Verantwoordelijkheid voor gevolmachtigde

Ron Gardenier 2016

Door Ron Gardenier (voorzitter NVGA)

Vanaf 25 mei gelden er nieuwe regels voor het verwerken van persoonsgegevens. In de kern zijn de regels uit de Algemene Verordening Gegevensbescherming (AVG) niet in alle gevallen anders dan die uit de Wet bescherming persoonsgegevens (Wbp). Toch leidt deze situatie tot behoefte aan duidelijkheid over een fundamenteel vraagstuk, namelijk hoe een gevolmachtigde optreedt. Als verwerkingsverantwoordelijke of als verwerker?

En daaruit voortvloeiend de vraag: verdient de relatie tussen verzekeraar en gevolmachtigde een verwerkersovereenkomst? De NVGA stelt zich op het standpunt dat verzekeraars en gevolmachtigden beiden zelfstandig als verwerkingsverantwoordelijke moeten worden beschouwd. Ieder van deze partijen bepaalt namelijk zelf het doel en middelen van de gegevensverwerking en is zelfstandig verantwoordelijk voor het eigen privacy beleid. Daarmee is er dan ook geen noodzaak voor verwerkersovereenkomsten tussen deze partijen. Bij de beantwoording van de vraag wie verwerkingsverantwoordelijke is, moet enerzijds worden uitgegaan van de formeel juridische bevoegdheid om doel en middelen van gegevensverwerking vast te stellen en anderzijds van een functionele benadering. Dat laatste betekent dat gekeken moet worden naar wat er feitelijk tussen partijen gebeurt. Deze functionele benadering brengt de NVGA tot de conclusie dat een gevolmachtigde een verwerkingsverantwoordelijke is. Argumenten hiervoor zijn:

• De gevolmachtigde heeft volledig beheer over de persoonsgegevens. Bij de verzekeraar zijn de persoonsgegevens niet (standaard) geregistreerd.

• Geest van de wetgeving: wet- en regelgeving eisen dat persoonsgegevens zorgvuldig en transparant worden verwerkt. De verantwoordelijkheid daarvoor moet worden gelegd bij die partij die het dichtst staat bij de betrokkene. Dat is de gevolmachtigde en niet de verzekeraar. De verzekeraar verwerkt de persoonsgegevens doorgaans niet.

• In de Volmacht Samenwerkingsovereenkomst wordt contractueel tussen verzekeraar en gevolmachtigde bepaald dat beiden verwerkingsverantwoordelijk zijn in de zin van de AVG.

• In de Volmacht Samenwerkingsovereenkomst tussen verzekeraar en gevolmachtigde wordt niets bepaald over de doeleinden van de verwerking van persoonsgegevens. Het staat de gevolmachtigde vrij voor zichzelf doeleinden te bepalen. Denk aan eigen productontwikkeling (pool) en commerciële activiteiten om een relatie met een verzekerde in stand te houden dan wel te verbeteren.

• De Volmacht Samenwerkingsovereenkomst schept een kader en binnen dat kader handelt de gevolmachtigde volledig autonoom. Gevolmachtigde kan bijvoorbeeld zelf een keuze maken voor een derde met wie persoonsgegevens worden gedeeld.

• De gevolmachtigde bepaalt zelf met welke middelen gegevens worden verwerkt (bijv. welke technische applicaties).

• Tot slot bestaat de mogelijkheid binnen de door het Verbond van Verzekeraars en de NVGA overeengekomen Volmacht Samenwerkingsovereenkomst om een zogenoemd Pseudo Portefeuillerecht overeen te komen. Dit houdt in dat als de verzekeraar de samenwerkingsovereenkomst beëindigt wegens een niet dringende reden of de gevolmachtigde de samenwerking beëindigt vanwege een dringende reden aan de zijde van de verzekeraar contractueel is bepaald, dat de gevolmachtigde de verzekeringsportefeuille (waarin begrepen het geheel aan persoonsgegevens) elders kan onderbrengen. De zeggenschap over de persoonsgegevens ligt in de hiervoor beschreven situaties dus bij de gevolmachtigde.

