Gezamenlijke verwerkingsverantwoordelijken in Cyprus: AVG artikel 26

Toets de feitelijke gezamenlijke verantwoordelijkheid vóór het opstellen

Begin bij de concrete verwerking, niet bij een functietitel in het contract. Een verwerkingsverantwoordelijke beslist waarom en hoe persoonsgegevens worden verwerkt. Gezamenlijke verantwoordelijken bepalen samen de doeleinden en essentiële middelen van één handeling. Het Europees Comité voor gegevensbescherming (EDPB) beschrijft zowel een gemeenschappelijk besluit als samenlopende besluiten die elkaar aanvullen en noodzakelijk zijn voor de verwerking zoals zij feitelijk plaatsvindt. Een Cypriotische onderneming en haar partner kunnen gezamenlijk een registratie voor een evenement vormgeven, terwijl ieder zelfstandig verantwoordelijk blijft voor zijn bestaande klantenbestand. De rol moet dus per verwerkingsfase worden beoordeeld.

Vraag wie het doel koos, wiens belangen de handeling dient en wie categorieën personen, gegevens, ontvangers, bewaartermijnen en essentiële technische keuzes bepaalt. Verschillende mate van invloed sluit een gezamenlijke rol niet vanzelf uit. Omgekeerd kunnen twee zelfstandige bedrijven informatie voor afzonderlijke doelen uitwisselen zonder één gezamenlijke verwerking te bepalen. Een verwerker handelt namens een verantwoordelijke en volgens diens instructies. Leg de feitelijke antwoorden vast voordat u kiest tussen een artikel 26-regeling, een artikel 28-verwerkersovereenkomst of een andere afspraak over gegevensdeling. Een sjabloon met de juiste naam levert op zichzelf geen juiste kwalificatie van de verhouding op.

Ga er niet van uit dat gezamenlijke verantwoordelijkheid verdwijnt wanneer een ondertekende regeling ontbreekt. Het Hof van Justitie heeft in zaak C-683/21 bevestigd dat de kwalificatie uit de feitelijke deelname aan de bepaling van doeleinden en middelen volgt. De artikel 26-regeling is een verplichting nadat die rol bestaat, geen voorwaarde om haar te laten ontstaan. Een clausule met „zelfstandige verantwoordelijken” beslist de zaak evenmin als beide partners het project werkelijk samen ontwerpen. Andersom mag een ruim gezamenlijk sjabloon niet elke latere, losstaande gebruiksvorm van dezelfde gegevens tot gezamenlijke verwerking maken. Beschrijf precies op welke handelingen de regeling ziet.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Hof van Justitie van de EU, zaak C-683/21, gezamenlijke verantwoordelijkheid volgens artikel 26; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Breng gezamenlijke en afzonderlijke fasen van het project in kaart

Maak vóór de taakverdeling een beknopte gegevensstroomkaart. Bij een evenement kan deze de oorspronkelijke klantenlijsten van beide partners, de gezamenlijke uitnodiging, het gedeelde inschrijfformulier, aanwezigheidsgegevens en latere zelfstandige verkoopbenadering laten zien. De uitnodiging en inschrijving kunnen gezamenlijk worden bepaald, terwijl oude eigen bestanden en latere afzonderlijke marketing een andere status hebben. Eén etiket voor de volledige commerciële relatie verbergt die grenzen. Dan kan de privacyverklaring ten onrechte suggereren dat dezelfde partijen over iedere stap samen beslissen. Koppel daarom bij elke fase de werkelijke beslissers aan het juiste doel en systeem.

Noteer per fase welke persoonsgegevens binnenkomen, waar ze vandaan komen, wie toegang heeft, aan wie ze gaan, welk doel ze dienen, wanneer bewaring eindigt en wie het systeem beheert. Benoem leveranciers die voor het project gegevens verwerken en bepaal welke verantwoordelijke de relevante overeenkomst sluit. Heeft een platform een eigen doel met dezelfde gegevens, dan vraagt dat om een aparte rolbeoordeling. De kaart moet tonen hoe een correctie of verwijdering in de gezamenlijke fase beide systemen bereikt. Een zin dat partijen „de AVG naleven” beschrijft noch de technische route noch de verantwoordelijke medewerker. Vergeet exports en lokale kopieën niet.

