2.4 Wat zijn de verschillende rollen en verantwoordelijkheden volgens de AVG?

Binnen de AVG worden verschillende rollen gedefinieerd bij de verwerking van persoonsgegevens. De belangrijkste rollen zijn: verwerkingsverantwoordelijke, gezamenlijke verwerkingsverantwoordelijke en verwerker.

Aangezien verwerkingsverantwoordelijken en verwerkers verschillende verantwoordelijkheden en verplichtingen hebben, is het belangrijk dat deze rollen aan de start van het onderzoek duidelijk vastgelegd worden.

De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. Het louter ter beschikking stellen van onderzoeksfinanciering (bv. door FWO, de Europese Commissie,…) is niet voldoende om in het kader van onderzoek verwerkingsverantwoordelijke te zijn. In dit geval blijft de universiteit de verwerkingsverantwoordelijke.

Hoewel de universiteit, als juridische entiteit, verwerkingsverantwoordelijke is, is er sprake van een gedeelde verantwoordelijkheid met de onderzoekers. Zo zijn onderzoekers binnen hun eigen onderzoeksprojecten verantwoordelijk om de privacyaspecten grondig te overwegen en de wettelijke verplichtingen van de AVG na te leven.

Bij gezamenlijke verwerkingsverantwoordelijken worden het doel en de middelen bepaald door twee of meer organisaties of instellingen. Onderzoek uitgevoerd binnen een (internationaal) consortium valt hier bijvoorbeeld onder. In deze situatie is het belangrijk dat de verschillende verwerkingsverantwoordelijken op een transparante wijze vastleggen wie verantwoordelijk is voor het verstrekken van informatie aan de betrokkenen en de uitoefening van de rechten van de betrokkenen (zie 2.8).

Tot slot kan een organisatie ook een verwerker zijn. In dit geval verwerkt een organisatie persoonsgegevens in opdracht van een andere organisatie. Contract onderzoek in opdracht van private bedrijven of sommige types van beleidsrelevant onderzoek kunnen hier onder vallen.  Binnen een onderzoeksproject kan het ook voorkomen dat onderzoekers beroep doen op verwerkers voor het verzamelen, verwerken, opslaan of het beschikbaar maken van persoonsgegevens. Afspraken tussen verwerkingsverantwoordelijke(n) en verwerker(s) of tussen verwerkers en subverwerkers worden vastgelegd in een verwerkersovereenkomst (zie 2.8).