Het onderscheid tussen de verwerkingsverantwoordelijke en de verwerker is vaak lastig maken. De voorzieningenrechter van de rechtbank Noord-Nederland leidt van de AVG af dat hij zich in deze zaak als verwerker moet aanmerken.1 De onderhavige zaak betrof een vergunningaanvraag op grond van de Wet natuurbescherming waarbij 21 vergunningshouders betrokken waren. De rechter concludeert dat niet alle persoonsgegevens van de afzonderlijke vergunningshouders zonder meer kunnen worden doorgezonden:
5.1 Ter voorlichting van partijen overweegt de voorzieningenrechter nog als volgt. Op 25 mei 2018 is de AVG in werking getreden. Uit artikel 4, onder 2, van de AVG, in samenhang gelezen met artikel 4, onder 8, van de AVG leidt de voorzieningenrechter af dat hij als verwerker in vorenbedoelde zin dient te worden aangemerkt en dat er in dit geval sprake is van verwerking van persoonsgegevens in de zin van de AVG bij het doorzenden van stukken aan partijen. Ingevolge artikel 5, eerste lid, aanhef en onder c, van de AVG moeten persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“minimale gegevensverwerking”). Die verplichting tot minimale gegevensverwerking brengt met zich dat niet alle persoons-gegevens van de afzonderlijke vergunninghouders in dit geval zonder meer kunnen worden doorgezonden. Hierbij neemt de voorzieningenrechter in aanmerking dat in de afzonderlijke bedrijfsplannen van de vergunninghouders vertrouwelijke gegevens of bedrijfsgevoelige informatie vermeld kan staan.
Gelet hierop zal het met dit verzoek connexe beroep worden gesplitst in 21 afzonderlijke zaaknummers, waarbij verzoekers in de gelegenheid zullen worden gesteld om voor elke afzonderlijke zaak aan te geven op welke nadere gronden moet worden aangenomen dat die specifieke vergunning vernietigd zou moeten worden. Verweerder zal in de gelegenheid worden gesteld om voor elke afzonderlijke vergunning tot dossiervorming over te gaan. (..)
Verwerkingsverantwoordelijke of verwerker?
Het is echter nog maar de vraag of de rechtbank moet worden aangemerkt als verwerker. Hierbij moet worden onderzocht of zij het doel en de middelen van de verwerking vaststellen. Hierbij kan worden teruggevallen op bijvoorbeeld het advies van de European Data Protection Board (EDPB) over de begrippen "voor de verwerking verantwoordelijke" en "verwerker". De EDPB geeft een voorbeeld die analoog hetzelfde lijkt te zijn als de onderhavige zaak. Hierin wordt het voorbeeld van een advocaat geschetst:
Deze lezing van de AVG lijkt daarom ook niet te stroken met de huidige opvattingen omtrent het onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Mocht de rechtbank wel als verwerker worden aangemerkt, dan dient zij wellicht met elke procespartij een verwerkersovereenkomst sluiten. Dit zal het procesrecht nodeloos vertragen.