelijke-aansteller, voor wat betreft de bijkomende door deze laatste niet geauthoriseerde verwerking van persoonsgegevens, ook een verwerkingsverantwoordelijke is?

Om deze vraag te kunnen beantwoorden zal men rekening moeten houden met de feitelijke situatie, die in sommige gevallen complex kan zijn; omdat de aangestelde in sommige gevallen aangestelden kunnen zijn van meerdere aanverwante organisaties die als groep opereren en dus ook als groep, niet geauthoriseerde, beslissingen nemen.

Documentatie

Om situaties te vermijden dat aangestelden beslissingen nemen over ongeauthoriseerde verwerkingen van persoonsgegevens doen verwerkingsverantwoordelijken-aanstellers er best aan de werkelijke scope van de functie van diegenen die zelfstandig beslissingen mogen nemen inzake het verwerken van persoonsgegevens gedetailleerd te documenteren.

Zijn de aangestelden personen van aanverwante organisaties dan heeft de verwerkingsverantwoordelijke-aansteller best een verwerkingsovereenkomst met deze aanverwante organisaties; hetgeen helaas niet altijd het geval blijkt te zijn.

Met deze documentatie kunnen verwerkingsverantwoordelijken-aanstellers achteraf aantonen dat er van hun kant geen fout of onvoldoende toezicht te wijten valt.

Bloep, 18 april 2026.