Aansprakelijkheid van de verwerkingsverantwoordelijke en de grenzen daarvan volgens het HvJ-EU

Grenzen aan de aansprakelijkheid van verwerkingsverantwoordelijken in de EU

In december 2023 deed het Hof van Justitie van de Europese Unie (HvJ-EU) uitspraak over de verantwoordelijkheid van een verwerkingsverantwoordelijke voor verwerkingen die door een verwerker worden uitgevoerd.

In zaak C-683/21 oordeelde het Hof dat deze verantwoordelijkheid grenzen kent. De enkele aanwezigheid van een relatie tussen een verwerkingsverantwoordelijke en een verwerker is niet voldoende om de verwerkingsverantwoordelijke voor iedere verwerking door de verwerker verantwoordelijk te houden. Dit geldt met name wanneer:

• de verwerker persoonsgegevens voor eigen doeleinden verwerkt;
• de verwerker handelt op een wijze die onverenigbaar is met de door de verwerkingsverantwoordelijke vastgestelde afspraken of instructies;
• redelijkerwijs niet kan worden aangenomen dat de verwerkingsverantwoordelijke met de betreffende verwerking heeft ingestemd.

Zaak C-683/21

Tijdens de COVID-19-pandemie gaf het National Public Health Centre (NVSC) van het Litouwse ministerie van Volksgezondheid opdracht aan IT-dienstverlener UAB “IT sprendimai sėkmei” (UAB) om een mobiele applicatie te ontwikkelen.

De app werd uiteindelijk beschikbaar gesteld via Google Play. In de privacyverklaring van de app werden zowel het NVSC als de IT-dienstverlener als verwerkingsverantwoordelijken genoemd. Het NVSC en de dienstverlener hadden echter geen overeenkomst met elkaar gesloten of ondertekend. Uiteindelijk beëindigde het NVSC de aanbestedingsprocedure voor de app vanwege een gebrek aan financiering.

Naar aanleiding van deze gebeurtenissen legde de Litouwse privacytoezichthouder administratieve boetes op aan het NVSC en UAB, die als gezamenlijke verwerkingsverantwoordelijken werden aangemerkt.

Het NVSC vocht dit besluit onder meer aan met de volgende argumenten:

• het NVSC was geen verwerkingsverantwoordelijke voor de betreffende verwerking;
• de dienstverlener had de app ontwikkeld zonder dat tussen de partijen een overeenkomst was gesloten;
• het NVSC had geen toestemming gegeven voor of opdracht gegeven tot het openbaar beschikbaar stellen van de app.

UAB stelde daarentegen dat zij uitsluitend als verwerker optrad.

Het belang van de relatie tussen verwerkingsverantwoordelijke en verwerker

Ten eerste bevestigde het Hof opnieuw dat het begrip verwerkingsverantwoordelijke ruim moet worden uitgelegd.

De feitelijke situatie is belangrijker dan de formaliteiten. Een partij kan als verwerkingsverantwoordelijke worden aangemerkt zonder dat daarvoor een specifieke overeenkomst is gesloten. Andersom is het enkele feit dat een organisatie in een privacyverklaring als verwerkingsverantwoordelijke wordt genoemd niet voldoende om die organisatie daadwerkelijk als verwerkingsverantwoordelijke aan te merken. Daarvoor moet uit de omstandigheden blijken dat de betreffende partij, expliciet of impliciet, betrokken was bij het bepalen van de doeleinden en middelen van de verwerking.

In deze zaak had het NVSC opdracht gegeven voor de ontwikkeling van de app om zijn eigen doelstellingen op het gebied van de bestrijding van COVID-19 te verwezenlijken. Daarbij had het NVSC voorzien dat persoonsgegevens zouden worden verwerkt en was het betrokken bij het bepalen van de belangrijkste kenmerken van de app. Het NVSC kon daarom als verwerkingsverantwoordelijke worden aangemerkt.

Het feit dat het NVSC de app uiteindelijk niet had aangeschaft en geen toestemming had gegeven om deze openbaar beschikbaar te stellen, veranderde dit volgens het Hof niet zonder meer. De beoordeling had anders kunnen uitvallen wanneer het NVSC de dienstverlener uitdrukkelijk had verboden om de app voor het publiek beschikbaar te stellen.

Ten tweede bevestigde het Hof dat gezamenlijke verwerkingsverantwoordelijkheid niet betekent dat alle betrokken partijen in gelijke mate verantwoordelijk zijn.

De mate van verantwoordelijkheid moet worden beoordeeld aan de hand van de concrete omstandigheden en de daadwerkelijke betrokkenheid van iedere partij bij de verwerking.

Een formele regeling is bovendien geen voorwaarde om gezamenlijke verwerkingsverantwoordelijkheid te laten ontstaan. Partijen kunnen op basis van hun feitelijke rol gezamenlijke verwerkingsverantwoordelijken zijn. De verplichting om afspraken over hun respectieve verantwoordelijkheden vast te leggen, vloeit voort uit het bestaan van gezamenlijke verwerkingsverantwoordelijkheid en is geen voorwaarde voor het ontstaan daarvan.

Verwijtbaar handelen en verantwoordelijkheid voor het handelen van een verwerker

Het Hof kwam onder meer tot de volgende conclusies.

Op grond van artikel 83 AVG kan aan een verwerkingsverantwoordelijke slechts een administratieve geldboete worden opgelegd wanneer de overtreding opzettelijk of uit nalatigheid is begaan. Dit betekent echter niet dat de verwerkingsverantwoordelijke zich daadwerkelijk bewust moet zijn geweest van de specifieke AVG-overtreding.

Daarnaast volgt uit overweging 74 AVG dat een verwerkingsverantwoordelijke verantwoordelijkheid draagt voor verwerkingen die namens hem door een verwerker worden uitgevoerd.

Deze verantwoordelijkheid is echter niet onbeperkt. Een verwerkingsverantwoordelijke is in beginsel niet verantwoordelijk voor verwerkingen waarbij de verwerker buiten zijn rol als verwerker treedt en zelf de doeleinden en middelen van de verwerking bepaalt.

Dit kan bijvoorbeeld het geval zijn wanneer:

• de verwerker persoonsgegevens voor eigen doeleinden verwerkt;
• de verwerker persoonsgegevens verwerkt op een wijze die onverenigbaar is met de afspraken of instructies van de verwerkingsverantwoordelijke;
• redelijkerwijs niet kan worden aangenomen dat de verwerkingsverantwoordelijke met de betreffende verwerking heeft ingestemd.

In dergelijke situaties kan de verwerker op grond van artikel 28, lid 10, AVG voor die verwerking zelf als verwerkingsverantwoordelijke worden beschouwd.

De uitspraak onderstreept daarmee het belang van duidelijke afspraken tussen verwerkingsverantwoordelijken en verwerkers, maar laat tegelijkertijd zien dat bij de beoordeling van hun verantwoordelijkheden vooral naar de feitelijke rollen, beslissingen en gedragingen van de betrokken partijen moet worden gekeken.