AVG: Wat is de betekenis van de verantwoordingsplicht?

Met de invoering van de Algemene verordening gegevensbescherming (AVG) bestaat voor organisaties een grotere verantwoordelijkheid om persoonsgegevens van betrokkenen te beschermen. De introductie van deze 'verantwoordingsplicht' van organisaties, betekent dat zij ter verantwoording kunnen worden geroepen voor het op correcte wijze verwerken en opslaan van persoonsgegevens. De centrale administratie is de 'verantwoordelijke' organisatie en dient verantwoording af te leggen aan een Europese privacy-toezichthouder.

AVG: Wat is de betekenis van de verantwoordingsplicht?

• Betekenis van de verantwoordingsplicht
• Welke organisatie is de verantwoordelijke organisatie?
• Centrale administratie
• Wat is een Europese privacy-toezichthouder?
• Leidende toezichthouder
• Uitzondering: beleid- en besluitvorming in andere vestiging

Betekenis van de verantwoordingsplicht

Met de invoering van de AVG hebben organisaties die persoonsgegevens verwerken meer verantwoordelijkheden gekregen om de persoonsgegevens van betrokkenen te beschermen. Dit vertaalt zich in de zogenoemde verantwoordingsplicht: de plicht van organisaties die persoonsgegevens verwerken om aan een Europese privacy-toezichthouder aan te tonen dat zij handelen in overeenstemming met de regelingen van de AVG/GDPR. De verantwoordingsplicht is een uitbreiding van de verantwoordelijkheden en plichten van organisaties met het doel om het recht op privacy van betrokkenen beter te beschermen. Organisaties mogen alleen persoonsgegevens verwerken als daar een grond voor bestaat die is terug te vinden in één van de AVG-grondslagen.

Welke organisatie is de verantwoordelijke organisatie?

In een aantal gevallen heeft een bedrijf of organisatie meerdere organisaties verspreid over meerdere lidstaten. Van deze organisaties is er één belast met de zogeheten verantwoordingsplicht. Deze organisatie wordt de 'verantwoordelijke' organisatie genoemd. De verantwoordelijke organisatie, de organisatie die verantwoordelijk is voor de verwerking van persoonsgegevens, is de organisatie die het doel en de middelen voor de verwerking van persoonsgegevens vaststelt (de centrale administratie). Een 'verantwoordelijke' staat onder toezicht van één en dezelfde Europese privacy-toezichthouder.

Centrale administratie

De organisatie waar de centrale administratie is gevestigd is de organisatie die het doel en de middelen vaststelt omtrent het verwerken van persoonsgegevens. Dit is de organisatie die aan te merken is als de verantwoordelijke organisatie voor het verwerken van persoonsgegevens en hierover verantwoording dient af te leggen aan één en dezelfde Europese privacy-toezichthouder.

Wat is een Europese privacy-toezichthouder?

Europese privacy-toezichthouders controleren of organisaties op een correcte wijze de AVG-regelingen implementeren en naleven. Vanaf 25 mei 2018 kunnen Europese privacy-toezichthouders een boete opleggen aan een organisatie indien blijkt dat deze organisatie niet voldoet aan (een van) de regelingen van de AVG. Hierbij kan het boetebedrag oplopen tot in de miljoenen euro's. Elke organisatie (of bedrijf) heeft slechts één en dezelfde privacy-toezichthouder. Deze wordt de 'leidende toezichthouder' genoemd.

Europese privacy-toezichthouders hebben twee belangrijke taken:

1. Toezicht houden op organisaties door te bezien of zij persoonsgegevens verwerken zoals de AVG voorschrijft.
2. Controleren of organisaties persoonsgegevens op een correcte wijze verwerken en opslaan volgens de AVG.

Leidende toezichthouder

Normaal gesproken is de leidende toezichthouder van een organisatie de toezichthouder van de lidstaat waar de hoofdvestiging van een organisatie is gevestigd, dus waar de centrale administratie zich bevindt. De organisatie waar de centrale administratie plaatsvindt is aan te merken als de verantwoordelijke organisatie.

Uitzondering: beleid- en besluitvorming in andere vestiging

In het geval dat de beleid- en besluitvorming van een organisatie over de persoonsgegevensverwerking in een andere vestiging plaatsvindt dan de vestiging waar de centrale administratie is gelegen, en deze vestiging in een andere EU-lidstaat is geplaatst dan de lidstaat van de centrale administratie, dan geldt er een uitzondering. In dat geval is de toezichthouder van de lidstaat waar de beleid- en besluitvorming over de verwerking van persoonsgegevens plaatsvindt aan te merken als de aangewezen toezichthouder.

Lees verder

• AVG: de grondslagen voor het verwerken van persoonsgegevens
• Algemene verordening gegevensbescherming (AVG) in het kort