Verwerkingsverantwoordelijke

Een verwerkingsverantwoordelijke, in het kader van de Algemene verordening gegevensbescherming (AVG), is de persoon of organisatie die de doeleinden en middelen van de verwerking van persoonsgegevens bepaalt. Met andere woorden: deze partij bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verantwoordelijke kan een bedrijf, zorginstelling, overheidsorganisatie of vereniging zijn.

Verwerking omvat alle bewerkingen met persoonsgegevens, zoals verzamelen, vastleggen, opslaan, raadplegen, delen, verwijderen en beveiligen. De verantwoordelijke is verantwoordelijk voor de naleving van de privacyregels en draagt de uiteindelijke verantwoordelijkheid voor de rechtsgeldigheid van de verwerking. De verantwoordelijke kan een of meerdere verwerkers inschakelen om bepaalde taken uit te voeren, maar blijft aansprakelijk voor verwerkingen die onder zijn toezicht vallen. Bij gezamenlijke doeleinden en middelen kunnen meerdere partijen optreden als gezamenlijk verantwoordelijken.

Belangrijke taken omvatten onder meer: zorgen voor een geldige wettelijke basis voor de verwerking; transparante informatieverstrekking aan betrokkenen via een privacyverklaring; waar mogelijk gegevensminimalisatie en passende beveiligingsmaatregelen; waar nodig een functionaris voor gegevensbescherming adviseren en ondersteunen; mogelijkheden bieden voor de uitoefening van de rechten van betrokkenen; een doeltreffend verwerkingsregister bijhouden met onder meer doeleinden, categorieën gegevens, ontvangers en bewaartermijnen. Voor verwerkersovereenkomsten geldt dat de verantwoordelijke duidelijke afspraken maakt over verwerkerstaken en beveiliging.

In geval van een datalek geldt doorgaans een meldplicht bij de bevoegde toezichthouder en, indien van invloed, aan de betrokkenen. De Autoriteit Persoonsgegevens ziet toe op de naleving en kan handhaving toepassen. Een Data Protection Officer kan verplicht zijn bij bepaalde verwerkingen, en in dergelijke situaties ondersteunt de DPO de verantwoordelijke bij compliance.