Moet een vervoerder volgens de AVG een verwerkersovereenkomst sluiten met zijn opdrachtgever?

DE WESTEREEN - De AVG (“de nieuwe privacywet"), die sinds 25 mei 2018 van kracht is, bepaalt dat als een verwerkingsverantwoordelijke een verwerker inschakelt, zij een verwerkersovereenkomst moeten sluiten. Kort gezegd komt het erop neer dat een onderneming die beslist voor welke doeleinden persoonsgegevens worden verwerkt en op welke wijze dat gebeurt verwerkingsverantwoordelijke is. Een verwerker verwerkt persoonsgegevens uitsluitend namens de verwerkingsverantwoordelijke. Het gaat dus om de zeggenschap over de verwerking.

In de praktijk zien we nogal eens dat onnodig wordt aangedrongen op het sluiten van verwerkersovereenkomsten door opdrachtgevers die er ten onrechte vanuit gaan dat hun opdrachtnemer als verwerker moet worden aangemerkt.

Vervoerders verwerken bij de uitvoering van een transportopdracht in voorkomende gevallen persoonsgegevens. Denk bijvoorbeeld aan de registratie van NAW-gegevens van een geadresseerde. Geldt de vervoerder dan als verwerker voor de organisatie die hem opdracht heeft gegeven voor het transport, zodat een verwerkersovereenkomst gesloten moet worden?

In gevallen als deze krijgt de vervoerder de persoonsgegevens die nodig zijn voor de uitvoering van de opdracht vaak aangeleverd van zijn opdrachtgever. Maar het is uiteindelijk de vervoerder die zelf beslist welke persoonsgegevens hij verwerkt en waarom. Zo is hij niet verplicht aangeleverde gegevens op te slaan. Hij kan ook om aanvullende gegevens vragen. De vervoerder bepaalt ook zelf hoe hij de persoonsgegevens verwerkt. Denk bijvoorbeeld aan hoe lang de gegevens worden bewaard, wie daartoe toegang hebben, enzovoort. De vervoerder is daarbij natuurlijk wel gebonden aan de eisen uit de AVG. De vervoerder is dus volgens de AVG verwerkingsverantwoordelijke en geen verwerker. Zijn opdrachtgever trouwens ook.

Geschreven door Harm-Jan Berends, advocaat bij de Haan Law