Let op: Het komt voor dat een partij meerdere privacystatussen heeft voor verschillende (reeksen) verwerkingen. Een partij kan bijvoorbeeld voor een reeks verwerkingen verwerkingsverantwoordelijk zijn, terwijl dezelfde partij voor een andere reeks verwerking gezamenlijk verwerkingsverantwoordelijk is met de andere partij.

Onder een reeks verwerkingen wordt verstaan een verzameling van onderling samenhangende verwerkingen van persoonsgegevens die een gemeenschappelijk doel of context hebben. Dit kan bijvoorbeeld een reeks handelingen zijn binnen eenzelfde proces, zoals het werven, opslaan en analyseren van klantgegevens voor marketingdoeleinden.

Let op: Het komt voor dat een partij meerdere privacystatussen heeft voor verschillende (reeksen) verwerkingen. Een partij kan bijvoorbeeld voor een reeks verwerkingen verwerkingsverantwoordelijk zijn, terwijl dezelfde partij voor een andere reeks verwerking gezamenlijk verwerkingsverantwoordelijk is met de andere partij.

Onder een reeks verwerkingen wordt verstaan een verzameling van onderling samenhangende verwerkingen van persoonsgegevens die een gemeenschappelijk doel of context hebben. Dit kan bijvoorbeeld een reeks handelingen zijn binnen eenzelfde proces, zoals het werven, opslaan en analyseren van klantgegevens voor marketingdoeleinden.

Let op: Het komt voor dat een partij meerdere privacystatussen heeft voor verschillende (reeksen) verwerkingen. Een partij kan bijvoorbeeld voor een reeks verwerkingen verwerkingsverantwoordelijk zijn, terwijl dezelfde partij voor een andere reeks verwerking gezamenlijk verwerkingsverantwoordelijk is met de andere partij.

Onder een reeks verwerkingen wordt verstaan een verzameling van onderling samenhangende verwerkingen van persoonsgegevens die een gemeenschappelijk doel of context hebben. Dit kan bijvoorbeeld een reeks handelingen zijn binnen eenzelfde proces, zoals het werven, opslaan en analyseren van klantgegevens voor marketingdoeleinden.

Let op: Natuurlijke personen zijn:

• Geen rechtspersonen zoals bedrijven, stichtingen over overheden;
• Geen overleden personen, tenzij nationale wetgeving anders bepaalt;
• Geen fictieve entiteiten, zoals avatars of robots, tenzij ze direct gekoppeld zijn aan een identificeerbare persoon of personen.

Bepaal of de betrokkene kan worden geïdentificeerd (direct kan worden herkend) of identificeerbaar is (hij/zij kan worden geïdentificeerd door middel van een combinatie met andere gegevens) op basis van de gegevens of andere beschikbare informatie.

• Zelfs gegevens die op het eerste gezicht geen persoonsgegevens lijken te zijn, kunnen in combinatie met andere gegevens alsnog leiden tot identificatie van een persoon.
  
• Wanneer persoonsgegevens zijn geanonimiseerd, zijn de gegevens mogelijk niet meer herleidbaar. Dit is echter niet altijd het geval! Klik hier om te kijken of hier sprake van is.

• Let op:  Het enkel afschermen van directe persoonsgegevens zoals voor- en achternamen voldoet niet als anonimisering wanneer er andere gegevens zijn die het mogelijk maken om te achterhalen om welke personen het gaat. Als dit echter structureel onmogelijk is, gelden de gegevens niet meer als persoonsgegevens.
• Pseudonieme gegevens zijn gegevens die gecodeerd zijn en die door middel van een sleutelbestand gedecodeerd kunnen worden. Deze persoonsgegevens zijn d.m.v. het sleutelbestand nog steeds herleidbaar naar natuurlijke personen. Zodoende gelden deze gegevens nog steeds als persoonsgegevens.
• Wanneer pseudonieme gegevens naar een andere partij worden gestuurd zonder dat deze andere partij de beschikking heeft over het sleutelbestand, gelden deze gegevens voor de ontvanger niet als persoonsgegevens, mits de gegevens op geen enkele andere manier te herleiden zijn naar de betrokkenen.