Het voorgaande in acht nemend, kunnen wij niet anders concluderen dan dat een gevolmachtigde beschouwd moet worden als een verwerkingsverantwoordelijke met alle daarbij behorende verplichting- en en verantwoordelijkheden. Dit laat onverlet dat de verzekeraar als contractspartij bij de verzekeringsovereenkomst ook een verwerkingsverantwoordelijke is. In de distributieketen zijn verzekeraar en gevolmachtigde derhalve beide verantwoordelijk. Een verantwoordelijke heeft meer en zwaardere verplichtingen ten opzichte van de verwerker. Zo dient hij veelal een privacyverklaring op te stellen waarin de betrokkene (degene wiens persoonsgegevens verwerkt worden) geïnformeerd wordt over hoe om wordt gegaan met zijn persoonsgegevens. De verantwoordelijke is voorts verplicht om verwerkingsovereenkomsten te sluiten met verwerkers die voor hem persoonsgegevens van de klant verwerken. De NVGA heeft zowel een voorbeeldprivacyverklaring als een voorbeeld-verwerkingsovereenkomst aan haar leden ter beschikking gesteld. Tijdens ons goed bezochte congres op 18 april, dat in het teken stond van ‘Volmachtdata: Goud waard!’, hebben wij eveneens uitgebreid aandacht aan dit onderwerp besteed. Ook hebben we tijdens dit congres ons Visiedocument gepresenteerd. Met dit document zetten we in op de start van een nieuw tijdperk waarbij de eigen verantwoordelijkheid van iedere schakel in de bedrijfskolom en het ondernemerschap centraal staan en waar wij het belang van de klant veiligstellen. Ons uitgangspunt daarbij is samen werken aan een duurzame toekomst!

Reactie toevoegen

 
Lees meer over
NVGA: vergaande consolidatie draagt niet bij aan oplossing onverzekerbaarheid

NVGA: vergaande consolidatie draagt niet bij aan oplossing onverzekerbaarheid

"Vergaande consolidatie zal ertoe leiden, dat er meer schaarste ontstaat in het aanbieden van afwijkende verzekeringsoplossingen", stelt NVGA-voorzitter Ron Gardenier...

Meer of minder verzekeraars?

Meer of minder verzekeraars?

Consolidatie en schaalvergroting houden de gemoederen meer dan bezig. Positief of negatief voor de klant? Goed voor de toezichthouder? Eigen belang verzekeraars?...

Inschrijving NVGA AM Innovatieprijs geopend

Inschrijving NVGA AM Innovatieprijs geopend

De inschrijving voor de NVGA AM Innovatieprijs is geopend. De prijs wordt toegekend aan de partij met de meest impactvolle innovatie voor de volmachtbranche en...

AVG geeft niet per se recht op inzage in document zelf

AVG geeft niet per se recht op inzage in document zelf

De Algemene Verordening Gegevensbescherming (AVG) geeft geen recht op inzage in het document als zodanig. Dat stelt staatssecretaris Snel in antwoord op Kamervragen....

AVG vergt permanent aandacht

AVG vergt permanent aandacht

(Uit VVP 5 - 2018, door Adfiz) Sinds 25 mei 2018 gelden er nieuwe regels voor de bescherming van persoonsgegevens. Inmiddels heeft u waarschijnlijk de nodige...

Gevolmachtigde draagt verwerkingsverantwoordelijkheid

Gevolmachtigde draagt verwerkingsverantwoordelijkheid

Een gevolmachtigde moet beschouwd worden als een verwerkingsverantwoordelijke met alle daarbij behorende verplichtingen en verantwoordelijkheden. Dat stelt Ron Gardenier,...