STAP 2 - Breng in kaart in welke hoedanigheid u persoonsgegevens verwerkt
De hoedanigheid waarin u persoonsgegevens verwerkt, bepaalt welke verplichtingen uit de GDPR door u moeten worden nageleefd en welke aansprakelijkheden u loopt. Hierbij is het mogelijk dat u voor de verwerking van sommige persoonsgegevens in hoedanigheid A optreedt, terwijl u voor de verwerking van andere persoonsgegevens in de hoedanigheid B optreedt. U dient dit dan ook zorgvuldig te analyseren op basis van onderstaande.
U zal in de eerste plaats een verwerkingsverantwoordelijke zijn. Indien u toch voor bepaalde activiteiten als ‘verwerker’ zou worden beschouwd, moet u voor die activiteiten dit stappenplan eveneens doorlopen.
De verwerkingsverantwoordelijke
De verwerker
De bewerker
De verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke is degene die zelf het doel van de verwerking en de middelen voor de verwerking bepaalt. Anders gezegd: de verwerkingsverantwoordelijke bepaalt waarom gegevens moeten worden verwerkt, welke gegevens moeten worden verwerkt, en hoe zij worden verwerkt. Wanneer u dus als zorgverstrekker zelf bepaalt welke gegevens u nodig heeft van uw patiënten, voor welke doeleinden, en hoe u die gegevens verwerkt, bent u ten aanzien van die gegevens dus ‘verwerkingsverantwoordelijke’.
Wie er in een privépraktijk als verwerkingsverantwoordelijke dient te worden gekwalificeerd, hangt af van de organisatie van de praktijk, bijvoorbeeld:
- Gaat het om een individuele arts, dan zal deze verwerkingsverantwoordelijke zijn.
- Gaat het om een associatie van verschillende artsen, dan moet worden bekeken welke van deze artsen het doel en de middelen van de verwerking bepaalt. Hierbij zal het vaak zo zijn dat er sprake is van gezamenlijke verwerkingsverantwoordelijken. Dit is het geval indien het doel en de middelen van de verwerking door meer dan één persoon worden bepaald. In dit geval dient er verplicht een onderlinge regeling tussen deze gezamenlijke verwerkingsverantwoordelijken te worden afgesloten.
- Indien verschillende artsen zich hebben verenigd in een vennootschap, is de kans groot dat deze vennootschap als verwerkingsverantwoordelijke zal kunnen worden beschouwd.
terug
De verwerker
Een verwerker is degene die ten behoeve van een verwerkingsverantwoordelijke gegevens verwerkt. Hij verwerkt dus de gegevens niet voor zichzelf, maar voor iemand anders. Typisch voorbeeld is een IT-bedrijf dat uw software of servers onderhoudt. Andere voorbeelden zijn sociale secretariaten, boekhoudsoftware, software voor het elektronisch patiëntendossier, bewakingsfirma’s, etc.
De bewerker
De bewerker is geen wettelijk omschreven begrip, maar wordt in het kader van de GDPR algemeen omschreven als degene die onder het rechtstreeks gezag van de verwerkingsverantwoordelijke gemachtigd is om persoonsgegevens te verwerken. Het typevoorbeeld van bewerkers zijn het personeel van de verwerkingsverantwoordelijke, zoals bijvoorbeeld een secretaresse.