Verwerkingsverantwoordelijke

Een verwerkingsverantwoordelijke is een persoon of organisatie die bepaalt waarom en hoe persoonsgegevens worden verwerkt. In de context van politieke advertenties bepalen verwerkingsverantwoordelijken de doeleinden van targeting, welke gegevens worden gebruikt en hoe advertenties aan specifieke doelgroepen worden getoond. Volgens EU-wetgeving is de verwerkingsverantwoordelijke verantwoordelijk voor het waarborgen dat de gegevensverwerking rechtmatig, transparant is en de rechten van betrokkenen respecteert.

Rechtsgrondslag

"'verwerkingsverantwoordelijke': een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doeleinden van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;"

— Artikel 4, lid 7, Verordening (EU) 2016/679 (AVG)

Waarom het belangrijk is

De rol van verwerkingsverantwoordelijke staat centraal in de naleving van zowel de AVG als de Verordening betreffende de transparantie en targeting van politieke advertenties (Verordening 2024/900). Wanneer politieke actoren, aanbieders van politieke advertentiediensten of platforms persoonsgegevens gebruiken om advertenties te targeten of te tonen, treden een of meer entiteiten op als verwerkingsverantwoordelijke en moeten zij ervoor zorgen dat de verwerking rechtmatig, eerlijk en transparant is.

Bij politieke advertenties is het vaststellen wie de verwerkingsverantwoordelijke is essentieel voor verantwoording. Als een politieke partij een bureau opdracht geeft om getargete advertenties te plaatsen met kiezersgegevens, kunnen beiden verwerkingsverantwoordelijken zijn—hetzij gezamenlijk of afzonderlijk, afhankelijk van wie de doeleinden en middelen van de verwerking bepaalt. Verwerkingsverantwoordelijken moeten een geldige rechtsgrondslag hebben (zoals toestemming of gerechtvaardigd belang), de rechten van betrokkenen respecteren en technische en organisatorische maatregelen implementeren om persoonsgegevens te beschermen.

Verordening 2024/900 stelt strikte voorwaarden aan het gebruik van targetingtechnieken in politieke advertenties. Verwerkingsverantwoordelijken moeten ervoor zorgen dat zij alleen persoonsgegevens verwerken die zijn verzameld met het oog op targeting van politieke advertenties, waar vereist de juiste toestemming verkrijgen en nooit bepaalde gevoelige categorieën gegevens (zoals biometrische gegevens) gebruiken voor targeting. Het niet naleven hiervan kan leiden tot handhavingsmaatregelen door gegevensbeschermingsautoriteiten en aanzienlijke boetes op grond van de AVG.

Kernpunten

• De verwerkingsverantwoordelijke is de entiteit die bepaalt waarom (doel) en hoe (middelen) persoonsgegevens worden verwerkt.
• Bij politieke advertenties kunnen verwerkingsverantwoordelijken politieke partijen, campagneorganisaties, reclamebureaus, platforms of een combinatie hiervan zijn die gezamenlijk optreden.
• Verwerkingsverantwoordelijken moeten voldoen aan AVG-beginselen: rechtmatigheid, behoorlijkheid, transparantie, doelbinding, gegevensminimalisatie, juistheid, opslagbeperking, integriteit en vertrouwelijkheid.
• Op grond van Verordening 2024/900 zijn verwerkingsverantwoordelijken die targeting- of advertentieplaatsingstechnieken gebruiken in online politieke advertenties onderworpen aan strikte voorwaarden, waaronder beperkingen op welke gegevens kunnen worden gebruikt en vereisten voor toestemming.
• Verwerkingsverantwoordelijken zijn verantwoordelijk voor het reageren op de rechten van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) en voor gegevensbeveiliging.
• Gegevensbeschermingsautoriteiten houden toezicht op en handhaven de verplichtingen van verwerkingsverantwoordelijken; niet-naleving kan leiden tot boetes tot 4% van de jaarlijkse wereldwijde omzet of € 20 miljoen op grond van de AVG.

Verwerkingsverantwoordelijke versus verwerker

Een verwerkingsverantwoordelijke bepaalt de doeleinden en middelen van de verwerking van persoonsgegevens, terwijl een verwerker gegevens verwerkt namens en volgens de instructies van een verwerkingsverantwoordelijke. Als bijvoorbeeld een politieke partij (verwerkingsverantwoordelijke) een marketingplatform (verwerker) inhuurt om getargete e-mails te versturen, bepaalt de partij welke gegevens moeten worden gebruikt en waarom, terwijl het platform de taak uitvoert. Verwerkers moeten de gedocumenteerde instructies van de verwerkingsverantwoordelijke volgen, beveiligingsmaatregelen implementeren en de verwerkingsverantwoordelijke bijstaan bij het voldoen aan AVG-verplichtingen, maar zij bepalen niet het "waarom" of "hoe" van de verwerking. Op grond van Verordening 2024/900 moeten zowel verwerkingsverantwoordelijken als verwerkers ervoor zorgen dat zij voldoen aan targetingbeperkingen in politieke advertenties; verwerkingsverantwoordelijken dragen de primaire verantwoordelijkheid, maar verwerkers kunnen aansprakelijk worden gesteld als zij de instructies overschrijden of niet voldoen aan hun eigen verplichtingen.

Gerelateerde termen

• Verwerker
• Persoonsgegevens
• Targetingtechnieken
• AVG
• Toestemming
• Rechtsgrondslag
• Rechten van betrokkenen
• Gezamenlijke verwerkingsverantwoordelijken
• Aanbieder van politieke advertentiediensten
• Sponsor