Wij werken met een partner samen aan een campagne en delen klantgegevens. Zijn we dan gezamenlijke verwerkingsverantwoordelijken?

Niet automatisch. Lid 1 zegt dat u gezamenlijke verwerkingsverantwoordelijken bent als u samen de doeleinden en de middelen van de verwerking bepaalt. Het delen van gegevens alleen is daarvoor niet beslissend; beoordeel wie bepaalt waarom de gegevens worden verwerkt en hoe dat gebeurt. Bepaalt u dat samen, dan moet u een onderlinge regeling maken.

Wat moet er minimaal in de onderlinge regeling staan?

Lid 1 vraagt een transparante verdeling van de verantwoordelijkheden, met name wie de rechten van betrokkenen afhandelt en wie de informatie uit de artikelen 13 en 14 verstrekt; u kunt daarin ook een contactpunt voor betrokkenen aanwijzen. Lid 2 eist dat uit de regeling duidelijk blijkt welke rol elke partij vervult en hoe zij zich tot de betrokkenen verhoudt. De wezenlijke inhoud daarvan moet u aan betrokkenen beschikbaar stellen (lid 2).

Een betrokkene stuurt een inzageverzoek naar ons, terwijl de afspraak is dat onze partner dat doet. Mogen we doorverwijzen?

Lid 3 zegt dat de betrokkene zijn rechten tegenover iedere verwerkingsverantwoordelijke kan uitoefenen, ongeacht wat in de regeling staat. Het verzoek is dus bij u geldig ingediend en u kunt het niet afwijzen met een verwijzing naar de afspraak. Intern mag u de afhandeling wel bij uw partner beleggen, zolang de betrokkene daar niets van merkt en het verzoek wordt beantwoord.

Artikel 26: Gezamenlijke verwerkingsverantwoordelijken

Praxikon houdt artikel 26 (Gezamenlijke verwerkingsverantwoordelijken) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 26 regelt wat er moet gebeuren als twee of meer organisaties samen bepalen waarom en hoe persoonsgegevens worden verwerkt. Zij zijn dan gezamenlijke verwerkingsverantwoordelijken en moeten in een onderlinge regeling op transparante wijze vastleggen wie welke verplichting uit de AVG nakomt, vooral rond de rechten van betrokkenen en de informatieplicht van de artikelen 13 en 14 (lid 1). Uit die regeling moet duidelijk blijken welke rol elke partij vervult en hoe zij zich tot de betrokkenen verhoudt, en de kern van de regeling wordt aan betrokkenen beschikbaar gesteld (lid 2). Wat de partijen ook afspreken, u kunt als betrokkene uw rechten tegenover elk van hen uitoefenen (lid 3). Het artikel bestaat omdat verantwoordelijkheden helder toegewezen moeten zijn, ook als meerdere partijen samen de touwtjes in handen hebben, anders kan niemand worden aangesproken (overweging 79).

Kernbegrip: Gezamenlijke verwerkingsverantwoordelijken: twee of meer organisaties die samen het doel en de middelen van een verwerking bepalen en daarom samen verantwoordelijk zijn

Raakt direct:verwerkingsverantwoordelijkebetrokkene

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.

Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkenen is. De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld.

Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zijn rechten uit hoofde van deze verordening met betrekking tot en jegens iedere verwerkingsverantwoordelijke uitoefenen.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Ga na of u met een andere organisatie samen het doel en de middelen van een verwerking bepaalt, want dan bent u gezamenlijke verwerkingsverantwoordelijken (lid 1). Leg in een onderlinge regeling vast wie de betrokkenen informeert volgens de artikelen 13 en 14, wie verzoeken van betrokkenen afhandelt en wie welke andere verplichting nakomt, tenzij een wettelijke bepaling dit al verdeelt (lid 1). Maak de wezenlijke inhoud van die regeling beschikbaar voor betrokkenen en houd er rekening mee dat een betrokkene zich toch tot elke partij mag wenden (lid 2 en 3).

Betrokkene

Als meerdere organisaties samen verantwoordelijk zijn voor uw gegevens, heeft u recht op de kern van hun onderlinge afspraken (lid 2). U mag uw rechten bij elk van die organisaties uitoefenen, ongeacht wat zij onderling hebben afgesproken (lid 3).

Compliance checklist

Voor elke verwerking met een andere organisatie is beoordeeld of de doeleinden en middelen gezamenlijk worden bepaald (lid 1).Met elke gezamenlijke verwerkingsverantwoordelijke is een onderlinge regeling vastgelegd, tenzij een Unierechtelijke of nationale wettelijke bepaling de verantwoordelijkheden al verdeelt (lid 1).De regeling benoemt wie de informatie uit de artikelen 13 en 14 aan betrokkenen verstrekt (lid 1).De regeling benoemt wie verzoeken van betrokkenen over hun rechten afhandelt en, waar gewenst, een contactpunt voor betrokkenen (lid 1).Uit de regeling blijkt duidelijk welke rol elke partij vervult en hoe elke partij zich tot de betrokkenen verhoudt (lid 2).De wezenlijke inhoud van de regeling is voor betrokkenen beschikbaar, bijvoorbeeld in de privacyverklaring (lid 2).Verzoeken van betrokkenen worden in behandeling genomen, ook als de regeling een andere partij als afhandelaar aanwijst (lid 3).

Gerelateerde overwegingen

(79)

Voor de bescherming van de rechten en vrijheden van betrokkenen en de verantwoordelijkheid en aansprakelijkheid van verwerkingsverantwoordelijken en verwerkers is het noodzakelijk, onder meer wat het ...

(80)

Wanneer een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker persoonsgegevens van betrokkenen die zich in de Unie bevinden, verwerkt, en de verwerking verband houdt met de aanbiedi...

(81)

Teneinde te waarborgen dat met betrekking tot de verwerking die door de verwerker ten behoeve van de verwerkingsverantwoordelijke moet worden verricht, aan de voorschriften van deze verordening wordt ...

(82)

Om de naleving van deze verordening aan te kunnen tonen, dient de verwerkingsverantwoordelijke of de verwerker een register bij te houden van verwerkingsactiviteiten die onder zijn verantwoordelijkhei...

Veelgestelde vragen

← Art. 25: Gegevensbescherming door ontwerp en door standaardinstellingen Art. 27: Vertegenwoordigers van niet in de Unie gevestigde verwerkingsverantwoordelijken of verwerkers →

Samenhang

Rechtspraak

IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke
2024-03-07 · definitief, Hof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)
Russmedia: beheerder van een online marktplaats is verantwoordelijke voor persoonsgegevens in advertenties en moet vooraf controleren
2025-12-02 · definitief, Hof van Justitie van de EU (Grote kamer), X tegen Russmedia Digital SRL en Inform Media Press SRL

Richtsnoeren

Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG
2021-07-07 · definitief, European Data Protection Board (EDPB)
Richtsnoeren 02/2025 over verwerking van persoonsgegevens via blockchaintechnologie
2026-07-07 · definitief, European Data Protection Board (EDPB)