Sommige al dan niet gelieerde, al dan niet geconsolideerde, organisaties benoemen soms een gemeenschappelijke DPO die moet instaan voor de naleving van de GDPR bij deze participerende organisaties.
Deze situatie is niet altijd conform de GDPR.
Te onthouden punten
- Verwerkingsverantwoordelijken en verwerkers hebben niet dezelfde verplichtingen en verantwoordelijkheden in de GDPR.
- Verwerkingsverantwoordelijken en verwerkers kunnen soms andere, tegengestelde, belangen hebben.
- Het is geen goed idee om een gemeenschappelijke DPO aan te stellen bij de verwerker en de verwerkingsverantwoordelijke.
- Een DPO is de bewaker van de belangen van de personen wiens persoonsgegevens worden verwerkt, en niet die van de verwerkingsverantwoordelijke noch die van de verwerker.
Verantwoordelijkheid van de verwerkingsverantwoordelijke
Verwerkingsverantwoordelijken hebben, in tegenstelling tot verwerkers, een heleboel verantwoordelijkheden conform de GDPR.
Basis GDPR
Zo moeten persoonsgegevens o.a. rechtmatig, transparant, doelgebonden, beperkt en minimalistisch worden verwerkt.
M.a.w. iedere verwerking moet o.a. een rechtsgrond en een specifiek doel hebben, transparant zijn voor de personen wiens persoonsgegevens worden verwerkt.
Verwerkingsverantwoordelijken verwerken ook alleen en behouden ook alleen die gegevens die strict noodzakelijk zijn.
Technische en organisatorische maatregelen
Verwerkingsverantwoordelijken moeten ook aantoonbare en passende technische en organisatorische maatregelen nemen en deze actueel houden.
Deze maatregelen zijn niet zomaar maatregelen. De aanbeveling is dat de genomen maatregelen ter bescherming van de persoonsgegevens state-of-the-art zijn, en rekening houden met de aard, omvang en categorieën van de persoonsgegevens die worden verwerkt.
GDPR-compatibele verwerkers
Verwerkingsverantwoordelijken nemen enkel verwerkers in dienst die afdoende garanties bieden dat zij passende technische en organisatorische maatregelen hebben om de verplichtingen die de GDPR oplegt na te kunnen komen.
Verantwoordelijkheid van de verwerker
Verwerkers die door een verwerkingsverantwoordelijke werden aangesteld hebben andere verantwoordelijkheden.
Verwerken volgens schriftelijke instructies
Verwerkingen uitgevoerd in opdracht van een verwerkingsverantwoordelijke gebeuren op basis van een overeenkomst, waarin o.a. staat dat:
- de verwerker alleen verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke;
- de personen bij de verwerker die gemachtigd zijn om verwerkingen uit te voeren een verplichting hebben tot geheimhouding.
- de verwerker alle nodige maatregelen neemt ter beveiliging van de opgedragen verwerkingen.
Bijstand verlenen en controles
De verwerker moet op vraag van de verwerkingsverantwoordelijke alle informatie ter beschikking stellen, meewerken aan controles en inspecties van de verwerkingsverantwoordelijke, zodat laatstgenoemde kan nagaan of de vewerker de verplichtingen inzake de GDPR en de gegeven instructies nakomt.
Hij verleent bijstand aan de verwerkingsverantwoordelijke inzake het voldoen van de rechten van de personen wiens gegevens worden verwerkt.
In dienst nemen van subverwerkers
Verwerkers mogen alleen subverwerkers in dienst nemen indien zij daarvoor de schriftelijke toestemming van de verwerkingsverantwoordelijke hebben.
Deze subverwerker moet, net zoals de primaire verwerker, dezelfde garanties kunnen bieden inzake het nakomen van de verplichtingen van de GDPR.
Verwerkingsverantwoordelijken hebben immers het recht de beoogde subverwerker te weigeren.
Verwerker wordt tevens verwerkingsverantwoordelijke
Indien de verwerker niet toegestane verwerkingen doet, dan zal hij zelf moeten worden beschouwd als verwerkingsverantwoordelijke voor die verwerkingen van persoonsgegevens die door de verwerkingsverantwoordelijke niet werden toegestaan.
De gemeenschappelijke DPO en het belangenconflict
Wanneer dezelfde DPO zowel toezicht moet houden op de uitvoering van de verwerkingsovereenkomst met de verwerker als de verplichtingen van de verwerkingsverantwoordelijke dan ontstaat er mogelijk een belangenconflict, omdat de verantwoordelijkheden en belangen van de verwerker en die van de verwerkingsverantwoordelijke verschillend kunnen zijn.
