REP27 · Verwerkers
Artikel 27 GDPR · Verwerkers
Verwerkers vallen onder Artikel 27 op precies dezelfde voorwaarden als verwerkingsverantwoordelijken, en bijna niemand van hen weet dat. De veronderstelling is dat de aanwijzing van de klant de toeleveringsketen dekt. Dat doet het niet: een aanwijzing dekt de entiteit die deze heeft ondertekend, dus een hostingprovider, een ondersteuningsdesk, een analyticsleverancier of een BPO-operatie buiten de Unie heeft er een van zijn eigen nodig.
De verplichting is identiek; drie praktische zaken daaromheen zijn dat niet.
Artikel 30(2) in plaats van 30(1): categorieën van verwerking per verwerkingsverantwoordelijke, overdrachten en een algemene beschrijving van beveiligingsmaatregelen.
Verzoeken die jou bereiken worden doorgegeven aan de verwerkingsverantwoordelijke onder jouw Artikel 28-contract, niet door jou beantwoord.
Je verschijnt in de privacyverklaring van je klant, niet in je eigen consumenten-facing verklaring — wat de reden is dat de verplichting zo gemakkelijk over het hoofd wordt gezien.
Het inkoopteam van je klant, niet een toezichthouder, is meestal de eerste die om de aanwijzing vraagt.
| Type leverancier | Rol | Vertegenwoordiger nodig |
|---|---|---|
| Cloudhosting buiten de EU | Verwerker | Ja |
| Uitbestede klantenservice | Verwerker | Ja |
| Loon- of HR-platform | Verwerker | Ja |
| Analyticsleverancier met gebruikersidentificaties | Verwerker, soms gezamenlijke verwerkingsverantwoordelijke | Ja |
| Subverwerker van het bovenstaande | Verwerker | Ja |
| Leverancier die nooit persoonlijke gegevens aanraakt | Noch | Nee |
Europese verwerkingsverantwoordelijken hebben jaren besteed aan het in kaart brengen van hun verwerkers. Wat bijna niemand in kaart heeft gebracht, is of die verwerkers zelf binnen Artikel 3(2) vallen en, zo ja, of ze een eigen vertegenwoordiging hebben.
De keten is meestal langer dan het contract suggereert. Een Europese retailer gebruikt een Amerikaanse e-commerceplatform, dat een Canadese zoekleverancier gebruikt, die een Indiase ondersteuningsdesk gebruikt. Elk van de drie is een verwerker of sub-verwerker die buiten de Unie is gevestigd, elk verwerkt persoonlijke gegevens van mensen in de Unie, en elk heeft zijn eigen vertegenwoordiger nodig. De aanwijzing van de retailer dekt de retailer en niets anders.
Dit begint naar voren te komen in de due diligence. Artikel 28(1) vereist dat verwerkingsverantwoordelijken alleen verwerkers gebruiken die voldoende garanties bieden, en de meer geavanceerde vragenlijsten vragen nu niet alleen om uw vertegenwoordiger, maar ook om bevestiging dat uw eigen sub-verwerkers er een hebben. Snel kunnen antwoorden is een onderscheidende factor aan het worden onder leveranciers die concurreren om dezelfde Europese rekening.
Voor een sub-verwerker is de berekening eenvoudig. De aanwijzing kost minder dan de tijd die besteed wordt aan het uitleggen van de afwezigheid ervan tijdens een enkele inkoopcyclus.
Ja. Artikel 27(1) verwijst zowel naar verwerkingsverantwoordelijken als verwerkers, en de EDPB-richtlijnen 3/2018 bevestigen dit. Een verwerker die buiten de Unie is gevestigd en persoonlijke gegevens van mensen in de Unie verwerkt, namens een klant, moet een eigen vertegenwoordiger aanwijzen.
Nee. Een aanwijzing dekt de entiteit die deze heeft ondertekend. De vertegenwoordiger van uw klant is gemandateerd door uw klant, heeft geen relatie met u en kan niet namens uw verwerking antwoorden. Dit is de meest voorkomende fout die we corrigeren op verwerkerbestanden.
De registratie onder Artikel 30(2): de categorieën van verwerking die namens elke verwerkingsverantwoordelijke worden uitgevoerd, de overdrachten die u maakt, en een algemene beschrijving van uw beveiligingsmaatregelen. Niet de volledige registratie van de verwerkingsverantwoordelijke onder Artikel 30(1).
Het verzoek wordt geregistreerd, gerefereerd en naar u doorgestuurd, en u stuurt het door naar de verwerkingsverantwoordelijke wiens gegevens het betreft onder uw Artikel 28-contract. Noch u, noch de vertegenwoordiger beslist over de uitkomst — de verwerkingsverantwoordelijke antwoordt op de merites.
In principe niet. Sub-verwerkers zijn verwerkers, en de territoriale toets in Artikel 3(2) wordt toegepast op uw eigen activiteit. In de praktijk zijn sub-verwerkers vaak de laatsten in de keten die worden aangesteld, wat de reden is dat zakelijke kopers nu expliciet naar hen vragen.
Nee. Artikel 27(5) is expliciet dat het aanwijzen van een vertegenwoordiger geen invloed heeft op juridische acties tegen de verwerkingsverantwoordelijke of de verwerker zelf. Het creëert een contactpunt, geen overdracht van verantwoordelijkheid.
Steeds vaker, ja. Europese verwerkingsverantwoordelijken zijn verplicht onder Artikel 28 om alleen verwerkers te gebruiken die voldoende garanties bieden, en hun leveranciersvragenlijsten bevatten nu de naam en het adres van de vertegenwoordiger als een regelitem.
Met de registratie onder Artikel 30(2) die binnen de Unie wordt gehouden, zodat de vragenlijsten van uw klanten niet meer stagneren.
Stel ons aan