• Bij de vorige vraag heeft u aangegeven dat de gegevens direct dan wel indirect te herleiden zijn naar een natuurlijk persoon of personen. Dit betekent dat de gegevens niet zijn geanonimiseerd. Is dit wel het geval, klik dan hier.
• Let op: De definitie van een verwerking is erg breed als het gaat om handelingen die als verwerkingen worden gezien. Als u persoonsgegevens bijvoorbeeld alleen verzamelt, raadpleegt of ordent bent u volgens de AVG al een verwerking aan het verrichten. Alleen het kijken naar of waarnemen van een persoonsgegeven zonder vastlegging, verwerking of systematische actie valt niet onder de definitie van verwerking.
• Wanneer de persoonsgegevens uitsluitend voor persoonlijke of huishoudelijke doeleinden worden verwerkt, valt dit niet onder de AVG.
• Degene die de verwerking verricht, kan zowel een natuurlijk persoon zijn als een rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan.

• * Met partijen die betrokken zijn bij de verwerking worden bedoeld "natuurlijke personen of rechtspersonen, overheidsinstanties, diensten of andere organen die betrokken zijn bij de verwerking" (AVG, art. 4).
• Let op: Het is mogelijk dat een partij niet betrokken is bij de uitvoering van de verwerking, wellicht zelfs geen toegang heeft tot de persoonsgegevens, maar wel betrokken is bij de besluitvorming omtrent de verwerking. Deze partij wordt in dat geval alsnog als betrokken gezien.
• Een intern medewerker of een zzp'er die onder gezag van de werkgever werkt (intern beheer), wordt niet gezien als een andere partij

Let op: Toelichting besluitvorming

Dit betekent dat er:

• Ofwel geen sprake is van persoonsgegevens doordat de gegevens niet gaan over een natuurlijk persoon of niet (meer) herleidbaar zijn naar een natuurlijk geïdentificeerd of identificeerbaar persoon;
• Ofwel de persoonsgegevens worden niet verwerkt.

De casus valt buiten de scope van de AVG. Wellicht wordt er desondanks gevoelige data verwerkt. Neem in dat geval contact op met bijvoorbeeld een Security Officer.

Let op: Het kan zijn dat een partij voor verschillende verwerkingen verschillende verantwoordelijkheden heeft. Een partij kan bijvoorbeeld voor een verwerking door een leverancier als verantwoordelijke woren aangemerkt, terwijl deze partij voor een andere verwerking bij dezelfde leverancier als verwerker wordt beschouwd. Zorg er daarom voor dat u het besluitvormingsproces altijd voor iedere verwerking of reeks van verwerkingen afzonderlijk doorloopt. Als er nog andere verwerkingen zijn die mogelijk over persoonsgegevens gaan, doorloop de tool dan opnieuw voor deze verwerkingen.

Let op: Toelichting besluitvorming

U heeft aangegeven dat er sprake is van een impliciete dan wel expliciete wettelijke bevoegdheid.

• Als er sprake is van een expliciete wettelijke bevoegdheid, is de partij die in de wet als expliciet bevoegd wordt aangemerkt, verwerkingsverantwoordelijk. Teken in dat geval een

  verwerkingsovereenkomst met u(w) partij als verwerkingsverantwoordelijke en de andere partij als verwerker

  voor deze verwerking of reeks verwerkingen;
• Als er sprake is van een impliciete wettelijke bevoegdheid, heeft een partij het recht om de persoonsgegevens te gebruiken, maar dat zegt nog niets over diens privacy status. Is de partij waar u deze beslistool voor invult impliciet wettelijk bevoegd? Ga dan verder met de stappen in de beslistool.

• Expliciete bevoegdheid betekent dat een partij op grond van een rechtshandeling is aangewezen als verwerkingsverantwoordelijk;
• Impliciete bevoegdheid betekent dat een partij de persoonsgegevens nodig heeft voor het uitvoeren van een taak die is toegewezen op grond van een rechtshandeling.

U heeft aangegeven dat er uitsluitend één entiteit betrokken is bij de verwerking(en). Deze entiteit is zodoende zelfstandig verantwoordelijk voor deze verwerking(en).

Er is geen verwerkersovereenkomst nodig met een andere partij.

Zorg wel dat u voldoet aan andere verplichtingen, zoals het kiezen van de juiste grondslag en het informeren van betrokkenen zoals vereist door de AVG.

• Sommige partijen kunnen uit het oogpunt van gegevensbescherming vanwege hun rol verantwoordelijk zijn voor de verwerking(en);
• Bijvoorbeeld:  Een werkgever m.b.t. de verwerking van persoonsgegevens over zijn werknemers, een uitgever die persoonsgegevens over zijn abonnees verwerkt, of een vereniging die persoonsgegevens over haar leden of contribuanten verwerkt (p. 14, EDPB).