Bewaar bewijs van de besluiten die partijen echt namen: gespreksverslagen, productvereisten, gekozen formuliervelden, doelgroepen en goedkeuring van deling. Deze feiten zijn belangrijker dan de volgorde van logo’s. Werk de kaart bij wanneer een nieuwe partner meedoet, profilering wordt toegevoegd of gegevens naar een ander platform gaan. Gezamenlijke verantwoordelijkheid kan voor één handeling gelden zonder dat partijen samen verantwoordelijk worden voor al hun andere verwerkingen. Maak die reikwijdte zichtbaar in de bijlage bij de regeling en in de informatie voor betrokkenen. Dat maakt een latere beoordeling bij wijzigingen mogelijk zonder op herinneringen of contractlabels te vertrouwen.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Controleer doel en rechtsgrond voor elke verantwoordelijke

Een artikel 26-regeling schept geen rechtsgrond voor de verwerking. Iedere gezamenlijke verantwoordelijke moet zijn eigen grondslag onder artikel 6 voor de betrokken handeling beoordelen en het doel kunnen uitleggen. Het EDPB geeft aan dat elke partij een rechtsgrond nodig heeft en gegevens niet op een met het oorspronkelijke verzameldoel onverenigbare manier mag gebruiken. Bij bijzondere categorieën persoonsgegevens kan daarnaast een voorwaarde van artikel 9 gelden. Schuif een onzekere grondslag niet geheel naar de partner met een regel in het contract. Ook een gezamenlijk platform maakt de herkomst van elke dataset en ieder toekomstig gebruik niet vanzelf rechtmatig.

Onderzoek de herkomst van elk bestand. Als één partner klantgegevens voor een gezamenlijke campagne levert, vraag dan wat mensen bij de verzameling vernamen, of doorgifte en nieuwe inzet verenigbaar zijn met het oorspronkelijke doel en of afzonderlijke regels voor elektronische marketing gelden. Een garantie dat de lijst „AVG-conform” is, kan nuttig bewijsmateriaal opleveren, maar vervangt geen concrete toets van de nieuwe verwerking. Spreek ook gegevensminimalisatie af: een evenementregistratie vergt doorgaans minder informatie dan een volledige klantenexport. Richt het gedeelde formulier en de toegangsrechten op die kleinere set in en controleer of kopieën daarvan afwijken.

Behandel een doelwijziging als een nieuwe controle. Een gezamenlijk educatief webinar kan later in een programma voor leadscoring veranderen; die stap mag niet ongemerkt aan de oorspronkelijke inschrijving worden toegevoegd. Beoordeel vóór de wijziging opnieuw rollen, rechtsgronden, transparantie en zo nodig een gegevensbeschermingseffectbeoordeling. Wil één verantwoordelijke gezamenlijke registraties voor eigen opvolging gebruiken, markeer dan waar de gezamenlijke handeling eindigt en het zelfstandige doel begint. Een heldere grens maakt het mogelijk een deelnemer juist uit te leggen welke organisatie verantwoordelijk is voor een bepaald bericht. Leg ook vast welke gegevens bij de nieuwe activiteit worden gebruikt en hoe lang.

Lees ook: bezwaar tegen direct marketing.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Verdeel taken in een uitvoerbare artikel 26-regeling

Artikel 26 vraagt om een transparante bepaling van ieders verantwoordelijkheden, vooral voor informatie volgens de artikelen 13 en 14 en de uitoefening van rechten, tenzij en voor zover Unierecht of lidstatelijk recht die verantwoordelijkheden al bepaalt. Wijs een eigenaar en vervanger aan voor de eerste privacyinformatie, ontvangst van verzoeken, identiteitscontrole, gegevensonderzoek, beslissing, antwoord en verslaglegging. Bepaal wat gebeurt wanneer de betrokkene de andere partij benadert. De regeling moet de echte rollen en verhoudingen tegenover mensen weerspiegelen. Een kunstmatige verdeling van elke taak in twee gelijke delen is niet juist enkel omdat twee ondernemingen tekenen. Controleer of de aangewezen persoon de noodzakelijke toegang en bevoegdheid werkelijk heeft.

