Het doel beschrijven voordat rollen worden ingevuld
Schrijf concreet op waarom persoonsgegevens worden gebruikt. Facturen bewaren voor de eigen administratie, een campagne uitvoeren voor een opdrachtgever en adressen verkopen voor eigen omzet zijn verschillende doelen. De formulering dienstverlening verbeteren is vaak te breed om een rol uit af te leiden. Vraag welk resultaat wordt nagestreefd en wie beslist dat de gegevens daarvoor nodig zijn.
Vervolgens worden de wezenlijke keuzes zichtbaar: welke personen, welke gegevens, welke ontvangers en welke bewaartermijnen zijn betrokken? Een partij die uitsluitend binnen gegeven instructies praktische uitvoeringskeuzes maakt, wordt daardoor niet automatisch zelfstandig verantwoordelijke voor het gehele proces.
Professionele vrijheid is geen eenvoudige beslisregel
Een verwerker hoeft niet iedere technische handeling vooraf te laten goedkeuren. Hij kan binnen zijn opdracht bijvoorbeeld geschikte infrastructuur of een concrete beveiligingsmaatregel kiezen. De verantwoordelijke blijft bepalen voor welk doel de dienst gegevens verwerkt en welke wezenlijke grenzen gelden. Dat onderscheid voorkomt dat iedere IT-specialist op grond van technische deskundigheid als verantwoordelijke wordt aangemerkt.
Andersom kan een professionele dienstverlener eigen wettelijke of inhoudelijke verantwoordelijkheden hebben. Onderzoek dan welke verwerking hij voor die eigen taak verricht. Een vaste classificatie voor een volledig beroep of iedere leverancier is te grof; de feitelijke opdracht en beslissingsruimte blijven nodig.
Eén leverancier met twee verschillende petten
Een e-mailplatform verzendt in opdracht van een winkel nieuwsbrieven aan een aangeleverde adressenlijst. Voor die verzending bepaalt de winkel de doelgroep, boodschap en gebruiksgrenzen. Dat kan een verwerkersrelatie opleveren. Gebruikt het platform dezelfde adressen vervolgens zelfstandig voor een eigen commerciële adressendienst, dan past die nieuwe verwerking niet vanzelf binnen dezelfde rol.
Het verschil vraagt meer dan een extra zin in de verwerkersovereenkomst. Voor het eigen gebruik moeten onder meer rechtmatigheid, transparantie en gegevensdeling worden beoordeeld. De winkel kan dit niet oplossen door de leverancier voor alle activiteiten verwerker te blijven noemen. Ook de oorspronkelijke verstrekking verdient dan opnieuw aandacht.
Gezamenlijk bepalen vraagt een afzonderlijke toets
Soms bepalen twee partijen samen doeleinden en middelen. Dan kan gezamenlijke verantwoordelijkheid ontstaan en is artikel 26 AVG relevant. Alleen samenwerken, gegevens uitwisselen of dezelfde software gebruiken betekent echter niet automatisch dat sprake is van gezamenlijk vastgestelde verwerking.
Breng in kaart welke beslissingen gezamenlijk of onlosmakelijk met elkaar verbonden zijn. Een partij kan gezamenlijk verantwoordelijk zijn voor het verzamelen en doorgeven van gegevens, zonder dat dit noodzakelijk geldt voor alle latere zelfstandige verwerkingen door de ontvanger. De afbakening moet terugkomen in de informatie voor betrokkenen en de onderlinge afspraken.
De passende overeenkomst volgt uit de analyse
Bij verwerking namens een verantwoordelijke gelden de eisen van artikel 28 AVG. Daar horen onder meer gedocumenteerde instructies, beveiliging, ondersteuning bij rechten en voorwaarden voor andere verwerkers bij. Een gewone geheimhoudingsverklaring dekt die onderwerpen niet volledig. Bekijk voor de uitwerking de verwerkersovereenkomst.
Bij zelfstandige verantwoordelijken is een artikel 28-contract geen vervanging voor afspraken over een rechtmatige verstrekking. Iedere partij moet haar eigen verplichtingen beoordelen. Bij gezamenlijke verantwoordelijkheid wordt de verdeling van AVG-verplichtingen transparant geregeld. De gekozen documenten moeten het gedrag verklaren dat daadwerkelijk is afgesproken en technisch mogelijk is.
Rollen vastleggen zonder juridische schijnzekerheid
Een bruikbaar beslisdocument bevat de activiteit, gegevenscategorieën, doeleinden, beslissers en relevante instructies. Verwijs naar concrete contractonderdelen en systeeminstellingen. Noteer ook open vragen, bijvoorbeeld of de leverancier gegevens voor modeltraining inzet of alleen foutmeldingen gebruikt om de overeengekomen dienst te herstellen.
Vraag om verduidelijking wanneer algemene voorwaarden verschillende rollen vermengen. Een verkoopmedewerker die zegt dat alles AVG-proof is, beantwoordt deze vragen niet. De uitkomst hoeft niet lang te zijn, maar moet wel controleerbaar maken waarom voor een bepaalde activiteit een specifieke rol is gekozen.
Herbeoordelen wanneer het gebruik verandert
Een eerdere rolverdeling kan achterhaald raken door productwijzigingen, nieuwe analyses of een overname. Een leverancier die eerst alleen opslag leverde, kan later eigen benchmarks gaan publiceren. Controleer daarbij of gegevens werkelijk geanonimiseerd zijn en welke verwerking daaraan voorafgaat; een uiteindelijk anoniem product maakt iedere voorafgaande stap niet vanzelf vrij van de AVG.
Koppel de rolbeoordeling daarom aan belangrijke wijzigingen van doel en dienst. Als de feitelijke praktijk afwijkt van het contract, vraagt dat aanpassing van de verwerking of de afspraken. De rol is het resultaat van de analyse, geen etiket waarmee verplichtingen naar wens worden verplaatst.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13