Tegengestelde belangen verwerkingsverantwoordelijke en vewerker
Conform de GDPR en de verwerkingsovereenkomst bepaalt een verwerkingsverantwoordelijke het onderwerp van de verwerkingen, de duur, het soort verwerkingen en het doel van de verwerkingen evenals de categorieën van personen die daarbij betrokken zijn.
De verwerkingsverantwoordelijke moet immers toezicht houden op de naleving van deze contractuele bepalingen door de aangestelde verwerker. Dit gebeurt o.a. door fysieke inspecties, reviews, rapporten.
Indien beide, verwerkingsverantwoordelijke en diens aangestelde verwerker, een beroep doen op dezelfde DPO dan houdt deze laatste toezicht op de naleving van de GDPR bij beide, wiens belangen niet noodzakelijk gelijklopen.
Voorbeeld 1
De verwerker verwerkt de hem toevertrouwde verwerkingen met zijn standaard verwerkingsmiddelen en dito organisatorische maatregelen, die hij ook aan andere klanten aanbiedt.
Deze verwerkingsmiddelen en organistorische maatregelen voldoen niet noodzakelijk aan alle vereisten van de verwerking voor de aansteller-verwerkingsverantwoordelijke, maar bijvoorbeeld wel aan alle vereisten inzake beveiliging, integriteit, etc. van andere klanten van deze verwerker; waarvoor de gemeenschappelijke DPO zijn fiat reeds heeft gegeven inzake gepaste technische en organisatorische maatregelen die door de verwerker zijn genomen.
Echter deze tekortkomingen, die niet 100% voldoen, worden wel door de aansteller-verwerkingsverantwoordelijke aanvaard.
Men merkt hier reeds dat de gemeenschappelijke DPO voor een dilemma staat.
De gemeenschappelijke DPO kan, voor de aansteller-verwerkingsverantwoordelijke, immers de verwerking van persoonsgegevens aan de verwerker niet goedkeuren.
Gezien zijn verplichting tot geheimhouding, kan de gemeenschappelijke DPO de verwerkingsverantwoordelijke ook niet mededelen waarom de verwerker niet aan alle gestelde voorwaarden voldoet.
Meldt hij of zij dit wel aan de verwerkingsverantwoordelijke, dan schendt hij of zij de verplichting tot geheimhouding jegens de verwerker.
Voorbeeld 2
Er kan ook een conflict ontstaan wanneer de gemeenschappelijke DPO, als gevolg van een datalek, uitleg moet verschaffen aan de gegevensbeschermingsautoriteit; of wanneer er moet worden beslist of het al dan niet nodig is een datalek te melden.
Voorbeeld 3
Verder is het ondenkbaar dat er geen belangenconflict zal zijn indien de verwerkingsveratnwoordelijke zijn toezicht, bijvoorbeeld via fysieke inspecties bij de verwerker, moet uitoefenen.
De DPO als auditor
De DPO, die eigenlijk een soort auditor is inzake de verwerking van persoonsgegevens, daarentegen houdt toezicht op de verwerkingsverantwoordelijke en moet er zich van vergewissen dat deze laatste de GDPR-regels respecteert.
Hij of zij staat m.a.w. aan de zijde van de personen wiens persoonsgegevens door de verwerkingsverantwoordelijke worden verwerkt, en is dus de bewaker van de belangen van de personen wiens gegevens worden verwerkt.
Dit staat in schril contrast met bijvoorbeeld een privacy officer, die bijvoorbeeld wel bepaalde zaken inzake de verwerking van persoonsgegevens mee kan bepalen.
M.a.w. men heeft bij een gemeenschappelijke DPO een toezichthouder die toezicht houdt op de compliancy van de verwerkingsverantwoordelijke.
Deze verwerkingsverantwoordelijke moet, op basis van zijn contractuele relatie met de verwerker, op zijn beurt toezicht houden op de door hem aangestelde verwerker via o.a. inspecties en reviews; en deze laatste staat dan op zijn beurt onder het toezicht van diezelfde DPO.
Opgelet: deze blog is geen juridisch advies. Vele zaken waarbij de verwerking van persoonsgegevens zijn betrokken dienen geval per geval te worden beoordeeld. Aarzel niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.
Bloep, 19 juli 2026.