Gezamenlijke verwerkingsverantwoordelijken

Kijk naar besluiten die de verwerking vormgeven

Stel vast wie bepaalt waarom gegevens worden verzameld, over welke personen het gaat, welke gegevens nodig zijn en hoe zij worden gebruikt. Gezamenlijke verantwoordelijkheid kan ontstaan wanneer partijen die besluiten samen nemen. Een gedeeld commercieel voordeel zonder gezamenlijke bepaling van de verwerking maakt partijen niet automatisch gezamenlijk verantwoordelijk. Ook toegang tot hetzelfde computersysteem geeft op zichzelf geen volledig antwoord.

De invloed hoeft niet op ieder onderdeel gelijk verdeeld te zijn. Eén partij kan het formulier bouwen terwijl beide partijen de registratiecriteria en het gezamenlijke gebruik bepalen. Leg daarom besluiten en feitelijke bevoegdheden vast. De partij die het meeste technische werk uitvoert, is niet om die reden de enige verwerkingsverantwoordelijke of juist vanzelf een verwerker.

Verdeel verplichtingen in een uitvoerbare regeling

Als artikel 26 AVG van toepassing is, moeten partijen hun respectieve verantwoordelijkheden transparant regelen, voor zover deze niet al wettelijk zijn bepaald. Besteed daarbij bijzondere aandacht aan informatieverstrekking en de uitoefening van privacyrechten. De regeling moet de werkelijke rollen weerspiegelen. De wezenlijke inhoud moet beschikbaar zijn voor betrokkenen; een intern document dat bezoekers nooit kunnen begrijpen is daarvoor onvoldoende.

Werk voor het seminar uit wie het formulier onderhoudt, wie de privacyinformatie goedkeurt en wie een wijziging van velden kan blokkeren. Beschrijf ook hoe bewaartermijnen, beveiliging, ingeschakelde verwerkers en incidenten samen worden beheerd. Noteer welke organisatie kan ingrijpen wanneer een medewerker toegang houdt na afloop. Alleen opschrijven dat beide partijen de AVG naleven lost zulke praktische afhankelijkheden niet op.

Behandel een inzageverzoek zonder doorverwijzingscirkel

De organisatoren wijzen één herkenbaar contactpunt aan voor bezoekers. Een verzoek kan echter ook bij de andere organisatie terechtkomen. Betrokkenen kunnen hun AVG-rechten tegenover iedere gezamenlijke verantwoordelijke uitoefenen, ongeacht de interne taakverdeling. Maak daarom duidelijk hoe een ontvangen verzoek direct bij de behandelaar terechtkomt en welke gegevens beide organisaties moeten aanleveren.

Test dit met een fictieve bezoeker die inzage vraagt in zijn registratie en selectiebesluit. De vereniging controleert de inschrijfinformatie, het opleidingsbureau zoekt de gezamenlijk gebruikte selectienotities en de ticketleverancier ondersteunt volgens zijn afspraken. De behandelaar controleert identiteit op een passende manier en bewaakt de toepasselijke termijn. Een ontbrekend antwoord van een partner moet tijdig worden opgevolgd; het dossier mag niet ongemerkt tussen twee inboxen blijven hangen.

Laat veranderingen niet buiten de afgesproken verantwoordelijkheid vallen

Benoem hoe partijen besluiten over een nieuw doel of een nieuwe ontvanger. Wanneer de vereniging later bezoekersgegevens aan sponsors wil geven, is dat geen gewone technische wijziging aan het formulier. Onderzoek opnieuw de rolverdeling, grondslag, informatie en gevolgen voor betrokkenen voordat de gegevens worden verstrekt. Voor de daadwerkelijke overdracht biedt klantgegevens delen met partners aanvullende aandachtspunten.

Leg bij afsluiting van het seminar vast welke gezamenlijke registratie eindigt en welke gegevens voor een afzonderlijke verplichting bewaard moeten blijven. Spreek af wie de verwijdering controleert en hoe latere vragen over het evenement bereikbaar blijven. Bewaar de relevante versie van de gezamenlijke regeling bij de projectbesluiten. Zo blijft ook na personeelswisselingen duidelijk welke verantwoordelijkheid partijen werkelijk hebben aanvaard en hoe die in het systeem wordt uitgevoerd.

Een volgende editie krijgt een eigen controle op gewijzigde registratievragen, nieuwe samenwerkingspartners en nieuwe communicatiedoelen voordat eerdere instellingen worden hergebruikt.