Het EDPB beveelt aan ook de beginselen, rechtsgrond, beveiliging, meldingen van datalekken, effectbeoordelingen, verwerkers, internationale doorgiften en contacten met personen en toezichthouders te behandelen. Vertaal dat naar meetbare overdrachten. Zo kan partij A binnen een interne termijn een verzoek aan partij B melden en levert B een precies omschreven systeemexport. Houd voldoende ruimte over voor de externe AVG-termijnen. Een bepaling „ieder behandelt verzoeken over zijn eigen systemen” schiet tekort wanneer één gezamenlijke handeling in beide systemen sporen achterlaat. Spreek ook af wie een ontbrekende export of tegenstrijdig antwoord onderzoekt en hoe de beslissing wordt vastgelegd.

Artikel 26 schrijft geen enkele contractvorm voor. Voor rechtszekerheid en verantwoordingsplicht raadt het EDPB een bindend document aan. Neem een duidelijk verwerkingsschema, taakmatrix, escalatiecontacten, regels voor bewijsuitwisseling, minimale veiligheidsmaatregelen, wijzigingsbeheer en uitstapstappen op. Kopieer geen artikel 28-verwerkersovereenkomst: de gezamenlijke verantwoordelijke werkt niet noodzakelijk uitsluitend op gedocumenteerde instructies van de andere partij. Biedt dezelfde partner daarnaast een afzonderlijke verwerkingsdienst aan, documenteer die andere artikel 28-relatie voor die activiteit apart. Probeer niet twee verschillende rollen voor uiteenlopende verwerkingen in één etiket te persen.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Ontwerp het rechtenproces voor de persoon, niet voor het contract

De regeling mag een contactpunt aanwijzen, maar artikel 26 lid 3 laat een betrokkene AVG-rechten tegenover ieder van de gezamenlijke verantwoordelijken uitoefenen, ongeacht hun interne verdeling. Een privacypagina die verzoeken uitsluitend bij één partner geldig noemt, geeft de regel verkeerd weer. Beide klantenserviceteams moeten een verzoek herkennen, de ontvangstdatum vastleggen en het snel doorzetten. Het centrale contactpunt kan coördineren, maar onderzoek en antwoord moeten waar nodig de relevante gezamenlijke handeling bij beide partijen omvatten. Laat bij interne doorzending de oorspronkelijke ontvangsttijd niet verloren gaan; die bepaalt mede of het antwoord op tijd komt.

Test inzage, rectificatie, bezwaar en verwijdering met een realistisch record. Als een deelnemer het e-mailadres verandert, wie past het gedeelde evenementenplatform aan en wie meldt de wijziging aan de partner? Bij bezwaar tegen direct marketing: wie stopt de gezamenlijke campagne en welke zelfstandige opvolglijsten vragen een aparte beoordeling? Leg vast hoe tegenstrijdige instructies en twijfel over identiteit worden opgelost. Een antwoord op een rechtenverzoek moet de werkelijke gegevens en doelen beschrijven, niet alleen de artikel 26-regeling meesturen. Bewaar een controleerbaar spoor van elke overdracht, beslissing en uiteindelijke communicatie. Zo kan later worden aangetoond wat er in beide systemen gebeurde.

Maak een escalatiepad voor een verzoek dat vlak voor een deadline aankomt. Artikel 12 vereist in beginsel een reactie binnen één maand; verlenging kan alleen onder de voorwaarden daarvan en met tijdige uitleg. Een trage interne goedkeuringsronde is op zichzelf geen reden om te laat te antwoorden. Als een partner het oneens is met een voorgestelde beslissing, moet duidelijk zijn wie het geschil beoordeelt en hoe de persoon toch op tijd een juist antwoord krijgt. De contractuele taakverdeling kan een AVG-recht niet wegnemen. Het proces moet ook slagen wanneer iemand eerst de zogenaamd verkeerde gezamenlijke verantwoordelijke bereikt.

