Kort antwoord
Ja, als die partij persoonsgegevens voor jou verwerkt volgens jouw instructies. Een social-mediabureau dat namens jou berichten, reacties of leads beheert, is dan verwerker. Een fotograaf die jouw medewerkers of gasten vastlegt voor jouw doelen, kan dat ook zijn. Dan is een verwerkersovereenkomst verplicht (artikel 28 AVG), voor jullie allebei. Gebruikt de leverancier beelden voor een eigen doel, zoals zijn portfolio, dan is hij daarvoor zelf verantwoordelijk.
Een verwerkersovereenkomst is een contract waarin je vastlegt hoe een leverancier met de persoonsgegevens omgaat die hij voor jou verwerkt. Het klinkt als iets voor je IT-leverancier of je boekhouder. Maar wie zijn social media uitbesteedt, geeft een bureau toegang tot berichten, reacties en leads. En wie een fotograaf inhuurt, laat die herkenbare mensen vastleggen. Ook dat zijn persoonsgegevens.
Verwerker of niet: wie bepaalt?
De AP maakt het onderscheid zo:
- Jij bent de verantwoordelijke (in AVG-taal: verwerkingsverantwoordelijke) als jij bepaalt welke persoonsgegevens worden verwerkt, waarvoor en hoe. De andere partij volgt jouw instructies.
- De leverancier is verwerker als hij persoonsgegevens verwerkt in jouw opdracht, en ze niet voor eigen doeleinden gebruikt.
Wat telt is wat er feitelijk gebeurt, niet wat er op papier staat. Zet je in een overeenkomst dat de ander verantwoordelijk is, maar bepaal jij in werkelijkheid doel en aanpak? Dan ben jij de verantwoordelijke.
Toegepast op beeld en social media
| Situatie | Rol van de leverancier |
|---|---|
| Een bureau beheert je accounts: plant posts, beantwoordt reacties en berichten, verzamelt leads | Verwerker. Jij bepaalt waarvoor, het bureau voert uit. |
| Een fotograaf legt je team of je event vast, voor jouw website en socials | Meestal verwerker voor jouw doelen |
| Diezelfde fotograaf toont een paar beelden in zijn eigen portfolio | Voor dat gebruik zelf verantwoordelijk, met een eigen grondslag |
| Een adviseur die alleen een strategie schrijft en niets met persoonsgegevens doet | Geen verwerker, dus geen verwerkersovereenkomst nodig |
Eén leverancier kan dus twee rollen hebben. Spreek daarom ook af of de fotograaf beelden in zijn portfolio mag laten zien, en van wie. Die vraag hoort bij de opdracht, niet pas achteraf.
Wat er in de overeenkomst moet
De AVG schrijft voor wat erin staat (artikel 28, derde lid). De AP somt het op:
- onderwerp, duur, aard en doel van de verwerking, welke gegevens en van wie;
- dat de verwerker alleen op jouw schriftelijke instructies werkt, en de gegevens niet voor zichzelf gebruikt;
- geheimhouding voor iedereen die voor de verwerker werkt;
- beveiliging, zoals versleuteling en wat er gebeurt bij een incident;
- of en hoe de verwerker anderen mag inschakelen (subverwerkers), met dezelfde afspraken;
- hulp bij privacyverzoeken, zoals een verzoek om een foto te verwijderen;
- hulp bij datalekken en een eventuele DPIA (een risicoanalyse vooraf);
- wat er na afloop met de gegevens gebeurt: teruggeven of verwijderen, ook de kopieën;
- dat de verwerker meewerkt aan controles.
“Wij werken AVG-proof” in een offerte is dus niet genoeg. Een voorbeeld vind je vaak bij je branchevereniging. Maak hem wel passend voor jouw situatie.
Wie moet het regelen?
Allebei. Volgens de AP zijn verantwoordelijke én verwerker in overtreding als de overeenkomst ontbreekt. Meestal neemt de opdrachtgever het initiatief, maar het mag ook andersom. En jij blijft verantwoordelijk, ook als de leverancier de tekst aanlevert.
Wat de overeenkomst níet regelt
Een verwerkersovereenkomst gaat over hoe de leverancier met de gegevens omgaat. Hij geeft je geen recht om iemand te fotograferen of een video te publiceren. Daarvoor heb je zelf een grondslag nodig, meestal toestemming van de mensen in beeld. Hoe je dat regelt, lees je in onze artikelen over evenementfoto’s en foto’s van medewerkers.
Dit is geen juridisch advies. Twijfel je over een specifieke situatie, lees dan de pagina’s van de AP hieronder of vraag een jurist.