• Bepalen: Wanneer een partij instemt met verwerkingen of verwerkingen accepteert of faciliteert wordt dit ook gezien als het bepalen van doelen en middelen, evenals het accepteren van een standaard-oplossing;
• Let op: Met doel wordt in dit verband niet bedoeld het loutere bestaan van een commercieel voordeel dat voortvloeit uit een verwerkingsactiviteit.
• Het is mogelijk om de partij te zijn die het doel bepaalt, zonder toegang te hebben tot de gegevens.
• Essentiële middelen: De eigenschappen van de persoonsgegevens zelf, zoals over wie, voor hoe lang en met wie de persoonsgegevens worden gedeeld. Zie het citaat hieronder voor het onderscheid met niet-essentiële middelen (zoals de software-keuze).

De verwerkingsactiviteiten zijn op natuurlijke wijze inherent aan de rol of de activiteiten van de partij die verantwoordelijk is voor gegevensverwerking, bijvoorbeeld vanwege bestaande traditionele rollen of professionele deskundigheid. Deze partij is verwerkingsverantwoordelijk.

Om te bepalen wat de rol is van de andere partij, klik hier.

• Essentiële middelen: De eigenschappen van de persoonsgegevens zelf, zoals over wie, voor hoe lang en met wie de persoonsgegevens worden gedeeld. Zie het citaat hieronder voor het onderscheid met niet-essentiële middelen (zoals de software-keuze).

• Essentiële middelen: De eigenschappen van de persoonsgegevens zelf, zoals over wie, voor hoe lang en met wie de persoonsgegevens worden gedeeld. Zie het citaat hieronder voor het onderscheid met niet-essentiële middelen (zoals de software-keuze).

• Als iedere partij eigen doel en middelen bepaalt, is er sprake van afzonderlijke verwerkingsverantwoordelijken. Bepalen partijen in onderling overleg het doel en de middelen voor de gegevensverwerking, dan is er sprake van een gezamenlijke verwerkingsverantwoordelijkheid.
• Let op: Een afzonderlijk verwerkingsverantwoordelijke is géén verwerker omdat het de ontvangen persoonsgegevens gebruikt voor eigen bedrijfsprocessen en niet puur op instructie van een verwerkingsverantwoordelijke. Daarnaast is het de primaire taak van een verwerker om verwerkingsactiviteiten te verrichten en zijn de persoonsgegevens ter beschikking gesteld om die taak uit te voeren.
• Voorbeeld: Een bloemist die adressen verwerkt om personeelsleden van partij X bloemen te sturen, is afzonderlijk verwerkingsverantwoordelijk, omdat de verwerkingen noodzakelijk zijn bij het uitvoeren van de taak, waarbij het verwerken van persoonsgegevens niet de primaire taak is.

Tekenen: 

• Verwerkingsovereenkomst met de andere partij als verwerkingsverantwoordelijke.

• Wanneer een DPIA niet verplicht is, wordt er in sommige organisaties voor gekozen om (in overleg met de Privacy Officer) een verwerkingsovereenkomst light te tekenen.

Zorg er voor dat u tevens voldoet aan andere verplichtingen, zoals het kiezen van de juiste grondslag en het informeren van betrokkenen zoals vereist door de AVG.

Tekenen: 

• Verwerkingsovereenkomst met u, of de partij waar u deel van uitmaakt, als verwerkingsverantwoordelijke.

• Wanneer een DPIA niet verplicht is, wordt er in sommige organisaties voor gekozen om (in overleg met de Privacy Officer) een verwerkingsovereenkomst light te tekenen.

Zorg er voor dat u tevens voldoet aan andere verplichtingen, zoals het kiezen van de juiste grondslag en het informeren van betrokkenen zoals vereist door de AVG.

Zij bepalen zelfstandig de doelen en de middelen van de persoonsgegevens die zij verwerken.

Tekenen: 

• Als de andere partij een organisatie is: Data Sharing Agreement

• Als de andere partij een zzp’er is: Geheimhoudingsverklaring

Zorg er voor dat u tevens voldoet aan andere verplichtingen, zoals het kiezen van de juiste grondslag en het informeren van betrokkenen zoals vereist door de AVG.

U, of de partij waar u deel van uitmaakt, en de andere partij maken gezamenlijk dan wel aanvullend op elkaar beslissingen omtrent het doel en de middelen van de verwerking.

Tekenen:

• Gezamenlijke verwerkingsovereenkomst

Zorg er voor dat u tevens voldoet aan andere verplichtingen, zoals het kiezen van de juiste grondslag en het informeren van betrokkenen zoals vereist door de AVG.

Welke privacy overeenkomst moet worden gesloten, is afhankelijk van de vraag of de privacy status van de partij(en) is vastgesteld. Weet je de privacy status van de partij(en) niet zeker, klik dan hier om te privacy status in de beslistool te bepalen.