Lees ook: werkwijze voor inzageverzoeken.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Laat beveiliging en incidentrespons over de grens heen werken

Een gezamenlijk doel gebruikt vaak verschillende infrastructuren: de ene partner beheert het inschrijfformulier, een andere bewaart exports en een bureau verstuurt berichten. Spreek af wie toegang geeft, rechten controleert, doorgiften beveiligt, exports logt en toegang na afloop intrekt. Beschrijf welke veiligheidsbewijzen partners mogen opvragen zonder toegang tot irrelevante systemen te eisen. Gezamenlijke verantwoordelijkheid betekent niet dat ieder iedere database van de andere onderneming mag inspecteren. Beperk toegang tot de gezamenlijke handeling en bepaal wanneer kopieën teruggaan, worden bewaard of worden verwijderd. Controleer vooral gedownloade bestanden, lokale werkmappen en testomgevingen.

Zorg bij een datalek voor een snelle interne waarschuwing in plaats van enkel de externe AVG-termijn over te nemen. Benoem incidentcontacten, te bewaren bewijs, degene die het risico voor mensen beoordeelt, de partij die indien vereist met de Cypriotische toezichthouder communiceert en degene die personen bij toepassing van artikel 34 informeert. De 72-uursmaatstaf van artikel 33 voor melding aan de autoriteit loopt onder de voorwaarden van dat artikel vanaf kennisname. Een samenwerking mag het grootste deel van die tijd niet besteden aan discussie over eigenaarschap. Oefen vóór lancering met een kwijtgeraakte export en een openbaar geworden formulier.

Gebruikt het project cloud- of andere leveranciers, breng dan de relevante verwerkersovereenkomst en eventuele doorgifte buiten de Europese Economische Ruimte in kaart. De artikel 26-regeling tussen verantwoordelijken vervangt geen artikel 28-afspraken met een verwerker of waarborgen uit hoofdstuk V. Spreek af wie een nieuwe subverwerker goedkeurt, wie de doorgiftegrond onderzoekt en hoe de andere partij vóór gebruik bewijs krijgt. Als het platform wijzigt, pas zowel de taakmatrix als de privacyinformatie aan. Een heldere interne verdeling helpt de coördinatie, maar maakt geen van de gezamenlijke verantwoordelijken onzichtbaar voor een betrokkene of toezichthouder.

Lees ook: gids voor incidentrespons.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1

Maak de kern van de regeling begrijpelijk beschikbaar

Artikel 26 lid 2 vereist dat de kern van de regeling aan betrokkenen beschikbaar wordt gesteld. Volgens de EDPB-richtsnoeren moet die uitleg de werkelijke rollen en onderlinge verhouding weerspiegelen. Een bruikbare toelichting noemt beide verantwoordelijken, beschrijft de gezamenlijke handeling, legt uit wie informatie verstrekt en rechten coördineert en biedt een werkende contactroute naar elke partij. Ook afzonderlijke doelen na de gezamenlijke fase moeten helder blijven. De losse zin „wij zijn gezamenlijk verantwoordelijk” vertelt iemand nauwelijks wie zijn gegevens gebruikt en waarom. Controleer of de publieke tekst overeenkomt met het feitelijke gegevensverloop en de interne taakmatrix.

Publiceer niet alleen het volledige vertrouwelijke contract. De kern kan een korte, leesbare samenvatting zijn, gelinkt vanaf het formulier en vanaf de relevante privacypagina van beide partners. Stem deze af op de volledige informatieplichten van de artikelen 13 en 14, waaronder doelen, rechtsgronden, ontvangers, bewaartermijnen en rechten. Verzamelt de ene partner rechtstreeks terwijl de andere later gegevens ontvangt, bepaal hoe de informatieplicht werkelijk wordt vervuld. Test de uitleg op mobiele schermen en in de talen die het project gebruikt. De contactadressen moeten actueel zijn en bij een team uitkomen dat verzoeken kan verwerken.

