Is de Omgevingsdienst verwerkingsverantwoordelijke voor de AVG?
Als omgevingsdienst moet je voldoen aan de richtlijnen van de AVG. Maar welke rol heb je ten opzichte van gemeenten en provincies: ben je verwerker of verwerkingsverantwoordelijke? Het antwoord op deze vraag bepaalt of je een verwerkersovereenkomst nodig hebt met de gemeenten of dat je kunt volstaan met privacy-overeenkomsten.
De AVG is niet duidelijk voor omgevingsdiensten
Op allerlei platforms staan discussies over de rol van omgevingsdiensten bij de uitvoering van de AVG: zijn ze verwerker of verwerkingsverantwoordelijke? De AVG biedt voor omgevingsdiensten geen duidelijke richtlijnen om deze vraag te beantwoorden. Er bestaat weliswaar een beslisboom om deze rollen af te bakenen, maar deze geeft voor omgevingsdiensten niet zomaar het juiste antwoord.
AVG: anonimiseren van persoonsgegevens bij bezwaren
Doel en middelen
Verwerkingsverantwoordelijk is de organisatie die ‘doel en middelen’ van gegevensverwerking bepaalt. Omdat gemeenten en provincies het bevoegd gezag zijn voor de taken die een omgevingsdienst uitvoert, zijn zij bestuursrechtelijk gezien degene die doel en middelen bepalen. Voor het gegevensbeschermingsrecht telt echter niet het bestuursrecht, maar de omstandigheden op de werkvloer. En op dat niveau bepaalt de omgevingsdienst welke gegevens ze verzamelen en hoe ze die verwerken.
VTH geeft meer houvast
De wet VTH vormt de basis voor het werk van omgevingsdiensten en biedt meer houvast. Daarin staat onder andere dat de basistaken uit het omgevingsrecht door de omgevingsdiensten worden uitgevoerd. Omgevingsdiensten nemen daarbij zelfstandig besluiten over welke gegevens ze verzamelen en hoe ze die verwerken. Dit maakt ze daarmee ook ‘verwerkingsverantwoordelijke’.
Privacy-overeenkomst
Dit betekent dat er geen verwerkersovereenkomst nodig is tussen omgevingsdiensten en gemeenten en provincies. Een privacy-overeenkomst is wel nodig. Dit omdat de organisaties wel persoonsgegevens met elkaar uitwisselen. In de privacy-overeenkomst moeten afspraken staan over het gebruik en transport van die persoonsgegevens. In het model verwerkersovereenkomst van VNG Realisatie staan teksten die je prima in zo’n privacy-overeenkomst kunt gebruiken.
Verwerkersovereenkomst met leveranciers
Verder moet iedere omgevingsdienst uiteraard bekijken of er verwerkersovereenkomsten nodig zijn voor de diensten van leveranciers. Denk hierbij aan softwareleveranciers, hostingpartijen en mogelijke subverwerkers.
Meer weten over de AVG?
Stel je vraag aan Adrie. Of laat een bericht achter in de chat.
