Wat is een verwerkingsverantwoordelijke (controller) onder de AVG?

AVG Art. 4 lid 7: de verwerkingsverantwoordelijke is "een natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die alleen of samen met anderen, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt". Kort: wie bepaalt het waarom en het hoe = verwerkingsverantwoordelijke. Voorbeelden: jouw bank (zij beslissen welke transacties bewaard worden), jouw werkgever (HR-besluit welk personeels-informatie), de gemeente (welke burgerservices), een webshop (welke klantgegevens voor welk doel), social media-platform. Gezamenlijke verwerkingsverantwoordelijken (Art. 26): bij joint controllers — bv. Facebook + de fanpage-eigenaar (HvJ EU Wirtschaftsakademie 2018), Google + websites die Google Analytics gebruiken. Beide moeten een transparante regeling vastleggen wie wat doet voor de rechten van betrokkenen. Hoofdverplichtingen: rechtmatigheid (Art. 6 grondslag), transparantie (privacy-statement), betrokkenenrechten faciliteren (inzage, verwijdering, etc.), beveiligingsmaatregelen (Art. 32), DPIA bij hoog risico (Art. 35), melden datalekken (Art. 33-34), aansprakelijkheid (Art. 82). Hoe weet je wie? Privacy-statement moet expliciet vermelden wie verwerkingsverantwoordelijke is + contactgegevens. Bij twijfel: een inzage-verzoek (Art. 15) doen — partij die antwoordt = verwerkingsverantwoordelijke. Boetes: verwerkingsverantwoordelijke draagt het grootste boete-risico — Art. 83 lid 5 voorziet in boetes tot €20m / 4% omzet voor schending van grondbeginselen (Art. 5, 6, 7, 9, 12-22, internationale doorgifte).