De openbare samenvatting en de interne regeling moeten na veranderingen blijven overeenkomen. Vertrekt een partner, komt er een derde bij of ontstaat een nieuw doel, werk dan rollenkaart, taakmatrix en privacytekst tegelijk bij. Bewaar gedateerde versies om te kunnen uitleggen wat iemand bij de verzameling hoorde. Het gekozen contactpunt is een praktisch hulpmiddel, geen beperking van artikel 26 lid 3. Als een persoon één van de gezamenlijke verantwoordelijken benadert, blijft het verzoek onder de AVG te behandelen. Een interne routering mag voor die persoon geen extra hindernis of nieuwe wettelijke termijn creëren.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Toets de regeling met vier concrete scenario’s

Voer vóór ondertekening een kwalificatietest uit. Beide partijen beschrijven dezelfde handeling en verklaren afzonderlijk wie het doel en de essentiële middelen bepaalt. Vergelijk hun antwoorden met ontwerp en contract. Zijn ze het oneens over de vraag of een leverancier verwerker of gezamenlijke verantwoordelijke is, onderzoek dan de feitelijke beslissingen in plaats van meer etiketten toe te voegen. Test vervolgens de ontvangst van een inzageverzoek bij elk bedrijf. Controleer of het wordt geregistreerd, in alle relevante systemen wordt gezocht en binnen de toepasselijke termijn beantwoord kan worden. Herstel gevonden gaten vóórdat het project echte gegevens verzamelt.

Oefen een incident waarbij een export op vrijdagavond blootstaat. Wie krijgt de waarschuwing, welk bewijs blijft behouden, wie beoordeelt risico en meldplichten en hoe kan de andere partij optreden zonder commerciële goedkeuring af te wachten? Test daarna het einde van de samenwerking: één partner wil gedeelde registraties bewaren voor eigen verkoop. Bepaal wat de regeling toelaat, welke afzonderlijke rechtsgrond en informatie nodig zouden zijn en welke gegevens terug moeten, verwijderd worden of om een eigen wettelijke reden bewaard blijven. Zulke oefeningen tonen praktische hiaten die in een abstracte verantwoordelijkheidslijst gemakkelijk verborgen blijven.

Teken pas wanneer de vastgelegde rollen en procedures deze toetsen doorstaan. Bewaar verwerkingsschema, contactgegevens, privacyteksten, verwerkerscontracten en doorgiftedocumenten in één beheerde omgeving. Stel een herzieningsdatum en concrete triggers bij verandering van systemen, partners of doelen vast. Het doel van artikel 26 is niet ieder risico naar één partij te verschuiven. De regeling moet de werkelijke verdeling voor betrokkenen begrijpelijk maken en voor beide bedrijven uitvoerbaar zijn. Een korter document dat bij een verzoek of incident werkt, is waardevoller dan een lang sjabloon dat niemand in de praktijk kan gebruiken.

Lees ook: gids over verwijderingsverzoeken.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34; EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1; Hof van Justitie van de EU, zaak C-683/21, gezamenlijke verantwoordelijkheid volgens artikel 26; Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers

Primaire bronnen en toepassingsgebied

Bronnen gecontroleerd: 7 oktober 2026. Deze gids betreft de Republiek Cyprus. Voorbeelden zijn hypothetisch en geen klantendossiers. Controleer de actuele officiële vereisten voordat u een aanvraag indient.

• Verordening (EU) 2016/679, AVG, artikelen 4, 12, 13, 14, 26, 28, 33 en 34
• EDPB-richtsnoeren 07/2020 over verantwoordelijken en verwerkers, definitieve versie 2.1
• Hof van Justitie van de EU, zaak C-683/21, gezamenlijke verantwoordelijkheid volgens artikel 26
• Europese Commissie: toepassing van de AVG en rollen van verantwoordelijken en verwerkers