Een aannemer is (g)een Verwerker volgens de AVG

Woningcorporaties vragen ons vaak of een aannemer te kwalificeren is als ‘Verwerker’ in de zin van de Algemene verordening gegevensbescherming (AVG). In deze blog leggen we uit hoe het zit. De ene aannemer is de andere niet, of toch wel?

Op 25 mei 2018 vindt er een beleidsneutrale overgang plaats van de Wet bescherming persoonsgegevens (Wbp) naar de AVG. De regels en controles worden strikter, maar verder verandert er niet heel veel. De Wbp is de Nederlandse uitwerking van de EU-privacyrichtlijn en bestaat al sinds september 2001.

Wat betekent dit voor woningcorporaties wanneer een aannemer wordt ingeschakeld?

Voor diverse werkzaamheden worden door woningcorporaties aannemers ingeschakeld. Bijvoorbeeld voor het uitvoeren van renovaties of het repareren van een kraan. Veel corporaties vragen zich af of de aannemer moet worden gekwalificeerd als een verwerkingsverantwoordelijke of als een verwerker. Als de aannemer namelijk een verwerker is, dan moet met de aannemer een verwerkingsovereenkomst worden gesloten. Op grond van de AVG is dit verplicht. Als de aannemer, al dan niet een samen met de woningcorporatie, verwerkingsverantwoordelijke is, dan is een onderlinge regeling afdoende.

Het verschil bepalen

Is een aannemer te kwalificeren als Verwerkingsverantwoordelijke of als Verwerker? Eerst de definities volgens de AVG:

De Verwerkingsverantwoordelijke is ‘een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen.’

De Verwerker is ‘een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.’

De Verwerkingsverantwoordelijke bepaalt dus – kort gezegd – het doel (waarom) en de middelen (hoe) voor het verwerken van persoonsgegevens. De Verwerker is slechts uitvoerder van het verwerken van persoonsgegevens. Zijn dienst moet betrekking hebben op het verwerken van de persoonsgegevens, wil hij als Verwerker worden gekwalificeerd. Zodra de gegevensverwerking een uitvloeisel is van een andere vorm van dienstverlening, dan is de dienstverlener daarvoor zelf verantwoordelijk en wordt hij gekwalificeerd als verwerkingsverantwoordelijke.

Een vaak genoemd voorbeeld van een Verwerker is een clouddienst. Deze slaat de gegevens op (een vorm van verwerking), maar mag er verder niets mee doen. De clouddienst bepaalt niet het doel en de middelen. Als het doel en de middelen niet door dezelfde partij worden bepaald, dan geldt er volgens de wet een gezamenlijke- /medeverwerkingsverantwoordelijkheid.

Minder Verwerkers dan men denkt

Terug naar de aannemer. De aannemer ontvangt van de woningcorporatie persoonsgegevens om op een bepaald adres werk te kunnen verrichten. Dit zijn persoonsgegevens in de zin van de AVG. Het op die manier gebruiken van de persoonsgegevens is verwerken. Dus is de AVG hier van toepassing. Maar de dienstverlening van de aannemer heeft geen (directe) betrekking op die verwerking. De aannemer gebruikt die gegevens alleen om zijn werk (diensten) te kunnen uitvoeren. Hij heeft een zekere vrijheid om zijn werk in te richten en de middelen te kiezen die hij gebruikt voor de verwerking van de persoonsgegevens. De aannemer wordt dus niet gekwalificeerd als een verwerker. Dit standpunt is door brancheorganisatie Aedes bevestigd.

Maar de ene aannemer is de andere niet. Een aannemer die een renovatie uitvoert heeft meer beleidsvrijheid (bijvoorbeeld door zelfstandig een draagvlakmeting uit te voeren) dan een aannemer die alleen ergens een kraan moet vervangen. Het valt dan te betogen dat bij die laatste aannemer het doel en de middelen zó strikt zijn bepaald, dat hij wel als Verwerker te kwalificeren is. Zo’n situatie zal zich echter niet vaak voordoen. De aannemer zal dus zelden een verwerker zijn in de zin van de AVG.

Hopelijk heb ik met deze blog iets meer duidelijkheid kunnen geven over de vraag die bij veel woningcorporaties speelt. Mochten er nog vragen zijn, neem dan contact op met ons kantoor.