Organisaties geven werknemers, aangestelden en mandatarissen (laten we ze kortweg mandatarissen noemen) de bevoegdheid om bepaalde persoonsgegevens van de natuurlijke personen die ze verwerken te mogen consulteren en verwerken.

Had kader waarbinnen de mandataris handelt kan drievoudig zijn:

• de mandataris handelt binnen het kader van zijn bevoegdheden;
• de mandataris handelt binnen buiten het kader van zijn bevoegdheden;
• het kader waarbinnen de mandataris handelt is dubbelzinnig of onbestaande.

In sommige gevallen kan het voorkomen dat deze mandatarissen hun bevoegdheden te buiten gaan, door verwerking, met inbegrip van consultaties uit te voeren of goed te keuren waar ze geen bevoegdheid voor hebben.

Dergelijke situaties kunnen zich voordoen omdat de mandataris niet precies weet waar hij of zij werkelijk bevoegdheid voor heeft, gevraagd of geëist werd om de verwerking uit te voeren, maar kan ook een eenzijdig gewilde beslissing van deze mandataris zijn geweest.

Mandataris handelend binnen het instructiekader

Wanneer de mandataris handelt binnen het kader van zijn of haar bevoegdheden met betrekking tot de verwerking (consultatie, registratie, wijziging, etc.) van persoonsgegevens, dan blijft de aanstellende organisatie de verwerkingsverantwoordelijke.

Als verwerkingsverantwoordelijke moet de aanstellende organisatie dan kunnen aantonen waarom de mandataris persoonsgegevens verwerkt.

Mandataris handelend buiten de gegeven instructies

Wanneer de mandataris niet meer handelt binnen het kader van zijn of haar bevoegdheden met betrekking tot de verwerking van persoonsgegevens, dan stelt de GBA dat onder bepaalde omstandigheden de mandataris geacht kan worden zelf het doel van de verwerking te bepalen.

Indien dat het geval is dan kan de mandataris worden beschouwd als verwerkingsverantwoordelijke.

Het kader is dubbelzinnig of onbestaande

In sommige organisaties blijken mandatarissen zelfs helemaal geen formele bevoegdheid te hebben om persoonsgegevens te verwerken.

Zulke situaties kunnen zich voornamelijk voordoen bij kleinere organisaties, die doorgaans niet de middelen hebben voor een doorgedreven administratie en scheiding van functies.

In sommige gevallen wordt ook gewoon verondersteld dat een bepaalde mandataris een bepaalde bevoegdheid heeft, terwijl die mandataris in werkelijkheid die bevoegdheid helemaal niet heeft.

Technische en organisatorische maatregelen

Welke ook de juiste situatie is, het is de verwerkingsverantwoordelijke die moet kunnen aantonen dat hij gepaste technische en organisatorische maatregelen heeft genomen om de privacy van de natuurlijke personen wiens persoonsgegevens hij verwerkt heeft genomen en geïmplementeerd.

Bovendien moeten deze maatregelen op geregelde tijdstippen worden getoetst en beoordeeld of ze al dan niet nog volstaan voor de voorgenomen verwerkingen.

Dit wilt zeggen dat de aanstellende organisatie, zelfs indien een van haar mandatarissen zijn bevoegdheden is te buiten gegaan, nog altijd moet voor zorgen en kunnen aantonen dat hij de nodige maatregelen heeft genomen en geïmplementeerd zodat zijn mandatarissen geen illegale en/of niet toegestane verwerkingen zouden kunnen uitvoeren.

Dus het louter feit dat een mandataris een verwerking heeft uitgevoerd waarvoor hij geen bevoegdheid toe had, ontslaat de aanstellende organisatie niet van het nemen en implementeren van gepaste technische en organisatorische maatregelen; zoals gepaste toegangscontrole, een gepaste arbeidsindeling en -verdeling, …

Conclusie

Organisaties die medewerkers bevoegdheden geven voor het verwerken van persoonsgegevens zijn niet altijd de verwerkingsverantwoordelijke voor een bepaalde verwerking.

Echter de aanstellende organisatie moet wel steeds kunnen aantonen dat zij gepaste technische en organisatorische maatregelen heeft genomen om de privacy van de natuurlijke personen wiens persoonsgegevens hij verwerkt te kunnen garanderen.

Bloep, 1 maart 2026.